Die 7 am häufigsten ausgenutzten Exploits in freier Wildbahn Datum: 20.04.2015 20:15 Kategorie: IT, New Media & Software Pressemitteilung von: BitDefender GmbH Schwerte, 16. April 2015 Heartbleed, Shellshock und Poodle waren 2014 für Menschen weltweit ein unerwarteter Schock ihre gefährlichen Auswirkungen und weite Verbreitung ließ bei vielen hundert Millionen Nutzen die Frage nach ihrer Sicherheit aufkommen. Aber treffen uns Cyber-Angriffe wirklich immer aus heiterem Himmel? In den letzten Jahren boomen Exploit Kits. Diese Tools werden in der Regel auf kompromittierten Servern gehostet und wie herkömmliche Webseiten bereitgestellt. Landet ein Benutzer auf einer dieser Seiten, wird die Browser-Version ermittelt und entsprechende Inhalte übermittelt, um ihn zum Absturz zu bringen. Nach dem Absturz wird eine Schadroutine ohne Zutun des Benutzers ausgeführt und der Computer wird so unbemerkt infiziert. Im Anschluss kann der betroffene PC zum Teil eines Botnetzes gemacht und auf Stundenbasis vermietet werden, um ihn für Finanzbetrug, DDoS-Angriffe, Malware-Hosting, den Versand von Spam und anonymen Zugriff zu missbrauchen. Eine weitere Möglichkeit wäre es, ihn mit Malware wie Crypto-Ransomware oder Bitcoin-Minern zu infizieren. Bitdefender hat sich mit den am häufigsten eingesetzten Exploits beschäftigt, die in den letzten sechs Monaten die meisten PCs betroffen haben. Die Ergebnisse zeigen, wie vielseitig und gefährlich diese Schwachstellen wirklich sind. Die meisten Benutzer versäumen es, ihre Software regelmäßig zu aktualisieren. So können Angreifer Schwachstellen und Sicherheitslücken in veralteten Anwendungen und Betriebssystemen gezielt ausnutzen. Wenig überraschend gelangen Exploits meist versteckt in E-Mail-Anhängen, manipulierten Websites und anderen Social-Engineering-Versuchen auf den Zielcomputer. Nach Ausführung durch den Benutzer erlauben sie es Cyber-Kriminellen, die volle Kontrolle über das System zu erlangen, Daten zu stehlen oder zu verhindern, dass die Software überhaupt ausgeführt werden kann. Die Erfahrung hat zudem gezeigt, dass keine Software grundsätzlich sicher ist. Erst kürzlich wurden im Rahmen des diesjährigen Pwn2Own-Hackerwettbewerbs 21 als kritisch eingestufte Sicherheitslücken in den vier beliebtesten Browsern sowie in Windows, Adobe Flash und Adobe Reader aufgedeckt. Die folgende Übersicht zeigt die sieben Schwachstellen, die nach den aktuellen Untersuchungen in den letzten sechs Monaten am häufigsten von Angreifern ausgenutzt worden sind: Seite 1
CVE-2013-2551 Eine so genannte Use-after-free-Schwachstelle in den Microsoft-Internet-Explorer-Versionen 6 bis 10. Sie erlaubt es entfernten Angreifern über eine manipulierte Website beliebigen Code auszuführen. Möglich wird dies, wie von VUPEN während des Pwn3Own-Wettbewerbs im Jahr 2013 gezeigt, weil der Internet Explorer auf ein Objekt im Speicher zugreift, das bereits gelöscht wurde. Der IE10-Hackangriff des Unternehmens konnte alle Schutzmechanismen in Windows 8 und im Internet Explorer umgehen und den Code ausführen, ohne den Browser zum Absturz zu bringen. Was bedeutet das? Ruft der Benutzer eine manipulierte Webseite mit einer angreifbaren Version des Internet Explorers auf, versucht der Browser die Inhalte dieser Seite darzustellen. Die fehlerhafte Formatierung der Inhalte sorgt dafür, dass die Inhalte eine Unterkomponente des Browsers zum Absturz bringen und die Steuerung der Schadroutine (also der Malware, die auf dem anfälligen PC installiert werden soll) übertragen. Aktuell in den