Abo
  • Services:
Anzeige
Schwachstellen für Antivirensoftware werden regelmäßig gehandelt.
Schwachstellen für Antivirensoftware werden regelmäßig gehandelt. (Bild: Tavis Ormandy / Wikileaks)

Security: Mehr Sicherheitslücken in Kasperskys Antivirensoftware

Schwachstellen für Antivirensoftware werden regelmäßig gehandelt.
Schwachstellen für Antivirensoftware werden regelmäßig gehandelt. (Bild: Tavis Ormandy / Wikileaks)

Virenscanner sollen Nutzer eigentlich vor Bedrohungen schützen. Doch durch schlampige Programmierung hätten viele von ihnen selbst Sicherheitslücken, sagt Google-Forscher Tavis Ormandy. Jetzt hat er weitere Details zu Mängeln bei Kaspersky veröffentlicht.

Anzeige

Virenscanner von Kaspersky enthalten eine ganze Reihe von Sicherheitslücken - das sagt Tavis Ormandy von Googles Projekt Zero. Mit Hilfe von Fuzzing und Googles Cloud-Plattform Scale habe er Produkte von Kaspersky auf Schwachstellen getestet und sei fündig geworden. Bereits Anfang September hatte Ormandy erste Informationen zu Lücken in Kaspersky-Produkten veröffentlicht und weitere Informationen angekündigt.

Ormandy wurde in der Vergangenheit mehrfach für seine angeblich unverantwortliche Veröffentlichungspraxis von Sicherheitslücken kritisiert. In seinem Blogpost betont er jetzt, dass Kaspersky seit längerem informiert sei und die kritischen Bugs bereits geschlossen habe. Er forsche nicht nur über die Sicherheit von Kaspersky-Produkten, sondern untersuche auch Produkte von Sophos und Eset. Zudem kündigte er weitere Enthüllungen an.

Um Bedrohungen zu finden, durchsuchen Virenscanner üblicherweise den Netzwerk- und Datenverkehr. Für einen Virenscanner-Exploit reicht es demnach aus, eine Webseite anzusurfen oder eine E-Mail über das Mailprogramm abzurufen. Weitere Handlungen des Nutzers sind nicht erforderlich.

Fuzzing zeigt Lücken in Thinstall-Containern auf

Die Antivirensoftware von Kaspersky entpackt Thinstall-Container, um sie auf Malware zu durchsuchen. Durch Fuzzing der Thinstall-Anwendungen fand Ormandi einen Stack-Buffer-Overflow. Weil Kaspersky darauf verzichtete, den Overflow-Schutz /GS zu aktivieren, konnte er den Stack Frame überschreiben und manipulieren. In der Visual-Studio-Entwicklungsumgebung wird /GS Standardmäßig aktiviert, um Pufferüberläufe zu verhindern. Der Hersteller empfiehlt, die Option nur bei nicht sicherheitskritischen Anwendungen zu deaktivieren. Wieso Kaspersky die Option nicht nutzte, ist unklar.

Beim Exploit-Vorgang kam dem Google-Forscher zugute, dass das Kaspersky-Team Fehler in der Implementation von /Dynamicbase gemacht hatte. Die Funktion weist auszuführenden Instruktionen mit Adress-Space-Layout-Randomization (ASLR) per Rebase einen zufälligen Speicherbereich zu, um erfolgreiche Exploits zu erschweren.

Kaspersky scannt Zip-Archive auch im Verbund mit anderen Dateien

Der ursprüngliche Plan, eine infizierte DLL-Datei über den Windows-Loader zu laden, schlug fehl. Deshalb nutzte Ormandy aus, dass Kaspersky auch Zip-Archive scannt, die per Cat mit anderen Dateien verknüpft wurden. Er integrierte seinen Exploit in eine Zip-Datei und verknüpfte diese mit einer DLL. Damit gelang es ihm, über einen manipulierten Befehl den Windows-Rechner zu starten.

