tom's networking guide
 
Anzeige
Belkin: People Inspried Products auf der IFA 2012 >
< Malware DNS-Changer: Hintergrund und Testtool
06.07.12 12:16 Alter: 8 Jahre
Kategorie: Top-News, Administratoren, Heim-Anwender, Sicherheit, Security
Von: Nina Eichinger

Trend Micro analysiert Schädling für nicht geschlossene Microsoft-Sicherheitslücke

Unternehmen sollten virtuell patchen, Privatanwender den Microsoft-Hotfix einspielen und ihre Sicherheitssoftware aktualisieren


Trend Micro Logo

Hallbergmoos – Unabhängig davon, ob Microsoft den Hotfix für die Sicherheitslücke CVE-2012-1889 beim nächsten Patch Tuesday durch eine Sicherheitsaktualisierung ersetzen wird, besteht weiterhin Gefahr. Denn der Schadcode, der diese Lücke ausnutzt, ist im Umlauf und zumindest die Unternehmen haben Schwierigkeiten, Patches sofort nach deren Erscheinen einzuspielen. Trend Micro hat den Schädling mit der Bezeichnung "HTML_EXPLOYT.AE" nun analysiert (http://blog.trendmicro.de/technische-analyse-der-sicherheitsluecke-cve-2012-1889).

Der Schädling weist als wesentliche Faktoren den Missbrauch der "Microsoft XML Core Services", "Heap Spraying" sowie das Fehlen einer "Return-Oriented-Programming-Funktion (ROP)" auf. Er kann sich über verschiedene Wege in ein System einschleusen, sei es etwa über E-Mail oder eine bösartige Webseite. Die Schadsoftware versucht, die Lücke CVE-2012-1889 via Internet Explorer auszunutzen. Es fällt auf, dass der Schädling keine Funktion besitzt, um DEP (Data Execution Prevention) zu umgehen. Falls er in einem Internet Explorer läuft, in dem die DEP aktiv ist, so erkennt diese, dass ein Fehler vorliegt, und beendet sicherheitshalber den Microsoft-Browser. Sollten Anwender also vermehrt mit Abstürzen ihres Internet Explorers zu kämpfen haben, sollten sie ihren Rechner umgehend von ihrer Sicherheitssoftware nach Schadcode untersuchen lassen – natürlich nachdem sie ihre Sicherheitslösung auf den aktuellen Stand gebracht haben.

Die kritische Sicherheitslücke in den Microsoft XML Core Services ermöglicht das Ausführen von Code durch Dritte über den Zugriff auf ein nicht initialisiertes COM-Objekt im Arbeitsspeicher. Dadurch kann ein Angreifer beliebigen Code im Rahmen der jeweiligen Berechtigungen des angemeldeten Users ausführen.

Die Microsoft XML Core Services stellen ein Set an Programmierschnittstellen (APIs) für den Zugriff auf bestimmte COM-Objekte bereit, eigentlich dazu gedacht, um Document-Object Model-Aufgaben wie die Verwaltung von Namensräumen zu vereinfachen. Ein Angreifer kann aber damit Websites so präparieren, dass sie eine bösartige Webseite beherbergen, die besagte Microsoft XML APIs aufruft. Dies wiederum ermöglicht den Zugriff auf ein COM-Objekt im Arbeitsspeicher, das zuvor noch nicht gestartet wurde. Die Sicherheitslücke wird ausgenutzt, wenn ein Anwender diese präparierten Webseiten mit dem Internet Explorer öffnet. Anwender dürften über anklickbare Links in einer speziell präparierten E-Mail-Nachrichten oder Instant Messages in die Falle gelockt werden.

Jetzt: Sicherheitslücke schließen
Privatanwender sollten ihre Geräte bis zur Veröffentlichung des offiziellen Patches über den von Microsoft bereitgestellten Hotfix schützen: Einfach folgenden Link http://support.microsoft.com/kb/2719615 öffnen, nach unten scrollen und auf die mit "Aktivieren" überschriebene Schaltfläche klicken. Die mit dem Notfallprogramm vorgenommenen Einstellungsänderungen im Internet Explorer verhindern, dass Schadsoftware die Sicherheitslücke ausnutzen kann. Allerdings kann es zu Einschränkungen bei Darstellung und Nutzung von legitimen Webseiten kommen, weil bestimmte darin eingebettete Scripts eventuell blockiert werden. Aber was ist schon ein bisschen weniger Komfort im Vergleich zu einer Infektion?

Darüber hinaus sollten Privatanwender Sicherheitssoftware nutzen, die mit Reputationsdiensten zur Bewertung von E-Mail-Nachrichten, Dateien und Webseiten arbeitet. Denn dadurch lässt sich im Falle der vorliegenden Bedrohung auch das unabsichtliche Anklicken von Webadressen mit den erwähnten speziell für die Sicherheitslücke präparierten Webseiten verhindern.

Schneller und günstiger: Virtuelles Patchen für Unternehmen
Unternehmen, die sich vor Angriffen über Sicherheitslücken wie die hier beschriebene schützen wollen, aber aus Aufwands- und Kostengründen ihre Endpunkte nur in größeren zeitlichen Abständen aktualisieren können, sollten die Möglichkeit des virtuellen Patchens in Betracht ziehen. Trend Micro bietet seinen Kunden insbesondere zwei Lösungen, mit denen sich Sicherheitslücken schnell und kostengünstig schließen lassen: "Deep Security" sowie "OfficeScan" mit dem "Intrusion Defense Firewall-Plugin". Im Falle der Sicherheitslücke CVE-2012-1889 schützt Trend Micro über die Regel "IDF rule 1005061- Microsoft XML Core Services Remote Code Execution Vulnerability (CVE-2012-1889)".


Leserkommentar

Keine Kommentare

Kommentar hinzufügen

* - Pflichtfeld

*





*
*
Rubriken
Anzeige
Anzeige
Anzeige
Anzeige
News

CeBIT 2018 - ein holpriger Neustartversuch

CeBIT Logo

"Die CEBIT 2018 wird ein Business-Festival für Innovation und Digitalisierung", sagte Oliver Frese...

[mehr]

Trend Micro trauert um Günter Untucht

Günter Untucht (Bild: Trend Micro)

Der europäische Chefjustiziar von Trend Micro, Günter Untucht, ist Ende Januar überraschend...

[mehr]

Corel VideoStudio Ultimate 2018 mit neuen Funktionen verfügbar

Corel Logo (Grafik: Logo)

Erste Wahl für anspruchsvolle Gelegenheitsanwender – diesen Anspruch erfüllt das...

[mehr]

Argus 2 - kabellose Überwachungskamera für Akku- und Solarbetrieb

Die Argus 2 ist für innen und außen geeignet. (Bild: Reolink)

Reolink stellt mit der Argus 2 seine neueste Kamera vor. Die innovative Überwachungskamera...

[mehr]

Meltdown und Spectre: MSI liefert BIOS-Updates für Z370-Mainboard

MSI Logo

Mit den Updates will MSI mögliche SIcherheitslücken im aktuellen Intel-Microcode schließén. Updates...

[mehr]

CES 2018: Acer lässt Gamer-Herzen höher schlagen

Acer Nitro 5 (Bild: Acer)

Ob für Gamer, Kreative oder Business-Nutzer - auf der CES in Las Vegas stellt Acer für jeden etwas...

[mehr]
Anzeige
Anzeige