• IT-Karriere:
  • Services:

Sicherheitslücken: Hackergruppe nutzte 11 Zero Days in einem Jahr

Googles Project Zero berichtet über eine Hacker-Gruppe, die reihenweise Zero Days nutzte, um komplett gepatchte Geräte ihrer Opfer zu hacken.

Artikel veröffentlicht am ,
Mit ingesamt 11 Zero Days griff eine Hackergruppe gezielt an.
Mit ingesamt 11 Zero Days griff eine Hackergruppe gezielt an. (Bild: Darwin Laganzon/Pixabay)

Eine besonders bedrohliche Hackergruppe hat im vergangenen Jahr gleich 11 Zero Days ausgenutzt, also zum damaligen Zeitpunkt nicht bekannte und entsprechend nicht gepatchte Sicherheitslücken. Betroffen waren die Betriebssysteme Windows, Android und iOS.

Stellenmarkt
  1. AUSY Technologies Germany AG, Frankfurt am Main, München, Nürnberg
  2. DRÄXLMAIER Group, Vilsbiburg bei Landshut

Entdeckt wurden die Angriffe von Googles Project Zero und Threat Analysis Group, die Informationen über die einzelnen Sicherheitslücken bereits veröffentlicht hatten. In einem Blogeintrag geht die Sicherheitsforscherin Maddie Stone, die bei Project Zero arbeitet, nun auf die Hintergründe der Sicherheitslücken ein, die bereits gepatcht wurden.

Exploit-Ketten infizierten aktuelle Betriebssysteme und Browser

Demnach entdeckte Google im Februar 2020 die ersten vier, bereits aktiv ausgenutzten Zero Days. Im Oktober 2020 bemerkte Google erneut Angriffe der gleichen Gruppe, die diesmal insgesamt sieben Zero Days verwendete. Dabei wurden mehrere Zero Days kombiniert, um ein Gerät über den Browser bis hin zum Betriebssystem zu übernehmen. Dieses sogenannte Chaining von Sicherheitslücken ist nicht unüblich.

Eine solche Kette habe auf ein vollständig gepatchtes Windows 10 mit einem aktuellen Chrome-Browser abgezielt. Zwei Teilketten hätten vollständig gepatchte Android-10-Geräte, auf denen der Samsung Browser oder Chrome verwendet wurde, zum Ziel gehabt.

Golem Akademie
  1. IT-Sicherheit für Webentwickler
    31. Mai - 1. Juni 2021, online
Weitere IT-Trainings

Zudem habe die Hackergruppe Remote-Code-Execution-Exploits (RCE) für iOS 11 bis 13 sowie eine Schwachstelle zur Rechteausweitung unter iOS 13 im Repertoire gehabt. Die Schwachstellen seien erst mit iOS 14.1 behoben worden. Allerdings merkt Stone an, dass ausschließlich iOS, Android und Windows getestet wurden, als die Exploit-Server noch online waren. Entsprechend könne es weitere Exploit-Ketten gegeben haben.

Exploits über Watering-Hole-Angriffe ausgespielt

Die Exploits wurden demnach mit sogenannten Watering-Hole-Angriffen auf Webseiten im Umfeld der Opfer platziert. Erkannt wurden die Opfer wohl anhand der IP-Adresse und dem User-Agent. War dieses Fingerprinting positiv, wurde ein Iframe in die Webseite injiziert, das auf den Exploit-Server zeigte. Damit wurden die Geräte der Opfer letztlich übernommen.

  • In einer Grafik stellt Google die Verkettung der Zero Days dar (Bild: Project Zero)
In einer Grafik stellt Google die Verkettung der Zero Days dar (Bild: Project Zero)

"Die Schwachstellen decken ein ziemlich breites Spektrum an Problemen ab - von einer modernen JIT-Schwachstelle bis hin zu mehreren Fehlern bei Schriftarten", schreibt Stone. Dabei habe jeder Exploit eine Expertise in der Exploit-Entwicklung und der ausgenutzten Schachstelle selbst gezeigt.

