Zero-Day-Lücken: Angreifer verraten sich durch Virustotal-Upload

Zwei Sicherheitslücken im Adobe Reader und in Windows hätten für raffinierte Angriffe auf Windows-Rechner missbraucht werden können. Jedoch verrieten sich die Angreifer dadurch, dass sie ihre exklusiven Zero-Days selbst beim Dienst Virustotal einstellten.

Artikel veröffentlicht am ,
Noch einmal Glück gehabt: Die Sicherheitslücken wurden nicht ausgenutzt.
Noch einmal Glück gehabt: Die Sicherheitslücken wurden nicht ausgenutzt. (Bild: Pixabay.com/Montage: Golem.de/CC0 1.0)

Zwei Zero-Day-Lücken, die von Microsoft und Adobe am Patch Tuesday im Mai geschlossen wurden, waren Teil eines raffinierten Angriffsszenarios auf Windows-PCs. Die bis dato unbekannten Lücken in Windows und im Adobe Reader hätten zusammen dazu missbraucht werden können, Windows-7-Nutzer anzugreifen - hätten die unbekannten Angreifer sie nicht beim Online-Scanner Virustotal hochgeladen. Die Sicherheitsfirma Eset entdeckte den Angriffsvektor und arbeitete mit Microsoft und Adobe zusammen, um die Lücken zu schließen, bevor sie Schaden anrichten konnten.

Stellenmarkt
  1. Anwendungsbetreuerin / Anwendungsbetreuer (m/w/d) Direktion Bonn Hauptabteilung IT
    Berufsgenossenschaft Handel und Warenlogistik, Bonn
  2. Service Engineer (Incident- & Problemmanager) - Expert (m/w/d)
    Vodafone GmbH, Eschborn, Düsseldorf, Stuttgart, Unterföhring
Detailsuche

Die Angreifer hatten bereits ein PDF-Dokument gebaut, um beide Lücken zu kombinieren. Der Einschätzung der Sicherheitsforscher nach zeigten sie großes Geschick dabei. Glücklicherweise unterlief ihnen jedoch ein Fehler und sie luden, vielleicht zu Testzwecken, ihre PDF-Datei bei Virustotal hoch. Da diverse Antiviren-Hersteller die beim Online-Scanner hochgeladenen Dokumente automatisch auf neuartige Malware und Sicherheitslücken durchsuchen, blieben die Zero-Days nicht lange geheim.

Der fertige Angriff hätte wohl so ausgesehen, dass das PDF-Dokument an ein Opfer verschickt wird. Öffnet es die mit Javascript versehene Datei, erhält der Angreifer Lese- und Schreibrechte auf den Speicher des Systems. Diese kann er dazu missbrauchen, eigenen Schadcode auszuführen. Daraufhin kann er die Windows-Lücke nutzen, um aus der Javascript-Sandbox auszubrechen und seinem Schadcode Systemrechte zu verschaffen. Nach dem Öffnen der bösartigen PDF nimmt der Angriff also ohne weitere Nutzer-Interaktion seinen Lauf und das System des Opfers steht unter der Kontrolle der Angreifer. Allerdings sind alle Microsoft-Betriebssysteme ab Windows 8 immun gegen den zweiten Teil des Angriffs.

Die PDF-Datei, die Eset in die Hände fiel, hätte in der vorliegenden Form nicht richtig funktioniert, da sie keine Exploit Payload enthielt. Das deutet darauf hin, dass die unbekannten Angreifer noch an ihrer Technik gearbeitet haben, als der Upload auffiel. Die durch Microsoft und Adobe knapp einen Monat später ausgelieferten Updates konnten also höchstwahrscheinlich den Missbrauch der Zero-Days rechtzeitig verhindern. Zero-Days sind Geld wert. Angreifer können sie an den Meistbietenden versteigern. Attraktiv sind die Angriffe, da sich Opfer gegen sie nur schwer verteidigen können, denn für die angegriffenen Systeme gibt es zum Zeitpunkt des ersten Angriffs keine Patches.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


altuser 07. Jul 2018

War auch eine von zwei Varianten, die ich im Hinterkopf habe. Variante 2: Es gibt jetzt...

altuser 07. Jul 2018

Und die Zeichen sind geheim oder warum postest Du sie hier nicht?

My1 05. Jul 2018

für viele "normale" validierungen ließe sich im PDF standard was regeln, sodass es bspw...

TheUnichi 04. Jul 2018

Was soll das sein? Ich finde nur eine GitHub library, "A simpler and mockable gocql...

andy01q 04. Jul 2018

Whitehat findet einen üblen 0-day und denkt darüber nach den auf üblichem Weg zu...



Aktuell auf der Startseite von Golem.de
3D-Druck-Messe Formnext 2021
Raus aus der Nische

3D-Druck wird immer schneller, schöner und effizienter. Die Technologie ist dabei, die Produktion zu revolutionieren und in unseren Alltag einzuziehen.
Ein Bericht von Elias Dinter

3D-Druck-Messe Formnext 2021: Raus aus der Nische
Artikel
  1. Smartphone: Amazon App Store läuft immer noch nicht unter Android 12
    Smartphone
    Amazon App Store läuft immer noch nicht unter Android 12

    Nutzer von Amazons App Store haben immer noch Probleme, ihre Anwendungen unter Android 12 zu verwenden. Eine Lösung gibt es noch nicht.

  2. KI sagt Bundeswehr das Weltraumwetter voraus
     
    KI sagt Bundeswehr das Weltraumwetter voraus

    Viele Firmen haben längst den Nutzen künstlicher Intelligenz (KI) für ihre Geschäftsmodelle erkannt. Wie die Bundeswehr KI wirksam einsetzen könnte, erprobt sie mit der BWI als Digitalisierungspartner.
    Sponsored Post von BWI

  3. K|Lens One: Erstes Lichtfeldobjektiv für Spiegelreflexkameras entwickelt
    K|Lens One
    Erstes Lichtfeldobjektiv für Spiegelreflexkameras entwickelt

    Das Spin-off eines Max-Planck-Instituts hat ein Lichtfeldobjektiv für herkömmliche DSLRs entwickelt. Auf Kickstarter kann es unterstützt werden.

Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Daily Deals • Crucial-SSDs zu Bestpreisen • Nur noch heute: Bis zu 75% auf Switch-Spiele • G.Skill 64GB Kit 3800MHz 319€ • Bis zu 300€ Direktabzug auf TVs, Laptops uvm. bei MM/Saturn • Blizzard-Geschenkkarten • Alternate (u. a. Biostar Mainboard 64,90€) • Xbox Series S 275,99€ [Werbung]
    •  /