- Anzeigen -


Sie sind hier: Home » Virenwarnung » Sicherheitslecks

Privilegien-Erweiterung durch Dritte


Kritische Schwachstelle im Windows-Betriebssystem
Exploit-Prevention-Technologie erkennt Zero-Day-Exploit

- Anzeigen -





Kaspersky Lab hat eine zuvor unbekannte Schwachstelle – eine so genannte Zero-Day-Schwachstelle – in Microsoft Windows entdeckt. Eine bisher nicht identifizierte kriminelle Gruppe war dadurch in der Lage, die volle Kontrolle über ein anvisiertes Gerät zu erlangen. Die Cyberkriminellen hatten es auf den Kernel des Systems mittels einer Backdoor abgesehen, die aus einem wesentlichen Element des Windows-Betriebssystems aufgebaut war.

Mittels Backdoors können Bedrohungsakteure infizierte Computer diskret für bösartige Zwecke nutzen. Eine solche Privilegien-Erweiterung durch Dritte ist in der Regel schwer vor Sicherheitslösungen zu verbergen. Eine Backdoor, die allerdings einen unbekannten Fehler, also eine Zero-Day-Schwachstelle, im System ausnutzt, kann unentdeckt bleiben. Die Exploit-Prevention-Technologie von Kaspersky Lab konnte den Versuch, die unbekannte Schwachstelle im Windows-Betriebssystem von Microsoft auszunutzen, jedoch erkennen.

Zero-Day-Exploit: Infektionsablauf
Nach dem Start der schädlichen .exe-Datei begann die Installation der Malware. Die Infektion nutzte eine Zero-Day-Schwachstelle aus und erlangte so Privilegien für eine erfolgreiche Persistenz auf dem Computer des Opfers. Die Malware initiierte daraufhin den Start einer Backdoor, die mit einem legitimen Windows-Element entwickelt wurde und auf allen Computern dieses Betriebssystems vorhanden ist: das Scripting-Framework Windows PowerShell.

Dadurch konnten die Angreifer unentdeckt bleiben und erhielten Zeit, für das Schreiben des Codes für bösartige Tools. Die Malware lud sodann eine weitere Backdoor von einem beliebten, legitimen Text-Storage-Service herunter, die den Cyberkriminellen die vollständige Kontrolle über das infizierte System gab.

"Bei diesem Angriff sehen wir zwei Trends, die wir häufig bei Advanced Persistent Threats (APTs) sehen", erklärt Anton Ivanov, Sicherheitsexperte bei Kaspersky Lab. "Erstens, die Verwendung lokaler Exploits zur Privilegien-Erweiterung, um auf dem Computer des Opfers zu bleiben. Zweitens die Verwendung legitimer Frameworks wie Windows PowerShell für bösartige Zwecke auf dem Computer des Opfers. Diese Kombination gibt den Bedrohungsakteuren die Möglichkeit, Standard-Sicherheitslösungen zu umgehen. Um solche Techniken erfolgreich zu erkennen, muss eine Sicherheitslösung Exploit-Prevention- und Verhaltenserkennungstechnologien verwenden."

Sicherheitsempfehlungen
Um die Installation von Backdoors aufgrund von Zero-Day-Schwachstellen von Windows zu verhindern, empfiehlt Kaspersky Lab die folgenden Sicherheitsmaßnahmen:

• Verfügbare Patches von Microsoft für die neue Schwachstelle sowie für sämtliche verwendete Software umgehend installieren. Erweiterte Sicherheitsprodukte mit Schwachstellenanalyse und Patch-Management-Funktion können solche Prozesse automatisieren.

• Eine umfassende Sicherheitslösung mit verhaltensbasierten Erkennungsfunktionen verwenden, um auch vor unbekannten Bedrohungen sicher zu sein.

• Das Sicherheitsteam sollte stets Zugriff auf die neuesten Cyberbedrohungsinformationen haben.

• Mitarbeiter in den Grundlagen der Cybersecurity-Hygiene schulen.

Die Schwachstelle wurde am 10. April 2019 an Microsoft gemeldet und beseitigt. Kaspersky-Produkte erkannten den Exploit als:
• >> HEUR: Exploit.Win32.Generic
• >> HEUR: Trojan.Win32.Generic
• >> PDM: Exploit.Win32.Generic
(Kaspersky Lab: ra)

eingetragen: 07.05.19
Newsletterlauf: 31.05.19

Kaspersky Lab: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.


