Ein Exploit für eine im Februar behobene Schwachstelle im Adobe Reader wird für gezielte Angriffe verwendet. Zwei Forscher haben ein Smartphone-Botnet aufgebaut, und Vodafone Spanien verteilt Schadsoftware. Das Kaspersky Lab hat seine Top-20-Listen der häufigsten Schädlinge für den Februar veröffentlicht, die Websense Security Labs berichten über 'An Evolution of Profit Driven Malware' und 'WordPress Injection Attacks', und im Application Security Street Fighter Blog geht es in der Serie mit Beiträgen zu den Top 25 der gefährlichsten Programmierfehler um Rank 7 – Path Traversal.
Exploit für Adobe-Reader-Schwachstelle "in the wild"
Eine der beiden am 16. Februar außerhalb des üblichen Patch-Zyklus behobenen Schwachstellen im Adobe Reader (CVE-2010-0188) wird für gezielte Angriffe ausgenutzt. Das berichten Microsoft, Avira und F-Secure. Der eingeschleuste Code lädt weiteren Code nach, was der macht, wurde nicht berichtet. Sehr wahrscheinlich wird er aber zum Ausspähen sensitiver Informationen verwendet.
F-Secure weist auch darauf hin, dass die gezielten Angriffe über präparierte PDF-Dateien stetig zunehmen: 2008 erfolgten "nur" 28,61% der Angriffe über PDF-Dateien, 2009 waren es schon 48,95%, und im Januar und Februar 2010 bereits 61,2%.
Forscher bauen Smartphone-Botnet auf
Derek Brown und Daniel Tijerina von TippingPoint haben auf der RSA-Konferenz demonstriert, wie leicht sich eine bösartige Anwendung auf Android-Smartphones und per Jailbreak modifizierten iPhones verbreiten kann. Dazu veröffentlichten sie die Anwendung 'WeatherFist', die augenscheinlich das Wetter am Aufenthaltsort des Benutzers anzeigte, im Hintergrund aber Informationen über den Benutzer sammelte. Auf der Konferenz führten sie dann eine weitere schädliche Programmversion vor, mit der sie die Kontrolle über das Smartphone übernehmen und ein Botnet aufbauen könnten. Diese Anwendung könnten sie jederzeit als Update für die bereits verbreitete Anwendung verteilen, was sie aber nicht gemacht haben und auch nicht machen werden. Ursache des Problems ist die nicht vorhandene oder oberflächliche Prüfung der Anwendungen in den verschiedenen Online-Archiven. Lediglich Apples AppStore prüft die Anwendungen gründlich genug, um solche bösartigen Programme zu erkennen, auf dem Android Marketplace haben nicht genannte Beschränkungen den Vertrieb behindert. Graham Cluley von Sophos ist von dem Experiment wenig begeistert: "None of us should need security researchers to conduct experiments like this to prove what we should already know." Theoretisch mag er recht haben, praktisch ist so eine Demonstration aber machmal notwendig, um genug Aufmerksamkeit für ein Problem zu wecken. Für die Betreiber von Smartphone-Programmsammlungen ist das sozusagen ein Weckruf.
Vodafone Spanien verteilt Schadsoftware
PandaResarch berichtet, dass Vodafone in Spanien mit seinem Android-Smartphone HTC Magic auch den Maritoba-Bot verbreitet, der sich als AutoRun-Programm auf den Smartphone befindet und beim Anschluss an einen Windows-Rechner diesen infiziert. Außer dem Maritoba-Bot wurden auch eine Variante des RPC-Wurms Conficker/Downadup und ein Zugangsdaten sammelnder Lineage-Trojaner gefunden, das Smartphone scheint also aus einer ziemlich mit Schadsoftware verseuchten Umgebung zu kommen. Laut The Register hat Vodafone den Vorfall untersucht, es soll sich um einen "isolated local incident" handeln.
Gefährliche Schwachstellen vom 09.03.2010
- HP OpenView Performance Insight (OVPI):
Nicht näher beschriebene Schwachstelle erlaubt Ausführen beliebiger Befehle - eGroupWare:
Ausführen beliebiger Shell-Befehle und Cross-Site-Scripting möglich - QuickZip:
Pufferüberlauf beim Verarbeiten präparierter .zip-Dateien erlaubt Ausführung beliebigen Codes - Microsoft Excel:
Sieben Schwachstellen erlauben die Ausführung beliebigen Codes (MS10-017) - Microsoft Internet Explorer:
0-Day-Schwachstelle erlaubt Ausführung beliebigen Codes
Kritisch, weil: Schwachstelle wird für gezielte Angriffe ausgenutzt - Opera:
Pufferüberlauf beim Verarbeiten präparierter "Content-Length"-Header erlaubt evtl. Ausführung beliebigen Codes (vom 04.03.2010, aktualisiert)
Carsten Eilers