Abo
  • Services:

Zero-Day-Lücken: Angreifer verraten sich durch Virustotal-Upload

Zwei Sicherheitslücken im Adobe Reader und in Windows hätten für raffinierte Angriffe auf Windows-Rechner missbraucht werden können. Jedoch verrieten sich die Angreifer dadurch, dass sie ihre exklusiven Zero-Days selbst beim Dienst Virustotal einstellten.

Artikel veröffentlicht am ,
Noch einmal Glück gehabt: Die Sicherheitslücken wurden nicht ausgenutzt.
Noch einmal Glück gehabt: Die Sicherheitslücken wurden nicht ausgenutzt. (Bild: Pixabay.com/Montage: Golem.de/CC0 1.0)

Zwei Zero-Day-Lücken, die von Microsoft und Adobe am Patch Tuesday im Mai geschlossen wurden, waren Teil eines raffinierten Angriffsszenarios auf Windows-PCs. Die bis dato unbekannten Lücken in Windows und im Adobe Reader hätten zusammen dazu missbraucht werden können, Windows-7-Nutzer anzugreifen - hätten die unbekannten Angreifer sie nicht beim Online-Scanner Virustotal hochgeladen. Die Sicherheitsfirma Eset entdeckte den Angriffsvektor und arbeitete mit Microsoft und Adobe zusammen, um die Lücken zu schließen, bevor sie Schaden anrichten konnten.

Stellenmarkt
  1. Beckhoff Automation GmbH & Co. KG, Verl
  2. Bosch Gruppe, Grasbrunn

Die Angreifer hatten bereits ein PDF-Dokument gebaut, um beide Lücken zu kombinieren. Der Einschätzung der Sicherheitsforscher nach zeigten sie großes Geschick dabei. Glücklicherweise unterlief ihnen jedoch ein Fehler und sie luden, vielleicht zu Testzwecken, ihre PDF-Datei bei Virustotal hoch. Da diverse Antiviren-Hersteller die beim Online-Scanner hochgeladenen Dokumente automatisch auf neuartige Malware und Sicherheitslücken durchsuchen, blieben die Zero-Days nicht lange geheim.

Der fertige Angriff hätte wohl so ausgesehen, dass das PDF-Dokument an ein Opfer verschickt wird. Öffnet es die mit Javascript versehene Datei, erhält der Angreifer Lese- und Schreibrechte auf den Speicher des Systems. Diese kann er dazu missbrauchen, eigenen Schadcode auszuführen. Daraufhin kann er die Windows-Lücke nutzen, um aus der Javascript-Sandbox auszubrechen und seinem Schadcode Systemrechte zu verschaffen. Nach dem Öffnen der bösartigen PDF nimmt der Angriff also ohne weitere Nutzer-Interaktion seinen Lauf und das System des Opfers steht unter der Kontrolle der Angreifer. Allerdings sind alle Microsoft-Betriebssysteme ab Windows 8 immun gegen den zweiten Teil des Angriffs.

Die PDF-Datei, die Eset in die Hände fiel, hätte in der vorliegenden Form nicht richtig funktioniert, da sie keine Exploit Payload enthielt. Das deutet darauf hin, dass die unbekannten Angreifer noch an ihrer Technik gearbeitet haben, als der Upload auffiel. Die durch Microsoft und Adobe knapp einen Monat später ausgelieferten Updates konnten also höchstwahrscheinlich den Missbrauch der Zero-Days rechtzeitig verhindern. Zero-Days sind Geld wert. Angreifer können sie an den Meistbietenden versteigern. Attraktiv sind die Angriffe, da sich Opfer gegen sie nur schwer verteidigen können, denn für die angegriffenen Systeme gibt es zum Zeitpunkt des ersten Angriffs keine Patches.



Anzeige
Blu-ray-Angebote
  1. (u. a. ES Blu-ray 10,83€, Die nackte Kanone Blu-ray-Box-Set 14,99€)
  2. (u. a. 3 Blu-rays für 15€, 2 Neuheiten für 15€)

altuser 07. Jul 2018

War auch eine von zwei Varianten, die ich im Hinterkopf habe. Variante 2: Es gibt jetzt...

altuser 07. Jul 2018

Und die Zeichen sind geheim oder warum postest Du sie hier nicht?

My1 05. Jul 2018

für viele "normale" validierungen ließe sich im PDF standard was regeln, sodass es bspw...

TheUnichi 04. Jul 2018

Was soll das sein? Ich finde nur eine GitHub library, "A simpler and mockable gocql...

andy01q 04. Jul 2018

Whitehat findet einen üblen 0-day und denkt darüber nach den auf üblichem Weg zu...


Folgen Sie uns
       


Bright Memory Episode 1 - 10 Minuten Gameplay

Wir zeigen die ersten 10 Minuten von Bright Memory, dem actionreichen Indie-Ego-Shooter mit spektakulären Schwertkampf-Einlagen.

Bright Memory Episode 1 - 10 Minuten Gameplay Video aufrufen
Datenschutz: Nie da gewesene Kontrollmacht für staatliche Stellen
Datenschutz
"Nie da gewesene Kontrollmacht für staatliche Stellen"

Zur G20-Fahndung nutzt Hamburgs Polizei eine Software, die Gesichter von Hunderttausenden speichert. Schluss damit, sagt der Datenschutzbeauftragte - und wird ignoriert.
Ein Interview von Oliver Hollenstein

  1. Brexit-Abstimmung IT-Wirtschaft warnt vor Datenchaos in Europa
  2. Österreich Post handelt mit politischen Einstellungen
  3. Digitalisierung Bär stößt Debatte um Datenschutz im Gesundheitswesen an

Datenleak: Die Fehler, die 0rbit überführten
Datenleak
Die Fehler, die 0rbit überführten

Er ließ sich bei einem Hack erwischen, vermischte seine Pseudonyme und redete zu viel - Johannes S. hinterließ viele Spuren. Trotzdem brauchte die Polizei offenbar einen Hinweisgeber, um ihn als mutmaßlichen Täter im Politiker-Hack zu überführen.

  1. Datenleak Bundestagsabgeordnete sind Zwei-Faktor-Muffel
  2. Datenleak Telekom und Politiker wollen härtere Strafen für Hacker
  3. Datenleak BSI soll Frühwarnsystem für Hackerangriffe aufbauen

WLAN-Tracking und Datenschutz: Ist das Tracken von Nutzern übers Smartphone legal?
WLAN-Tracking und Datenschutz
Ist das Tracken von Nutzern übers Smartphone legal?

Unternehmen tracken das Verhalten von Nutzern nicht nur beim Surfen im Internet, sondern per WLAN auch im echten Leben: im Supermarkt, im Hotel - und selbst auf der Straße. Ob sie das dürfen, ist juristisch mehr als fraglich.
Eine Analyse von Harald Büring

  1. Gefahr für Werbenetzwerke Wie legal ist das Tracking von Online-Nutzern?
  2. Landtagswahlen in Bayern und Hessen Tracker im Wahl-O-Mat der bpb-Medienpartner
  3. Tracking Facebook wechselt zu First-Party-Cookie

    •  /