Meldungen: Sicherheitslecks

  • Sicherung industrieller Steuerungssysteme

    Die Experten von Kaspersky Lab haben in der IoT-Plattform "ThingsPro Suite" sieben neue, bisher unbekannte Schwachstellen (Zero Day) entdeckt und geholfen, diese zu schließen. Die im industriellen Umfeld eingesetzte Lösung ermöglicht die Datenerfassung und Remote-Analyse industrieller Kontrollsysteme (ICS, Industrial Control Systems). Einige der identifizierten Sicherheitslücken hätten Cyberangreifern die Möglichkeit eröffnet, umfassend auf industriell genutzte IoT-Gateways zuzugreifen und für Arbeits- und Produktionsabläufe folgenschwere Befehle auszuführen. Alle identifizierten Schwachstellen sind inzwischen von Moxa, dem Entwickler der Plattform, behoben worden.

  • Open Source-Software: Sicher für Unternehmen?

    Das Secure Copy Protocol (SCP) ist ein Protokol zur verschlüsselten Datenübertragung und soll so mehr für Sicherheit tragen. Nun hat eine neue Studie ergeben, dass mehrere Schwachstellen in verschiedenen SCP-Anwendungen gefunden wurden und zeigt, dass SCP möglicherweise nicht so sicher ist, wie man denkt. Die von Harry Sintonen, Senior Security Consultant bei F-Secure, durchgeführte Studie identifizierte Schwachstellen in den Anwendungen WinSCP, Putty PSCP und OpenSSH. Harry Sintonen erstellte einen Proof-of-Concept für den Angriff, mit dem er Dateien im SCP-Zielverzeichnis des Clients unbemerkt schreiben/überschreiben, die Berechtigungen des Verzeichnisses ändern und die Ausgabe des Clients manipulieren kann. Ein Angreifer kann die Schwachstellen ausnutzen, um eine Hintertür oder andere Malware in ein Unternehmensnetzwerk zu installieren, vertrauliche Informationen zu stehlen oder praktisch jede andere Aktion nach der Infiltration durch zu führen.

  • Geleakte Produktionsdaten identifizieren

    Trend Micro warnt Unternehmen vor möglichen Sicherheitslücken in ihrer Betriebstechnologie (Operational Technology, OT). Forscher des japanischen IT-Sicherheitsanbieters entdeckten massive Schwachstellen und gefährdete Anwendungen von zwei weit verbreiteten Protokollen für die Machine-to-Machine-Kommunikation (M2M-Kommunikation). Betroffen sind die Protokolle Message Queuing Telemetry Transport (MQTT) und Constrained Application Protocol (CoAP). Sie werden in einem neuen Forschungsbericht, The Fragility of Industrial IoT's Data Backbone, beschrieben, der in Zusammenarbeit mit der Polytechnischen Universität Mailand entstand. Darin weisen die Forscher auch auf die wachsende Bedrohung durch den Missbrauch dieser Protokolle für Zwecke der Industriespionage, Denial-of-Service-Attacken und zielgerichtete Angriffe hin.

  • Kontrolle über ein betroffenes System

    Microsoft gönnt allen IT-Verantwortlichen im Oktober eine kleine Verschnaufpause - zumindest, was die aktuellen Updates anbetrifft. Zum Patch Tuesday vermeldet Redmond gerade einmal einen Zero Day Exploit und eine Schwachstelle, die öffentlich bekannt gegeben wurde. Und was noch erstaunlicher ist: Es gab in diesem Monat kein einziges Sicherheitsupdate für Adobe Flash. Die Zero-Day-Schwachstelle CVE-2018-8453 findet sich in der Win32-Komponente des Microsoft-Betriebssystems, bei der Objekte im Arbeitsspeicher nicht ordnungsgemäß behandelt werden. Ein Angreifer muss sich zunächst am Betriebssystem anmelden, kann dann aber diese Schwachstelle ausnutzen, um Code im Kernel auszuführen und Administratorrechte zu erhalten. Diese Schwachstelle hat einen Basis-CVSS-Wert von 7. Unglücklicherweise ist sie in allen Betriebssystemen mit Updates vorhanden - angefangen von Server 2008 bis hin zu Windows 10.

  • Nutzer sollten ihre Whatsapp-Version überprüfen

    Eine Sicherheitslücke in Whatsapp kann derzeit nur die App zum Absturz bringen. Kriminelle könnten den kursierenden Exploit aber für bösartige Zwecke weiterentwickeln. Wir geben einen Überblick über die Situation. "Nutzer sollten ihre Whatsapp-Version überprüfen und wenn möglich die Updates über den Play Store einspielen." Das sagt Alexander Burris, Lead Mobile Researcher bei der G DATA Software AG aus Bochum. Aktuell kursiert eine Sicherheitslücke für den beliebten Mobile-Messenger Whatsapp. Der aktuelle Exploit bringt die Applikation kontrolliert zum Absturz. Kriminelle könnten die Schwachstelle für ihre Zwecke weiterentwickeln und als Einfallstor nutzen.