// Smoking Gun - Security-Weblog

Nach einem Bericht von Cyberoam, Anbieter von Security-Software, sind E-Mails eine der wichtigsten Methoden zur Verbreitung von Malware. Beim Spam, so die Analyse Q2 2009 Internet Threats Trend Report würden Cyberkriminelle verstärkt auf bewährte Methoden setzen. Cyberoam hat mehrere Wellen von Spam-Mails identifiziert, die nach dem Zufallsprinzip Textbausteine zu aktuellen Themen des Tagesgeschehens kombinierten, um so Spam-Filter zu passieren und die Echtheit der entsprechenden Adresse belegen zu können. Besonders beliebte Themen für diese Bausteine seien in den vergangenen Monaten die Wirtschaftskrise, die Schweinegrippe und der Tod von Michael Jackson gewesen. Der Report hebt hervor, dass Kriminelle den Anwendern dorthin folgen würden, wo diese am aktivsten seien. So beobachtete Cyberoam einen erheblichen Anstieg des Malware-Levels auf beliebten Video-Streaming und Community-Seiten. Allen diesen Angriffen sei gemein, dass sie vor allem auf mangelndes Sicherheitsbewusstsein von Anwendern setzten. Dieses ermögliche es erst, technische Schwachstellen auszunutzen.

Aufgrund eines Fehlers in der Bearbeitung von Javascript können präparierte Webseiten auf dem PC eines Surfers beliebigen Code einschleusen. Secunia hat das Problem bei der Firefox-Version 3.5 bestätigt und als Highly Critical eingestuft. Die Entdecker des Exploits haben einen Beispielangriff inszeniert – das Samplescript soll den Windows-Taschenrechner starten.

Das Problem wird nach Angaben von Mozilla vom JIT-Compiler (Just in Time) für Java Script verursacht. Mozilla rät, den JIT über den Schalter javascript.options.jit.content in about:config zu deaktivieren. Dadurch sei das Problem nicht beseitigt aber fürs erste abgeschwächt.

Erste Tests von Heise haben ergeben, dass Firefox beim Aufruf des Milworm-Scripts unter Vista abstürzt, ohne dass der Windows-Taschenrechner startet. Auf meinem PC hält Firefox 3.5 unter Windows XP dem Milworm-Script sogar Stand und stürzt nicht ab. Zwar reagiert der Browser zunächst nicht. Nach kurzer Zeit erscheint jedoch die Warnmeldung Nicht antwortendes Script und mit einem Klick auf Skript stoppen lässt sich das Skript wieder beenden.

Update 1: Firefox 3.5.1 schließt die Sicherheitslücke.

Microsoft hat mittlerweile eine Tabelle veröffentlich, in der das Unternehmen die alte Version Virtual PC 2007 mit dem neuen “Windows Virtual PC” vergleicht, das in Windows 7 inklusive vorinstalliertem XP enthalten sein wird:

Die wichtigsten Details daraus:

• Der XP-Mode wird nur in Windows 7 Professional, Ultimate und Enterprise enthalten sein. Also nicht in Home und Starter und was es sonst noch geben wird.
• USB-Support auch zum Beispiel für einen Drucker.
• Jede XP-Anwendung läuft in einer eigenen virtuellen Maschine und gefährdet so nicht die Stabilität anderer Anwendungen.
• Copy, Cut & Paste ist auch zwischen dem XP-Mode und Windows 7 möglich.
• Direkter Zugriff vom XP-Mode aus auf die Ordner unter “Eigene Dateien”.
• XP-Anwendungen laufen “nahtlos“, also ohne dass man das darunterliegende XP überhaupt wahrnimmt.

Schon ganz nett. Damit holt Virtual PC einiges auf im Vergleich zur Konkurrenz von Vmware und Sun/Virtual Box.

Noscript und Adblock Plus sind die beiden Addons, deren zusätzliche Installation ich bislang auch jedem Firefox-Nutzer nahegelegt habe. Das werde ich eventuell überdenken müssen. Die häufigen Noscript-Updates und damit jedesmal verbundenen Aufrufe der Webseite des Autors kamen mir schon länger eigenartig vor, aber viel Gedanken habe ich mir deswegen nicht gemacht.

Gewundert hat mich nur immer, dass auf der automatisch geöffneten Seite keine Infos zum jeweiligen Update stehen. Das wäre ja noch naheliegend gewesen, aber um die Release Notes zu lesen, hätte man weiterklicken müssen. Die Gründe für dieses Verhalten werden jetzt allerdings klar.

