Abo
  • Services:
Anzeige
Flame-Verbreitung über Microsoft-Update
Flame-Verbreitung über Microsoft-Update (Bild: Symantec)

Spionage-Trojaner: So konnte Flame Microsofts Updatefunktion missbrauchen

Flame-Verbreitung über Microsoft-Update
Flame-Verbreitung über Microsoft-Update (Bild: Symantec)

Flame konnte sich über Microsofts Updatefunktion verbreiten. Die Spezialisten von Symantec haben nun erklärt, wie die Angreifer vorgegangen sind, um das Updatesystem von Microsoft auszutricksen.

Symantec hat in einem Blogeintrag detailliert geschildert, wie der Spionage-Trojaner Flame vorgegangen ist, um sich über Microsofts Updatesystem zu verteilen. Die Flame-Macher haben sich dazu angeschaut, wie der Internet Explorer in lokalen Netzwerken nach Proxy-Servern sucht. Microsofts Browser tut dies beim Programmstart über das Web Proxy Auto-Discovery Protocol (WPAD).

Anzeige

Wenn der Browser dann eine Konfigurationsdatei für Proxy-Server (wpad.dat) findet, übernimmt er die Einstellungen. Diese müssen zum Domainnamen des Computers passen. Zur Ermittlung der IP-Adressen wird der DNS-Server befragt. Wenn dieser keine passenden Einträge hat, geht es weiter über Wins oder Netbios.

Snack gibt sich als WPAD-Server aus

Auf dem infizierten System wartet die Schadkomponente Snack auf solche Anfragen. Snack beantwortet die Netbios-Anfrage und gaukelt dem Browser vor, es handele sich um einen WPAD-Server, indem es eine präparierte wpad.dat versendet. In dieser Datei ist als Proxy-Server ein Computer der Angreifer aufgeführt, über den dann der gesamte Datenverkehr abgewickelt wird. Eine solche Attacke über Netbios ist nicht so unüblich und als Angriffsmöglichkeit bekannt. Sie ist in vielen Hackertools enthalten.

  • Flame-Verbreitung über Microsoft-Update (Quelle: Symantec)
Flame-Verbreitung über Microsoft-Update (Quelle: Symantec)

Über den zu Flame gehörenden Proxy-Server Munch laufen dann alle Internetzugriffe. Die meisten Abfragen leitet der Proxy-Server nur durch, damit der Attackierte von dem Angriff nichts bemerkt. Aber auch Abfragen zum Microsoft-Update laufen künftig über Munch, die dieser an die wiederum zu Flame gehörende Komponente Gadget umleitet. Diese wiederum täuscht gegenüber dem System vor, es gebe ein Update für die Gadget-Funktion in Windows, um das Opfer so dazu zu bringen, die Flame-Komponente Tumbler eigenhändig zu installieren.

Tumbler tarnt sich als Windows-Update

Tumbler wird als vertrauenswürdiges Update erkannt, weil es mit einem Microsoft-Zertifikat markiert ist. Auf diese gefälschten Zertifikate hat Microsoft erst kürzlich hingewiesen.

Selbst nach der Installation von Tumbler ist das System noch immer nicht mit Flame infiziert. Tumbler lädt Flame später vom Munch-Server herunter und installiert die Schadsoftware, ohne dass der Anwender davon etwas bemerkt. Vorher überprüft Tumbler noch, ob auf dem System Sicherheitsanwendungen installiert sind.

Nach dem Sicherheitsupdate von dieser Woche wegen der gefälschten Zertifikate will Microsoft auch die eigene Updateroutine besser absichern. Details dazu will Microsoft aber erst später verraten.


eye home zur Startseite
enteon 07. Jun 2012

Auf dem infizierten System wartet die Schadkomponente Snack auf solche Anfragen.

__destruct() 07. Jun 2012

kwT.

Vorsteher 06. Jun 2012

stimme ich zu. morgen steigen wir auf dein oder ein besseres OS um. bis später



Anzeige

Stellenmarkt
  1. Bertrandt Services GmbH, Neu-Ulm
  2. über Hays AG, Frankfurt am Main
  3. MEIERHOFER AG, München, St. Valentin (Österreich)
  4. MEIERHOFER AG, München oder Großraum Hamburg (Home-Office)


Anzeige
Spiele-Angebote
  1. 349,00€
  2. 54,85€

Folgen Sie uns
       

Anzeige
Whitepaper
  1. Sicherheitskonzeption für das App-getriebene Geschäft
  2. Mehr dazu im aktuellen Whitepaper von IBM
  3. Kritische Bereiche der IT-Sicherheit in Unternehmen


  1. Hilfe von Google

    Brian Krebs' Blog ist nach DDoS-Angriff wieder erreichbar

  2. Filmdatenbank

    Schauspieler lassen ihr Alter aus dem Internet entfernen

  3. Fortwo, Fortwo Cabrio und Forfour

    Ab 2017 gibt es alle Smarts als Elektroautos

  4. Megacams.me

    Porno-Webcam-Suchmaschine soll Doppelgänger-Videos finden

  5. Android 7.0 im Test

    Zwei Fenster für mehr Durchblick

  6. Riesenteleskop Fast

    China hält Ausschau nach Außerirdischen

  7. Schweiz

    Bürger stimmen für erweiterte Überwachungsbefugnisse

  8. Capcom

    PC-Version von Street Fighter 5 installierte Rootkit

  9. Mojang

    Noch mehr Möglichkeiten mit Addons für Minecraft

  10. App Preview Messaging

    Android soll Messenger-Nachrichten ohne App empfangen können



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Berlin-Wahl: Wo sind all die Piraten-Wähler hin?
Berlin-Wahl
Wo sind all die Piraten-Wähler hin?
  1. Störerhaftung Auf Wiedersehen vor dem EuGH
  2. EuGH zu Störerhaftung Bei Verstößen droht Hotspot-Anbietern Nutzerregistrierung
  3. Europäisches Parlament Netzsperren - Waffe gegen Terror oder Zensur?

Forza Horizon 3 im Test: Autoparadies Australien
Forza Horizon 3 im Test
Autoparadies Australien
  1. Die Woche im Video Schneewittchen und das iPhone 7
  2. Forza Motorsport 6 PC-Rennspiel Apex fährt aus der Beta
  3. Microsoft Play Anywhere gilt für alle Spiele der Microsoft Studios

Original und Fork im Vergleichstest: Nextcloud will das bessere Owncloud sein
Original und Fork im Vergleichstest
Nextcloud will das bessere Owncloud sein
  1. Koop mit Canonical und WDLabs Nextcloud Box soll eigenes Hosten ermöglichen
  2. Kollaborationsserver Nextcloud 10 verbessert Server-Administration
  3. Open Source Nextcloud setzt sich mit Enterprise-Support von Owncloud ab

  1. Re: 22.000

    Der Spatz | 14:05

  2. Re: Immerhin wurde die Bevölkerung gefragt

    cuthbert34 | 14:05

  3. Re: Richtig ausbauen

    RipClaw | 14:04

  4. Re: Viel zu teuer und woher kommen die Akkus her?

    Der Spatz | 14:03

  5. Re: Preis?

    xxsblack | 14:02


  1. 13:45

  2. 13:30

  3. 13:00

  4. 12:30

  5. 12:03

  6. 11:49

  7. 11:37

  8. 11:30


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel