Spionage-Trojaner So konnte Flame Microsofts Updatefunktion missbrauchen

Flame konnte sich über Microsofts Updatefunktion verbreiten. Die Spezialisten von Symantec haben nun erklärt, wie die Angreifer vorgegangen sind, um das Updatesystem von Microsoft auszutricksen.

Anzeige

Symantec hat in einem Blogeintrag detailliert geschildert, wie der Spionage-Trojaner Flame vorgegangen ist, um sich über Microsofts Updatesystem zu verteilen. Die Flame-Macher haben sich dazu angeschaut, wie der Internet Explorer in lokalen Netzwerken nach Proxy-Servern sucht. Microsofts Browser tut dies beim Programmstart über das Web Proxy Auto-Discovery Protocol (WPAD).

Wenn der Browser dann eine Konfigurationsdatei für Proxy-Server (wpad.dat) findet, übernimmt er die Einstellungen. Diese müssen zum Domainnamen des Computers passen. Zur Ermittlung der IP-Adressen wird der DNS-Server befragt. Wenn dieser keine passenden Einträge hat, geht es weiter über Wins oder Netbios.

Snack gibt sich als WPAD-Server aus

Auf dem infizierten System wartet die Schadkomponente Snack auf solche Anfragen. Snack beantwortet die Netbios-Anfrage und gaukelt dem Browser vor, es handele sich um einen WPAD-Server, indem es eine präparierte wpad.dat versendet. In dieser Datei ist als Proxy-Server ein Computer der Angreifer aufgeführt, über den dann der gesamte Datenverkehr abgewickelt wird. Eine solche Attacke über Netbios ist nicht so unüblich und als Angriffsmöglichkeit bekannt. Sie ist in vielen Hackertools enthalten.

  • Flame-Verbreitung über Microsoft-Update (Quelle: Symantec)
Flame-Verbreitung über Microsoft-Update (Quelle: Symantec)

Über den zu Flame gehörenden Proxy-Server Munch laufen dann alle Internetzugriffe. Die meisten Abfragen leitet der Proxy-Server nur durch, damit der Attackierte von dem Angriff nichts bemerkt. Aber auch Abfragen zum Microsoft-Update laufen künftig über Munch, die dieser an die wiederum zu Flame gehörende Komponente Gadget umleitet. Diese wiederum täuscht gegenüber dem System vor, es gebe ein Update für die Gadget-Funktion in Windows, um das Opfer so dazu zu bringen, die Flame-Komponente Tumbler eigenhändig zu installieren.

Tumbler tarnt sich als Windows-Update

Tumbler wird als vertrauenswürdiges Update erkannt, weil es mit einem Microsoft-Zertifikat markiert ist. Auf diese gefälschten Zertifikate hat Microsoft erst kürzlich hingewiesen.

Selbst nach der Installation von Tumbler ist das System noch immer nicht mit Flame infiziert. Tumbler lädt Flame später vom Munch-Server herunter und installiert die Schadsoftware, ohne dass der Anwender davon etwas bemerkt. Vorher überprüft Tumbler noch, ob auf dem System Sicherheitsanwendungen installiert sind.

Nach dem Sicherheitsupdate von dieser Woche wegen der gefälschten Zertifikate will Microsoft auch die eigene Updateroutine besser absichern. Details dazu will Microsoft aber erst später verraten.


enteon 07. Jun 2012

Auf dem infizierten System wartet die Schadkomponente Snack auf solche Anfragen.

__destruct() 07. Jun 2012

kwT.

Vorsteher 06. Jun 2012

stimme ich zu. morgen steigen wir auf dein oder ein besseres OS um. bis später

Kommentieren



Anzeige

  1. Akademischer Mitarbeiter (m/w)
    Hochschule Furtwangen, Furtwangen
  2. Bauingenieur / Bauingenieurin - Baubetrieb
    Ed. Züblin AG, Stuttgart
  3. Teamleiter (m/w) Software-Qualitätsdatenanaly- se
    Synatec GmbH, Stuttgart oder Dingolfing
  4. Trainee für den Bereich IT / Business Processes (m/w)
    DMG MORI SEIKI Services GmbH, Bielefeld

 

Detailsuche


Folgen Sie uns
       


  1. IBM Power8

    Mit 96 Threads pro Sockel gegen Intels Übermacht

  2. Printoo

    Arduino kannste jetzt knicken

  3. Cloud-Dienste

    Streem verspricht unbegrenzten Speicherplatz

  4. Streaming

    HBO-Serien für US-Kunden von Amazon Prime

  5. Theo de Raadt

    OpenSSL ist nicht reparierbar

  6. Xplore XC6 DMSR

    Blendend hell und hart im Nehmen

  7. Programmiersprache

    Go 1.3 kommt für Solaris, Plan 9 und NaCL

  8. Arin

    IPv4-Adressen in Nordamerika nähern sich dem Ende

  9. Flappy 48

    Zahlen statt Vögel

  10. Port 32764

    Netgear will angebliche Router-Lücke schließen



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Windows XP ade: Linux ist nicht nur ein Lückenfüller
Windows XP ade
Linux ist nicht nur ein Lückenfüller

Wenn der Support für Windows XP ausläuft, wird es dringend Zeit, nach einer sicheren und vor allem kostenlosen Alternative zu suchen. Linux ist dafür bestens geeignet. Bleibt nur noch die Qual der Wahl.

  1. Freedesktop-Summit Desktops erarbeiten gemeinsam Wayland und KDBus
  2. Open Source Linux 3.15 startet in die Testphase
  3. Linux-Kernel LTO-Patch entfacht Diskussion

First-Person-Walker: Wie viel Gameplay braucht ein Spiel?
First-Person-Walker
Wie viel Gameplay braucht ein Spiel?

Walking-Simulator-Spiele nennen sie die einen, experimentelle Spiele die anderen. Rainer Sigl hat einen neuen Begriff für das junge Genre der atmosphärisch dichten Indie-Games erfunden: First-Person-Walker - Spiele aus der Ich-Perspektive mit wenig Gameplay.

  1. A Maze 2014 Tanzen mit der Perfect Woman
  2. Festival A Maze Ist das noch Indie?
  3. Test Cut The Rope 2 für Android Grün, knuddlig und hungrig nach Geld

Techniktagebuch auf Tumblr: "Das Scheitern ist viel interessanter"
Techniktagebuch auf Tumblr
"Das Scheitern ist viel interessanter"

Im Techniktagebuch schreiben zwei Dutzend Autoren über den Alltag mit Computern, Handys und anderen Geräten. Im Gespräch mit Golem.de erläutert die Initiatorin Kathrin Passig, warum nicht jeder Artikel eine Pointe und nicht jeder Autor ein hohe Technikkompetenz haben muss.


    •  / 
    Zum Artikel