In den letzten Jahren boomen Exploit Kits. Diese Tools werden in der Regel auf kompromittierten Servern gehostet und wie herkömmliche Webseiten bereitgestellt. Landet ein Benutzer auf einer dieser Seiten, wird die Browser-Version ermittelt und entsprechende Inhalte übermittelt, um ihn zum Absturz zu bringen. Nach dem Absturz wird eine Schadroutine ohne Zutun des Benutzers ausgeführt und der Computer wird so unbemerkt infiziert. Im Anschluss kann der betroffene PC zum Teil eines Botnetzes gemacht und auf Stundenbasis vermietet werden, um ihn für Finanzbetrug, DDoS-Angriffe, Malware-Hosting, den Versand von Spam und anonymen Zugriff zu missbrauchen. Eine weitere Möglichkeit wäre es, ihn mit Malware wie Crypto-Ransomware oder Bitcoin-Minern zu infizieren. Bitdefender hat sich mit den am häufigsten eingesetzten Exploits beschäftigt, die in den letzten sechs Monaten die meisten PCs betroffen haben. Die Ergebnisse zeigen, wie vielseitig und gefährlich diese Schwachstellen wirklich sind. [...]
Die meisten Benutzer versäumen es, ihre Software regelmäßig zu aktualisieren. So können Angreifer Schwachstellen und Sicherheitslücken in veralteten Anwendungen und Betriebssystemen gezielt ausnutzen. Wenig überraschend gelangen Exploits meist versteckt in E-Mail-Anhängen, manipulierten Websites und anderen Social-Engineering-Versuchen auf den Zielcomputer. Nach Ausführung durch den Benutzer erlauben sie es Cyber-Kriminellen, die volle Kontrolle über das System zu erlangen, Daten zu stehlen oder zu verhindern, dass die Software überhaupt ausgeführt werden kann. Die Erfahrung hat zudem gezeigt, dass keine Software grundsätzlich sicher ist. Erst kürzlich wurden im Rahmen des diesjährigen Pwn2Own-Hackerwettbewerbs 21 als kritisch eingestufte Sicherheitslücken in den vier beliebtesten Browsern sowie in Windows, Adobe Flash und Adobe Reader aufgedeckt.
Die folgende Übersicht zeigt die sieben Schwachstellen, die nach den aktuellen Untersuchungen von BItdefender in den letzten sechs Monaten am häufigsten von Angreifern ausgenutzt worden sind:
CVE-2013-2551
Eine so genannte Use-after-free-Schwachstelle in den Microsoft-Internet-Explorer-Versionen 6 bis 10. Sie erlaubt es entfernten Angreifern über eine manipulierte Website beliebigen Code auszuführen. Möglich wird dies, wie von VUPEN während des Pwn3Own-Wettbewerbs im Jahr 2013 gezeigt, weil der Internet Explorer auf ein Objekt im Speicher zugreift, das bereits gelöscht wurde. Der IE10-Hackangriff des Unternehmens konnte alle Schutzmechanismen in Windows 8 und im Internet Explorer umgehen und den Code ausführen, ohne den Browser zum Absturz zu bringen.
Was bedeutet das? Ruft der Benutzer eine manipulierte Webseite mit einer angreifbaren Version des Internet Explorers auf, versucht der Browser die Inhalte dieser Seite darzustellen. Die fehlerhafte Formatierung der Inhalte sorgt dafür, dass die Inhalte eine Unterkomponente des Browsers zum Absturz bringen und die Steuerung der Schadroutine (also der Malware, die auf dem anfälligen PC installiert werden soll) übertragen.
Aktuell in den folgenden Kits zu finden: Neutrino Exploit Kit, Fiesta Exploit Kit, Hitman Exploit Kit, Styx, Magnitude EK, Nuclear Pack, Sweet Orange EK, FlashPack und Angler.
CVE-2014-6352
Diese Schwachstelle wurde zum ersten Mal im Oktober 2014 ausgenutzt und betrifft eine Vielzahl von Software-Versionen, darunter Microsoft Windows Vista SP2, Windows Server 2008 SP2 und R2 SP1, Windows 7 SP1, Windows 8, Windows 8.1, Windows Server 2012 Gold und R2 sowie Windows RT Gold und 8.1. Über sie können Angreifer per Fernzugriff beliebigen Code über ein speziell gestaltetes OLE-Objekt (Object Linking and Embedding) ausführen. OLE ist eine von Microsoft entwickelte Technologie zur Einbettung und Verlinkung von Dokumenten und anderen Objekten.
Für einen erfolgreichen Angriff muss das Opfer zunächst ein speziell gestaltetes PowerPoint-Dokument öffnen, das eine Schadroutine enthält. Nach dem Öffnen wird der Code vom PPT-Dokument mit den jeweiligen Benutzerrechten ausgeführt. Im Anschluss kann der Angreifer einen weiteren Exploit anhängen, um seine Rechte auf die eines lokalen Administrators zu erweitern.
Aktuell in keinem handelsüblichen Exploit Pack enthalten. Diese Bedrohung verbreitet sich hauptsächlich über Spam-Nachrichten.
CVE-2011-3544.R
Eine nicht näher beschriebene Schwachstelle in der Java-Laufzeitumgebungskomponente in Oracle Java SE JDK und JRE 7 und 6 Update 27 und früher. Ermöglicht nicht vertrauenswürdigen Java-Web-Start-Anwendungen und nicht vertrauenswürdigen Java-Applets ein System zu kompromittieren.
Mit Java Web Start können Benutzer Java-Anwendungen aus dem Internet herunterladen und ausführen. Es ist seit Java 5.0 Teil der Java-Laufzeitumgebung.
Wie funktioniert es? Eine manipulierte Website versucht ein fehlerhaft formatiertes Java-Applet zu laden. Der enthaltene Code kann sich erweiterte Rechte verschaffen und auch außerhalb seiner Sandbox ausgeführt werden.
Aktuell in folgenden Exploit Kits zu finden: Bleeding life, CK VIP, CritXpack.
Be the first to comment