folgenden Kits zu finden: Neutrino Exploit Kit, Fiesta Exploit Kit, Hitman Exploit Kit, Styx, Magnitude EK, Nuclear Pack, Sweet Orange EK, FlashPack und Angler. CVE-2014-6352 Diese Schwachstelle wurde zum ersten Mal im Oktober 2014 ausgenutzt und betrifft eine Vielzahl von Software-Versionen, darunter Microsoft Windows Vista SP2, Windows Server 2008 SP2 und R2 SP1, Windows 7 SP1, Windows 8, Windows 8.1, Windows Server 2012 Gold und R2 sowie Windows RT Gold und 8.1. Über sie können Angreifer per Fernzugriff beliebigen Code über ein speziell gestaltetes OLE-Objekt (Object Linking and Embedding) ausführen. OLE ist eine von Microsoft entwickelte Technologie zur Einbettung und Verlinkung von Dokumenten und anderen Objekten. Für einen erfolgreichen Angriff muss das Opfer zunächst ein speziell gestaltetes PowerPoint-Dokument öffnen, das eine Schadroutine enthält. Nach dem Öffnen wird der Code vom PPT-Dokument mit den jeweiligen Benutzerrechten ausgeführt. Im Anschluss kann der Angreifer einen weiteren Exploit anhängen, um seine Rechte auf die eines lokalen Administrators zu erweitern. Aktuell in keinem handelsüblichen Exploit Pack enthalten. Diese Bedrohung verbreitet sich hauptsächlich über Spam-Nachrichten. CVE-2011-3544.R Eine nicht näher beschriebene Schwachstelle in der Java-Laufzeitumgebungskomponente in Oracle Java SE JDK und JRE 7 und 6 Update 27 und früher. Ermöglicht nicht vertrauenswürdigen Java-Web-Start-Anwendungen und nicht vertrauenswürdigen Java-Applets ein System zu kompromittieren. Mit Java Web Start können Benutzer Java-Anwendungen aus dem Internet herunterladen und ausführen. Es ist seit Java 5.0 Teil der Java-Laufzeitumgebung. Wie funktioniert es? Eine manipulierte Website versucht ein fehlerhaft formatiertes Java-Applet zu laden. Der enthaltene Code kann sich erweiterte Rechte verschaffen und Seite 2
auch außerhalb seiner Sandbox ausgeführt werden. Aktuell in folgenden Exploit Kits zu finden: Bleeding life, CK VIP, CritXpack. CVE-2014-0515.C Veranlasst einen Pufferüberlauf in bestimmten Versionen des Adobe Flash Players auf Windows, Linux und OS X. Ermöglicht es Angreifern per Fernzugriff beliebigen Code über nicht näher beschriebene Vektoren auszuführen, was bereits im April 2014 erfolgreich ausgenutzt wurde. Wie funktioniert es? Landet der Browser auf einer kompromittierten Webseite, versucht das Adobe-Player-Browser-Plug-in die Datei abzuspielen. Der enthaltene ActionScript-Code manipuliert jedoch den normalen Programmablauf und verweist stattdessen auf eine Schadroutine. Aktuell in den folgenden Exploit Kits zu finden: Archie, Astrum Exploit Kit, Blackhole, Flash exploit kit, Hanjuan, Neutrino, Niteris, Nuclear Exploit Kit, Null Hole, Rig und Sweet Orange. CVE-2014-1776.A Use-after-free-Schwachstelle im Microsoft Internet Explorer 6 bis 11 mit der Angreifer per Fernzugriff beliebigen Code ausführen können oder einen Denial of Service (Beschädigung des Speichers) über Vektoren im Zusammenhang mit der CMarkup::IsConnectedToPrimaryMarkup-Funktion auslösen. Steuert der Benutzer eine manipulierte Website an, versucht der Browser, eine Flash-SWF-Datei zu laden. Diese SWF-Datei ist darauf ausgelegt, den Speicher des Programms durch Überschreiben bestimmter Bereiche zu modifizieren. Anstatt die SWF-Datei zu rendern, führt der Flash Player so schädlichen Code aus, der das System kompromittiert. Aktuell zu finden in Infinity / Redkit / Goon, Sednit und Angler. CVE-2010-0840.AU Eine nicht näher beschriebene Schwachstelle in der Java-Laufzeitumgebungskomponente in