SMBGhost: Code für Windows-Exploit veröffentlicht
Eine Nutzerin hat auf Github(öffnet im neuen Fenster) Code veröffentlicht, um eine bekannte Windows-Sicherheitslücke auszunutzen. Die Lücke wurde von Microsoft im März bekanntgegeben und geschlossen(öffnet im neuen Fenster) , sie ist unter dem Namen SMBGhost bekannt.
Es handelt sich um eine wurmfähige Sicherheitslücke, bei der sich Schadsoftware ohne Nutzer-Interaktion von einem infizierten Rechner auf andere ausbreiten kann und Remote Code Execution ermöglicht. Angreifer mussten ein spezielles Paket an einen erreichbaren und verwundbaren SMBv3-Server schicken. Die Schwachstelle steckte im Server-Mesage-Block-Netzwerkprotokoll bei Windows 10, das beispielsweise Dateifreigaben in Netzwerken steuert. Auch der Verschlüsselungstrojaner Wannacry nutzte bereits eine SMB-Schwachstelle aus.
Bisher waren keine öffentlich verfügbaren Exploits für SMBGhost bekannt. Ein Proof of Concept von Ricera Security(öffnet im neuen Fenster) vom April wurde nicht vollständig veröffentlicht, um Missbrauch durch Kriminelle zu verhindern. Auch das IT-Sicherheitsunternehmen Zec Ops hielt seine Implementierung bisher zurück(öffnet im neuen Fenster) .
Noch löst der Exploit häufig Bluescreens aus
Auch die Github-Nutzerin Chompie1337 schreibt: "Das für etwas anderes als Selbstbildung zu nutzen, ist eine äußerst schlechte Idee. Dein Computer wird in Flammen aufgehen. Welpen werden sterben." Laut Aussage der Exploit-Entwicklerin treten beim Einsatz des Codes manchmal Fehler auf, die zu einem sogenannten Blue Screen of Death, also einem Systemabsturz führen. Andere Interessierte bestätigten auf Twitter, dass sie Chompies Code nutzen(öffnet im neuen Fenster) konnten, wenn auch teils nach etlichen gescheiterten Versuchen(öffnet im neuen Fenster) . Bleeping Computer veröffentlichte ein Video mit dem Vorgehen(öffnet im neuen Fenster) .
Geht es potenziellen Angreifern darum, verwundbare Systeme durch Ausprobieren zu infizieren, dürften die häufigen Abstürze kaum besonders stören. Chompie1337 weist selbst darauf hin, dass der Exploit schnell geschrieben worden sei und noch stabiler werden müsse. Die Tech-News-Seite Ars Technica zitiert den IT-Sicherheitsforscher Troy Mursch(öffnet im neuen Fenster) , wonach massenhafte Scan-Aktivitäten beobachtet wurden, um durch SMBGhost verwundbare Systeme aufzuspüren. Wie bei anderen Sicherheitslücken auch werden längst nicht alle Systeme zeitnah gepatcht, nachdem eine Schwachstelle bekanntwurde. Spätestens jetzt ist es dafür höchste Zeit.