SQL-Schwachstelle: Erneute Angriffe über Lilupophilupop.com-SQL-Injection

Ein Angriff auf eine SQL-Schwachstelle betrifft inzwischen zehntausende IIS- und Coldfusion-Webserver in Deutschland. Opfer werden dabei auf die Domain Lilupophilupop.com umgeleitet, auf der Scareware angeboten wird.

Artikel veröffentlicht am 6. Januar 2012, 14:45 Uhr, Jörg Thoma

Mit einer SQL-Injection infizierte Webseiten leiten auf diese Domain weiter, auf der unter anderem Scareware angeboten wird. (Bild: Jörg Thoma/Golem.de)

Die sogenannte Lilupophilupop.com-SQL-Injection verbreitet sich weltweit auf immer mehr Webservern mit Microsofts IIS und entsprechenden ASP-Webseiten sowie Coldfusion. Die SQL-Schwachstelle funktioniert auf allen Versionen von Microsofts SQL-Datenbank. Allein in Deutschland sollen bis Ende 2011 rund 50.000 Webserver mit dem Schadcode infiziert worden sein, Anfang Dezember 2011 waren es noch 80. Weltweit sollen bereits über eine Million Webserver betroffen sein. Das berichtet die Sicherheitswebseite Internet Storm Center (ISC).

Mit der SQL-Injection infizierte Webseiten leiten ein Opfer auf die Domain Lilupophilupop.com um, auf der Flash-Inhalte oder Scareware angeboten wird.

Durch Sperren der Domain Lilupophilupop.com können die Umleitungen verhindert werden. Ob eine Webseite mit der SQL-Injection infiziert wurde, kann beispielsweise über Google ermittelt werden. Liefert die Suche mit der Zeichenkette <script src="http://lilupophilupop.com/" sowie dem Parameter site samt einer verdächtigen Webadresse ein positives Ergebnis, ist diese infiziert. Auch Logfiles enthalten Hinweise dazu, ob ein Webserver infiziert wurde.