Wladimir Palant, der Autor von Adblock Plus, berichtet in seinem eigenen Blog, warum Noscript dies macht: Nicht um zu informieren, sondern um möglichst viele Besucher auf die eigenen mit Werbung versehenen Seiten zu zwingen. Hätte man sich ja denken können. Kann man auch nachvollziehen, wenn der Noscript-Autor diesmal nicht über das Ziel hinaus geschossen wäre: Die aktuelle Noscript-Version erstellt heimlich ein Filterabo in Adblock Plus und setzt sich so auf die Whitelist des Werbefilters. Außerdem deaktiviert sich Noscript selbst automatisch auf seiner eigenen Webseite.

Wenn man den folgenden Screenshot aus meiner Adblock-Plus-Filterliste betrachtet, sieht man, dass Noscript einige Webseiten ungefragt freischaltet wie zum Beispiel informaction.com und hackademix.net.

Sieht so aus, als muss man sich künftig wirklich genauer überlegen, mit welchen Firefox-Addons man experimentiert. Das Problem ist, dass jedes Addon bislang alles darf, also beispielsweise auch andere störende Addons manipulieren.

Die von Wladimir Palant erwähnte “versteckte Funktion”, mit der man Noscript den Besuch der eigenen Webseite nach einem Update untersagen kann, habe ich nicht gefunden. Einer der Leser vielleicht?

(via Fefe)

Update 1: Der Noscript-Autor rudert zurück.

IMPORTANT UPDATE FOR ADBLOCK PLUS USERS: NoScript 1.9.2.6 automatically and permanently removes the controversial “NoScript Development Support Filterset”, with no questions asked.

Der Schaden ist allerdings bereits angerichtet. Mal sehen, ob der Autor den Geist wieder zurück in die Flasche bekommt. Ich halte Noscript jedenfalls weiterhin für ein unverzichtbares Sicherheits-Addon.

Update 2: Die “versteckte Funktion” gibt es tatsächlich nicht in den Noscript-Einstellungen. Um dem Addon den Besuch der Noscript-Webseite nach jedem Update auszutreiben, muss man den Eintrag noscript.firstRunRedirection in about:config auf false setzen.

Update 3: Addons, die auf der Mozilla-Webseite gelistet werden wollen, müssen sich künftig zusätzlichen Bedingungen stellen:

Changes to default home page and search preferences, as well as settings of other installed add-ons, must be related to the core functionality of the add-on. If this relation can be established, you must adhere to the following requirements when making changes to these settings:

* The add-on description must clearly state what changes the add-on makes.
* All changes must be ‘opt-in’, meaning the user must take non-default action to enact the change.
* Uninstalling the add-on restores the user’s original settings if they were changed.

These are minimum requirements and not a guarantee that your add-on will be approved.

Paul Cooke von Microsoft beschäftigt sich im Windows Security Blog mit der Frage, ob auch Raubkopierer alle Sicherheits-Updates aus Redmond erhalten:

There seems to be a myth that Microsoft limits security updates to genuine Windows users.

Let me be clear: all security updates go to all users.

Not only do all security updates go to all users’ systems, but non-genuine Windows systems are able to install service packs, update rollups, and important reliability and application compatibility updates. In addition, the users of non-genuine Windows systems can also upgrade a lot of the other software on their computer. For example Internet Explorer 8 has numerous security- oriented features and improvements, and it is available to all users.

Wäre ja auch doof, wenn Abermillionen zusätzliche Windows-Rechner im Internet auf einem uralten Patch-Level wären. Würmer wie Conficker oder früher der Blaster haben gezeigt, wie schnell sie sich verbreiten können allein mit den Systemen, die nicht aktuell gehalten werden.

Bislang ist mir jedenfalls noch kein Fall bekannt, bei dem Microsoft das Verteilen der Updates dazu benutzt hätte, einen Raubkopierer ausfindig zu machen und zu verfolgen. Dem Konzern ist es allemal lieber, wenn ein Anwender eines seiner Produkte als illegale Kopie nutzt, statt sich mit einem alternativen, vielleicht sogar noch kostenlosen Produkt anzufreunden. In Redmond geht es ja nicht mehr nur um verkaufte Lizenzen, darum natürlich auch, sondern um Marktbeherrschung.

Im Adobe Reader sind wieder mal zwei schwere Sicherheitslücken entdeckt worden, über die die Ausführung von Schad-Code möglich sein soll. Betroffen sind diesmal die Versionen 8.1.4 und 9.1 — allerdings für Linux. Ob der Windows-Reader die beiden beschriebenen Lücken auch enthält, ist noch nicht bekannt.

Wer das Programm unbedingt weiter nutzen will oder muss, sollte zumindest Javascript über die Optionen abschalten. Außerdem sollte man wirklich nicht mehr jedes PDF-Dokument aus dem Internet unbesehen öffnen. Einen etwas aufwändigen PDF-Check ermöglicht die Online-Variante der CWSandbox.

