Pufferüberlauf könnten Angreifer ausnutzen
BSPlayer-Exploit aus dem Jahr 2010 betrifft weiterhin aktuelle Versionen
Jeder, der mit der Materie vertraut ist, könnte diese Sicherheitslücke bereits gezielt ausgenutzt haben, um Schadroutinen zu verstecken und den Computer so zum Teil eines BotMetzes zu machen, mit entsprechender Malware Daten zu stehlen oder mithilfe von Ransomware Lösegeld zu erpressen
Neueste Untersuchungen von Bitdefender haben gezeigt, dass eine bereits bekannte und dokumentierte Pufferüberlauf-Schwachstelle in einer BSPlayer-Version aus dem Jahr 2010 auch die aktuelle Version (v2.68) betrifft. Zwar funktionierte der Proof-of-Concept-Exploit (POC), der 2010 für die Version 2.57 entwickelt wurde, nach dem anschließenden BSPlayer-Update nicht mehr, doch ist es mit dem Exploit auch weiterhin möglich, die Anwendung zum Absturz zu bringen und einen Pufferüberlauf zu verursachen, der es Angreifern erlaubt, beliebigen Code auszuführen. Laut Angaben des Anbieters wird der BSPlayer in ihrer aktuellen Version "von mehr als 70 Millionen Multimedia-Benutzern weltweit angewendet". Der aktuelle Exploit lässt also die Frage aufkommen, wie viele Benutzer dieser Gefahr bereits seit mindestens fünf Jahren ausgesetzt sind.
Wie ist der BSPlayer-Exploit aufgebaut?
BSPlayer enthält in seinem "bsib.dll"-Modul einen Pufferüberlauf, den Angreifer ausnutzen können, um beliebigen Code auszuführen. Wird eine ".m3u"-Datei geöffnet, die eine lange URL enthält, versucht der Code, den Link ohne Überprüfung der Begrenzungen in einen stapelzugeordneten Puffer zu kopieren, was einen Pufferüberlauf zur Folge hat. Die Überprüfung der Begrenzungen hilft in erster Linie dabei festzustellen, ob eine Variable überhaupt die richtige Größe hat.
BSPlayer konvertiert den Eingabepuffer zunächst in UNICODE1, wodurch es schwieriger aber nicht unmöglich wird, die Schwachstelle auszunutzen.
Man kann erkennen, wie der Code versucht, den Eingabepuffer der Größe 0x138F in einen stapelzugeordneten Puffer der Größe 0x6CD zu kopieren.
Vor dem Überlauf sehen der Stapel und die Kette der strukturierten Ausnahmebehandlung (SEH Structured Exception Handling)2 folgendermaßen aus:
Nach dem Überlauf wird die SEH-Kette mit dem Pufferinhalt überschrieben. Da der BSPlayer ohne ASLR (Address Space Layout Randomization)3 und SafeSEH kompiliert wird, kann eine Adresse aus dem Modul "bsplayer.exe" als SEH-Handler verwendet werden.
Dieser Handler erlaubt es, im Puffer zurückzuspringen und mithilfe von so genanntem Venetian Shellcode4 aus dem EBX-Register die Speicheradresse der Schadroutine zu ermitteln, die auf eine beliebige Stelle in dem Puffer verweist:
Wird die UNICODE-codierte Schadroutine nun ausgeführt, startet diese die Anwendung "calc.exe".
Der Exploit wurde erfolgreich auf den x86- und x64-Versionen von Windows XP und Windows 7 mit der DEP-Standardoption (Data Execution Prevention Datenausführungsverhinderung)5 getestet, welche nur für Windows-Prozesse und -Dienste aktiviert ist. Auf Windows 8 kann die Schwachstelle nicht ausgenutzt werden, da hier der SehOP-Schutz (Structured Exception Handler Overwrite Protection)6 standardmäßig aktiviert ist.
Angriffsvektoren
Derartige Angriffe können über schädliche E-Mail-Anhänge, die die Neugier des Nutzers ausnutzen sollen, genauso wie über böswillige Werbeanzeigen und Websites erfolgen, die kostenlose Medieninhalte anbieten, um Benutzer zum Herunterladen und Ausführen der ".m3u"-Datei zu bewegen.
Im schlimmsten Fall platziert die manipulierte Datei dann bei Ausführung Schadcode auf dem System. Hierbei kann es sich um einen einfachen Trojaner aber ebenso auch um Ransomware handeln, die Ihre Daten verschlüsselt und für die Freigabe ein Lösegeld verlangt.