Oracle Java SE und Java for Business. Ermöglicht Angreifern per Fernzugriff über unbekannte Vektoren die Vertraulichkeit, Integrität und Verfügbarkeit zu beeinträchtigen. Aktuell zu finden im Nuclear Pack v 2.6, Dragon Pack, Hierarchy Exploit Kit und Blackhole. CVE-2012-0158.A Betrifft Microsoft Office 2003 SP3, 2007 SP2 und SP3 sowie 2010 Gold und SP1; Office 2003 Web Components SP3; SQL Server 2000 SP4, 2005 SP4 und 2008 SP2, SP3 und R2; Visual FoxPro 8.0 SP1 und 9.0 SP2 sowie Visual Basic 6.0 Runtime. Ermöglicht Angreifern per Fernzugriff die Ausführung von beliebigem Code über eine speziell gestaltete Website, ein Office-Dokument oder eine RTF-Datei, der eine Beschädigung des Systemstatus bewirkt. Dies wurde bereits im April 2012 in freier Wildbahn als MSCOMCTL.OCX RCE-Schwachstelle erfolgreich ausgenutzt. Seite 3
Wie funktioniert es? Dieser Angriff umfasst mehrere Phasen und beginnt damit, dass das Opfer eine schädliche RTF-Datei öffnet, die als Anhang einer Spam-Nachricht eingeschleust wird. Wird das Dokument geöffnet, umgeht ein speziell dafür geschriebener Code das Subsystem zur Datenausführungsverhinderung und entschlüsselt danach die versteckte Schadroutine und lädt sie in den Speicher. Der komplexe Code verlagert die Ausführung in den Speicherbereich, in dem sich die Schadroutine befindet. Dieser Exploit wurde in freier Wildbahn bisher hauptsächlich zur Verbreitung von Ransomware genutzt. Aktuell in keinem handelsüblichen Exploit Kit enthalten. Diese Pressemitteilung wurde auf openpr veröffentlicht. Pressekontakt: Bitdefender DV24, Building A 24 Delea Veche Street, Sector 2 Bukarest, 024102, Rumänien Ansprechpartner: Andrei Taflan PR Coordinator Tel.: +40 (0) 731 496 792 E-Mail: ataflan@bitdefender.com Deutsche Niederlassung: Bitdefender GmbH TechnoPark Schwerte Lohbachstrasse 12, D - 58239 Schwerte Über Bitdefender Bitdefender ist Hersteller einer der weltweit schnellsten und effektivsten Produktserien für international zertifizierte Internet-Sicherheits-Software. Seit dem Jahr 2001 ist das Unternehmen immer wieder ein innovativer Wegbereiter der Branche, indem es preisgekrönte Schutzlösungen einführt und weiterentwickelt. Mittlerweile setzen weltweit rund 400 Millionen Privat- und Geschäftsanwender auf die Bitdefender-Technologie, um ihre digitale Welt sicherer zu machen. Bitdefender hat vor kurzem eine Reihe wichtiger Empfehlungen und Auszeichnungen in der globalen Sicherheitsindustrie erhalten. Dazu gehören Produkt des Jahres 2012 von AV-Comparatives, Beste Reparatur 2012 von AV-Test und Editor s Choice des PC Mag. Diese Auszeichnungen bestätigen den Spitzenplatz der Software unter den Sicherheitslösungen. Weitere Informationen zu den Antivirenprodukten von Bitdefender sind im Bitdefender Security Center der Unternehmenswebseite im Pressecenter verfügbar. Über Bitdefender HOTforSecurity Zusätzlich veröffentlicht Bitdefender das englischsprachige Blog HOTforSecurity, welches rund um die aktuelle Sicherheitslage weltweit informiert. Es bietet eine prickelnde Mischung aus nebulösen Computersicherheitsgeschichten und sachlich fundierten Stories, die die schmutzige Welt der Internetbetrügereien, Spams, Scams, Malware und des Seite 4
Klatsches sichtbar macht. Bitdefender pflegt auch eine deutsche HOTforSecurity-Version, die sich insbesondere auf die Nachrichtenlage im deutschsprachigen Raum (Deutschland, Österreich, Schweiz) konzentriert. Wollen Sie zu allen aktuellen Bedrohungen immer auf dem Laufenden sein, dann abonnieren Sie hier unseren Newsletter. Seite 5