Hacking & Security: Das umfassende Handbuch. 2. aktualisierte Auflage des IT-Standardwerks (Deutsch) Gebundene Ausgabe

Im Falle der Freetype-Zero-Day in Chrome sei die Exploit-Methode für Googles Project Zero neu gewesen. Zudem seien die Verschleierungsmethoden vielfältig und bei der Analyse zeitraubend gewesen, erklärt Stone.

Die ersten vier Zero Days (Februar 2020):
CVE-2020-6418 - Chrome-Sicherheitslücke in Turbofan
CVE-2020-0938 - Schriftart-Sicherheitslücke in Windows
CVE-2020-1020 - Schriftart-Sicherheitslücke in Windows
CVE-2020-1027 - Windows CSRSS-Sicherheitslücke

Weitere sieben Zero Days (Oktober 2020):
CVE-2020-15999 - Heap-Pufferüberlauf in Chrome Freetype
CVE-2020-17087 - Windows-Heap-Pufferüberlauf in cng.sys
CVE-2020-16009 - Chrome-Type-Confusion in Turbofan-Map-Deprecation
CVE-2020-16010 - Heap-Pufferüberlauf in Chrome für Android
CVE-2020-27930 - Safari: Beliebiges Lesen/Schreiben des Stapels über Typ-1-Schriftarten
CVE-2020-27950 - iOS XNU-Kernel-Speicheroffenlegung in Mach-Message-Trailers
CVE-2020-27932 - iOS-Kernel-Type-Confusion mit Turnstiles

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Anzeige
Top-Angebote
  1. 1.099€ (Bestpreis)
  2. (u. a. Super Seducer 3 - Uncensored Edition für 10,79€, Total War: Rome - Remastered für 26...
  3. 399,99€
  4. 564,96€

DooMRunneR 21. Mär 2021 / Themenstart

Das sind "targeted Attacks" gewesen, zugeschnitten auf einzelne Ziele, also ziemlich...

Kommentieren


Folgen Sie uns
       


Der Konsolen-PC - Fazit

Seit es AMDs RDNA-2-Grafikkarten gibt, kann eine Next-Gen-Konsole leicht nachgebaut werden. Wir schauen, was es dazu braucht und ob der Konsolen-PC etwas taugt.

Der Konsolen-PC - Fazit Video aufrufen
Programm für IT-Jobeinstieg: Hoffen auf den Klebeeffekt
Programm für IT-Jobeinstieg
Hoffen auf den Klebeeffekt

Aktuell ist der Jobeinstieg für junge Ingenieure und Informatiker schwer. Um ihnen zu helfen, hat das Land Baden-Württemberg eine interessante Idee: Es macht sich selbst zur Zeitarbeitsfirma.
Ein Bericht von Peter Ilg

  1. Arbeitszeit Das Sechs-Stunden-Experiment bei Sipgate
  2. Neuorientierung im IT-Job Endlich mal machen!
  3. IT-Unternehmen Die richtige Software für ein Projekt finden

Weclapp-CTO Ertan Özdil: Wir dürfen nicht in Schönheit und Perfektion untergehen!
Weclapp-CTO Ertan Özdil
"Wir dürfen nicht in Schönheit und Perfektion untergehen!"

Der CTO von Weclapp träumt von smarter Software, die menschliches Eingreifen in der nächsten ERP-Generation reduziert. Deutschen Perfektionismus hält Ertan Özdil aber für gefährlich.
Ein Interview von Maja Hoock


    Fiat 500 als E-Auto im Test: Kleinstwagen mit großem Potenzial
    Fiat 500 als E-Auto im Test
    Kleinstwagen mit großem Potenzial

    Fiat hat einen neuen 500er entwickelt. Der Kleine fährt elektrisch - und zwar richtig gut.
    Ein Test von Peter Ilg

    1. Vierradlenkung Elektrischer GMC Hummer SUV fährt im Krabbengang seitwärts
    2. MG Cyberster MG B Roadster mit Lasergürtel und Union Jack
    3. Elektroauto E-Auto-Prämie übersteigt in 2021 schon Vorjahressumme

      •  /