Versiertere Cyber-Kriminelle würden diesen Exploit (oder jeden anderen Exploit) vermutlich eher dazu missbrauchen, um einzelne Computer oder Computernetzwerke zu infiltrieren und sich so dauerhaft Zugang zu den Unternehmensnetzwerken oder Computern ihrer Opfer zu sichern. Denn es hat sich als weitaus rentabler erwiesen, langfristig auf sensible oder vertrauliche Daten aus den betroffenen Computern oder Computernetzwerken zugreifen zu können, als sich dem Risiko einer Erkennung durch eine Sicherheitssoftware auszusetzen, weil man dem Benutzer schlicht einen Streich spielt oder durch den Einsatz von Ransomware auf das schnelle Geld hofft.
Was bedeutet das für die Praxis?
Jeder, der mit der Materie vertraut ist, könnte diese Sicherheitslücke bereits gezielt ausgenutzt haben, um Schadroutinen zu verstecken und den Computer so zum Teil eines BotMetzes zu machen, mit entsprechender Malware Daten zu stehlen oder mithilfe von Ransomware Lösegeld zu erpressen.
Durch Nutzung der Möglichkeit zur beliebigen Code-Ausführung über den Pufferüberlauf im BSPlayer können Angreifer jede gewünschte Aktion veranlassen. In dem Bitdefender Proof-of-Concept ist lediglich die Ausführung der Anwendung "calc.exe" vorgesehen, die Auswirkungen können aber weitaus schlimmer sein, wenn der Angriff nicht zu rein wissenschaftlichen Zwecken erfolgt.
Wenn man sich vorstellt, dass ein APT-Angriff (Advanced Persistent Threat) auf ein großes Unternehmensnetzwerk durch gezielte Ansprache des schwächsten Glieds eingeleitet wird, könnten die Folgen noch schlimmer sein. Ein Beispiel: Ein Mitarbeiter des Unternehmens erhält eine so genannte Spear-Phishing-E-Mail. Ist diese E-Mail überzeugend genug, um den Mitarbeiter zur Ausführung der BSPlayer-.m3u-Datei zu veranlassen, wird sein Heimcomputer höchstwahrscheinlich infiziert. Wird diese Malware dann noch per USB-Stick oder anderen mobilen Datenträgern auf einen unternehmenseigenen Computer übertragen, könnte diese das Unternehmensnetzwerk von innen heraus angreifen und als Vorhut die Infrastruktur erst anfällig für einen umfassenderen Angriff machen.
Cyber-Kriminelle, die es auf Geld abgesehen haben oder sich als Hacktivisten verstehen, nutzen Sicherheitslücken für ihre Zwecke und verbreiten so äußerst gefährliche Malware.
Anbieter sind in jedem Fall dazu aufgerufen, engen Kontakt mit Sicherheitsanbietern zu pflegen und Patches für bekannte kritische Sicherheitslücken schnellstmöglich zu veröffentlichen. Je beliebter eine Software ist, desto mehr Benutzer sind potenziellen Risiken ausgesetzt.
Exploits wertvoller als Gold
2013 wurden pro Tag im Schnitt 13 neue Sicherheitslücken gemeldet, im Jahr 2014 waren es bereits 19 neue Schwachstellen pro Tag. Es besteht offensichtlich ein steigendes Interesse daran, neue Hintertüren in beliebten Programmen und Anwendungen aufzudecken, was ein regelrechtes Wettrüsten zwischen Anbietern und Cyber-Kriminellen zur Folge hat, bei dem es nur darum geht, wer eine Schwachstelle als Erster aufdecken kann.
Im Jahr 2014 ist eine Vielzahl an Exploits zur Verbreitung von Schadroutinen bekannt geworden. Cyber-Kriminelle sind ununterbrochen auf der Suche nach Exploits in Java, Adobe-Software und den gängigsten Browsern, da diese Produkte millionenfach eingesetzt werden und somit den Zugang zu ebenso vielen möglichen Opfern gewähren könnten.
Und auch wenn Google erst kürzlich sein Prämienprogramm für neu gefundene Schwachstellen in Google Chrome eingestellt hat, berichten unabhängige Sicherheitsforscher auch weiterhin von schwerwiegenden Schwachstellen in beliebten Betriebssystemen oder Anwendungen nicht, um damit Geld zu verdienen, sondern vielmehr aus einer moralischen Verpflichtung heraus.
Von Zero-Day-Schwachstellen oder -Exploits geht eine derart große Gefahr aus, weil Angreifer so ihren eigenen Code unbemerkt in vertrauenswürdigen Anwendungen verstecken können, um dann verschiedenste Aktionen durchzuführen. So können sie beispielsweise weitere Trojaner oder Spyware herunterladen, um sich dauerhaft Zugang zu den Zielcomputern und betroffenen Netzwerken zu verschaffen.
Außerdem sind Schwachstellen in Form von Pufferüberlauffehlern nur schwer zu kontrollieren und vorherzusagen, weshalb Sicherheitslösungen den von den Hackern eingebrachten Code auch häufig als unbedenklich einstufen. Denn schließlich wurde er über eine vollkommen harmlose Anwendung gestartet.