Ormandy will mit seinen Recherchen auf Fehler in Antivirus-Programmen hinweisen. Exploits für diese Programme würden regelmäßig gehandelt. Antivirenhersteller sollten Sandboxing für ihre Unpacker nutzen und dafür sorgen, dass die Prozesse mit weniger Berechtigungen laufen.

Nachtrag

Kaspersky hat bekanntgegeben, dass alle von Tavis Ormandy angezeigten Sicherheitslücken mittlerweile behoben seien. Insbesondere habe das Unternehmen den Stack-Overflow-Schutz /GS aktiviert, und es arbeite weiter an der Verbesserung der Produktsicherheit.


eye home zur Startseite
tibrob 24. Sep 2015

1. Falsch. 2. Nein.

Anonymer Nutzer 24. Sep 2015

Die Firma AVG, Hersteller von Antiviren-Software, will Nutzerdaten künftig an...

Ultronkalaver 24. Sep 2015

TuneUp gibt es immer noch? Oh oh ... ich hatte gehofft die würden pleite gehen und das...

Ultronkalaver 24. Sep 2015

Viren sind heute nicht mehr das Problem. Das kann jede Software aber hier liegt nicht...



Anzeige

Stellenmarkt
  1. SEW-EURODRIVE GmbH & Co KG, Bruchsal
  2. Technische Universität Darmstadt, Darmstadt
  3. SITA Airport IT GmbH, Düsseldorf
  4. Thiele AG, Ramstein, Schrozberg, Worms


Anzeige
Spiele-Angebote
  1. (-38%) 49,99€
  2. 59,99€/69,99€ (Vorbesteller-Preisgarantie)

Folgen Sie uns
       

Anzeige
Whitepaper
  1. Globale SAP-Anwendungsunterstützung durch Outsourcing


  1. 17,3-Zoll-Notebook

    Razer aktualisiert das Blade Pro mit THX-Zertifizierung

  2. Mobilfunk

    Tschechien versteigert Frequenzen für 5G-Netze

  3. Let's Encrypt

    Immer mehr Phishing-Seiten beantragen Zertifikate

  4. E-Mail-Lesen erlaubt

    Koalition bessert Gesetz zum automatisierten Fahren nach

  5. Ransomware

    Scammer erpressen Besucher von Porno-Seiten

  6. Passwort-Manager

    Lastpass fällt mit gleich drei Sicherheitslücken auf

  7. Sony

    Playstation 4 Pro spielt mp4-Videodateien jetzt in 4K ab

  8. Laptop-Verbot

    Terroristen basteln offenbar an explosiven iPads

  9. IoT

    Software-AG-Partner wird zur Tochter

  10. Navigationsgerät Chris

    Das Smartphone im Auto mit Sprache und Gesten bedienen



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
D-Wave: Quantencomputer oder Computer mit Quanteneffekten?
D-Wave
Quantencomputer oder Computer mit Quanteneffekten?
  1. IBM Q Qubits as a Service
  2. Rechentechnik Ein Bauplan für einen Quantencomputer

Nier Automata im Test: Stilvolle Action mit Überraschungen
Nier Automata im Test
Stilvolle Action mit Überraschungen
  1. Square Enix Gladiolus startet ohne die anderen Jungs in Final Fantasy 15
  2. Nvidia "KI wird die Computergrafik revolutionieren"
  3. The Avengers Project Marvel und Square Enix arbeiten an Superheldenoffensive

Betrugsnetzwerk: Kinox.to-Nutzern Abofallen andrehen
Betrugsnetzwerk
Kinox.to-Nutzern Abofallen andrehen

  1. Re: Tja, was wird jetzt aus den Ratschlägen, man...

    Quantium40 | 17:35

  2. Wie wärs als Kategorisierung die Zeit zu...

    DreiChinesenMit... | 17:35

  3. Re: Dann werden Zertifikate der...

    maverick1977 | 17:33

  4. Re: Wenn man kein Amazonkonto hat?

    ichbinsmalwieder | 17:32

  5. Re: 100%

    Missingno. | 17:31


  1. 17:28

  2. 17:10

  3. 16:45

  4. 16:43

  5. 16:21

  6. 16:03

  7. 15:12

  8. 14:45


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel