Trend Micro analysiert Schädling für nicht geschlossene Microsoft-Sicherheitslücke

Hallbergmoos, 06.07.2012 - Unabhängig davon, ob Microsoft den Hotfix für die Sicherheitslücke CVE-2012-1889 beim nächsten Patch Tuesday durch eine Sicherheitsaktualisierung ersetzen wird, besteht weiterhin Gefahr. Denn der Schadcode, der diese Lücke ausnutzt, ist im Umlauf und zumindest die Unternehmen haben Schwierigkeiten, Patches sofort nach deren Erscheinen einzuspielen. Trend Micro hat den Schädling mit der Bezeichnung "HTML_EXPLOYT.AE" nun analysiert (http://blog.trendmicro.de/technische-analyse-der-sicherheitsluecke-cve-2012-1889).

Der Schädling weist als wesentliche Faktoren den Missbrauch der "Microsoft XML Core Services", "Heap Spraying" sowie das Fehlen einer "Return-Oriented-Programming-Funktion (ROP)" auf. Er kann sich über verschiedene Wege in ein System einschleusen, sei es etwa über E-Mail oder eine bösartige Webseite. Die Schadsoftware versucht, die Lücke CVE-2012-1889 via Internet Explorer auszunutzen. Es fällt auf, dass der Schädling keine Funktion besitzt, um DEP (Data Execution Prevention) zu umgehen. Falls er in einem Internet Explorer läuft, in dem die DEP aktiv ist, so erkennt diese, dass ein Fehler vorliegt, und beendet sicherheitshalber den Microsoft-Browser. Sollten Anwender also vermehrt mit Abstürzen ihres Internet Explorers zu kämpfen haben, sollten sie ihren Rechner umgehend von ihrer Sicherheitssoftware nach Schadcode untersuchen lassen - natürlich nachdem sie ihre Sicherheitslösung auf den aktuellen Stand gebracht haben.

Die kritische Sicherheitslücke in den Microsoft XML Core Services ermöglicht das Ausführen von Code durch Dritte über den Zugriff auf ein nicht initialisiertes COM-Objekt im Arbeitsspeicher. Dadurch kann ein Angreifer beliebigen Code im Rahmen der jeweiligen Berechtigungen des angemeldeten Users ausführen.

Die Microsoft XML Core Services stellen ein Set an Programmierschnittstellen (APIs) für den Zugriff auf bestimmte COM-Objekte bereit, eigentlich dazu gedacht, um Document-Object Model-Aufgaben wie die Verwaltung von Namensräumen zu vereinfachen. Ein Angreifer kann aber damit Websites so präparieren, dass sie eine bösartige Webseite beherbergen, die besagte Microsoft XML APIs aufruft. Dies wiederum ermöglicht den Zugriff auf ein COM-Objekt im Arbeitsspeicher, das zuvor noch nicht gestartet wurde. Die Sicherheitslücke wird ausgenutzt, wenn ein Anwender diese präparierten Webseiten mit dem Internet Explorer öffnet. Anwender dürften über anklickbare Links in einer speziell präparierten E-Mail-Nachrichten oder Instant Messages in die Falle gelockt werden.

Jetzt: Sicherheitslücke schließen

Privatanwender sollten ihre Geräte bis zur Veröffentlichung des offiziellen Patches über den von Microsoft bereitgestellten Hotfix schützen: Einfach folgenden Link http://support.microsoft.com/kb/2719615 öffnen, nach unten scrollen und auf die mit "Aktivieren" überschriebene Schaltfläche klicken. Die mit dem Notfallprogramm vorgenommenen Einstellungsänderungen im Internet Explorer verhindern, dass Schadsoftware die Sicherheitslücke ausnutzen kann. Allerdings kann es zu Einschränkungen bei Darstellung und Nutzung von legitimen Webseiten kommen, weil bestimmte darin eingebettete Scripts eventuell blockiert werden. Aber was ist schon ein bisschen weniger Komfort im Vergleich zu einer Infektion?

Darüber hinaus sollten Privatanwender Sicherheitssoftware nutzen, die mit Reputationsdiensten zur Bewertung von E-Mail-Nachrichten, Dateien und Webseiten arbeitet. Denn dadurch lässt sich im Falle der vorliegenden Bedrohung auch das unabsichtliche Anklicken von Webadressen mit den erwähnten speziell für die Sicherheitslücke präparierten Webseiten verhindern.

Schneller und günstiger: Virtuelles Patchen für Unternehmen

Unternehmen, die sich vor Angriffen über Sicherheitslücken wie die hier beschriebene schützen wollen, aber aus Aufwands- und Kostengründen ihre Endpunkte nur in größeren zeitlichen Abständen aktualisieren können, sollten die Möglichkeit des virtuellen Patchens in Betracht ziehen. Trend Micro bietet seinen Kunden insbesondere zwei Lösungen, mit denen sich Sicherheitslücken schnell und kostengünstig schließen lassen: "Deep Security" sowie "OfficeScan" mit dem "Intrusion Defense Firewall-Plugin". Im Falle der Sicherheitslücke CVE-2012-1889 schützt Trend Micro über die Regel "IDF rule 1005061- Microsoft XML Core Services Remote Code Execution Vulnerability (CVE-2012-1889)".

• Über TREND MICRO Deutschland GmbH
• Weitere Meldungen
• Diesen Pressetext kommentieren
• Pressemitteilung veraltet?