Aus diesem Grund sind Zero-Day-Schwachstellen oder -Exploits auch eine begehrte Ware auf den Schwarzmärkten. Sie bieten Angreifern die Möglichkeit, sowohl Sicherheitssoftware als auch andere verbreitete Lösungen für die Endpunktsicherheit zu umgehen und die uneingeschränkte Kontrolle über die betroffenen Computer zu erlangen.
In den letzten Jahren hat sich die Suche nach Exploits zu einem eigenen Markt entwickelt, der sich als wahrer Goldesel für Black-Hat-Hacker auf der Suche nach dem schnellen Geld erwiesen hat. Mit nur einem Zero-Day-Exploit für eine beliebte Anwendung oder Browser lassen sich sechsstellige Summen verdienen; betrifft die Schwachstelle viele hundert Millionen Nutzer ist die Summe sogar noch größer.
Wachsam bleiben
Angesichts dieser Erkenntnisse rät Bitdefender Nutzern eindringlich dazu, stets eine Sicherheitslösung zu verwenden und diese regelmäßig zu aktualisieren, um auch den neuesten Bedrohungen auf die Spur zu kommen. Denn selbst wenn sich ein Cyber-Krimineller eine Zero-Day-Sicherheitslücke in einer der täglich genutzten Anwendungen zu Nutze macht, kann eine umfassende und vollwertige Sicherheitslösung eine solche, über den Exploit verbreitete Schadroutine erkennen.
User sollten zudem immer die neuesten Updates und Patches für Ihre Betriebssysteme und Anwendungen installieren, um das Risiko zu minimieren, dass Cyber-Kriminelle bereits bekannte Schwachstellen ausnutzen.
Manchmal reicht ein wenig Vorsicht schon aus. Bitdefender empfiehlt, sich im Internet stets an gewisse Verhaltensregeln zu halten und zum Beispiel keine verdächtigen E-Mail-Anhänge zu öffnen oder auf wenig vertrauenswürdige Links zu klicken, die man per E-Mail oder über soziale Netzwerke erhalten hat. Ein Bewusstsein für die Gefahren ist der erste Schritt, um Online-Gefahren abzuwehren. Darum möchten wir unsere Leser daran erinnern, dass beim Surfen im Internet, dem Öffnen von E-Mails und bei der anderweitigen Verwendung des PCs ein Mindestmaß an Vorsicht immer angebracht ist.
1. Unicode ist ein internationaler Standard, in dem langfristig für jedes sinntragende Schriftzeichen oder Textelement aller bekannten Schriftkulturen und Zeichensysteme ein digitaler Code festgelegt wird. Ziel ist es, die Verwendung unterschiedlicher und inkompatibler Kodierungen in verschiedenen Ländern oder Kulturkreisen zu beseitigen. Unicode wird ständig um Zeichen weiterer Schriftsysteme ergänzt.
2. Mit SEH kann sichergestellt werden, dass Ressourcen wie Speicherblöcke und Dateien bei einer unerwarteten Beendigung der Ausführung ordnungsgemäß funktionieren. Sie können bestimmte Probleme, z. B. unzureichender Arbeitsspeicher, mithilfe von kurzem strukturiertem Code behandeln, in dem keine goto-Anweisungen oder ausführliche Tests von Rückgabecodes verwendet werden.
3. ASLR ist eine Technik, die die Ausnutzung von Sicherheitslücken in Computersystemen erschwert. Durch ASLR werden Adressbereiche den Programmen auf zufälliger Basis zugewiesen, wodurch das System praktisch nicht mehr deterministisch ist. Dies soll Angriffe durch Pufferüberlauf verhindern.
4. Ein Verfahren, dass beim Umgang mit Unicode-Puffern zu Einsatz kommt.
5. Das NX-Bit (No eXecute) ist eine Technik von Prozessoren der x86-Familie zur Verbesserung der Sicherheit eines Computers. Sie soll verhindern, dass beliebige Daten wie Programme ausgeführt werden und auf diese Weise Schadcode starten, wie z. B. Viren, Backdoors u. ä. Bei Windows-Betriebssystemen (ab Windows-XP SP2) wird die Technik auch als Data Execution Prevention (Datenausführungsverhinderung) bezeichnet.
6. Die Structured Exception Handler Overwrite Protection (SEHOP) sorgt dafür, dass bei einer C++-Exception die gesamte Exception Record Chain validiert wird. Werden Modifizierungen entdeckt, beendet das Betriebssystem den Prozess sofort. Eine solche Validierung ist bereits ab Windows Vista SP1 implementiert.
(Bitdefender: ra)
Bitdefender: Kontakt und Steckbrief
Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.