Als Alternative zum Adobe Reader empfehle ich den PDF Xchange Viewer von Tracker Software, der ebenfalls kostenlos ist, erheblich mehr Funktionen als der Adobe Reader bietet und dabei noch schneller ist. Mit Foxit und Co. konnte ich mich jedenfalls nie anfreunden.

Interessante Idee von Microsoft: Der Software-Konzern plant laut eigener Aussage, Virtual PC samt vorinstalliertem Windows XP direkt in Windows 7 zu integrieren.

Der Vorteil dieser “Windows XP Mode” genannten Lösung: Der Anwender kann ältere nicht mehr zu Windows 7 kompatible Programme direkt in einem Fenster laufen lassen. Das ganze klingt für mich sehr nach einem optimierten nahtlosen Modus, den Virtual Box und Vmware seit vergangenem Jahr bieten, aber Microsoft mit Virtual PC bislang noch nicht.

Mal sehen, ob es dieses Jahr dann endlich auch eine überarbeitete Version von Virtual PC geben wird. Die 2007er war im Vergleich zum Vorgänger von 2004 kein großer Sprung nach vorne.

Heute ist die Version 2.2 von Virtual Box erschienen. Folgende “major new features” nennen die Release Notes:

* OVF (Open Virtualization Format) appliance import and export
* Host-only networking mode
* Hypervisor optimizations with significant performance gains for high context switching rates
* Raised the memory limit for VMs on 64-bit hosts to 16GB
* VT-x/AMD-V are enabled by default for newly created virtual machines
* USB (OHCI & EHCI) is enabled by default for newly created virtual machines (Qt GUI only)
* Experimental USB support for OpenSolaris hosts
* Shared folders for Solaris and OpenSolaris guests
* OpenGL 3D acceleration for Linux and Solaris guests
* Added C API in addition to C++, Java, Python and Web Services

Den einen oder anderen Techie mag das begeistern, aber mir fehlen immer noch wichtige Punkte wie eine vernünftige Im- und Export-Funktion für virtuelle Maschinen im eigenen VDI-Format.

Zu den Downloads.

Der amerikanische Software-Hersteller Vmware hat ein umfangreiches Update für seine Virtualisierungs-Produkte veröffentlicht. Der Patch behebt einige fiese Sicherheitslücken in folgenden Produkten, die auch von vielen Endanwendern eingesetzt werden:

VMware Workstation 6.5.1 and earlier
VMware Player 2.5.1 and earlier
VMware Server 2.0
VMware Server 1.0.8 and earlier

Betroffen sind ebenfalls Ace 2.5.1 und mehrere ESX-Varianten. Die vollständige Liste findet sich in den Patch Notes.

Der Patch schließt unter anderem mehrere Lücken, mit denen vom Gast aus das Host-System zum Absturz gebracht werden kann. Außerdem ist es möglich, vom Gast-System aus Code auf dem Host auszuführen.

Neben dem Aktualisieren der Virtualisierungs-Software ist es ebenfalls nötig, gegebenenfalls im Gast installierte Vmware-Tools zu patchen, die auch betroffen sind.

Momentan machen zahlreiche Meldungen über einen neuen Wurm mit dem hier zu Lande etwas unglücklichen Namen “Conficker” oder auch “Downadup” die Runde. Conficker/Downadup verbreitet sich über die Lücke CVE-2008-4250 im Server Service, die Microsoft im vergangenen Oktober im Security-Bulletin MS08-067 beschrieben hat. Darin steht unter anderem:

This is a remote code execution vulnerability. An attacker who successfully exploited this vulnerability could take complete control of an affected system remotely. On Microsoft Windows 2000, Windows XP, and Windows Server 2003 systems, an attacker could exploit this vulnerability over RPC without authentication to run arbitrary code. It is possible that this vulnerability could be used in the crafting of a wormable exploit. If successfully exploited, an attacker could then install programs or view, change, or delete data; or create new accounts with full user rights.

Genau das ist nun eingetreten und Dank unzähliger ungepatchter Systeme schwappt nun eine Conficker/Downadup-Welle durch das Internet. Nach einer erfolgreichen Infektion legt der Wurm zuerst Kopien von sich selbst in folgenden Ordnern ab:

* %System%\[Random].dll
* %Program Files%\Internet Explorer\[Random].dll
* %Program Files%\Movie Maker\[Random].dll
* %All Users Application Data%\[Random].dll
* %Temp%\[Random].dll
* %System%\[Random].tmp
* %Temp%\[Random].tmp

Dann trägt er sich im Autostart-Bereich der Windows-Registry ein und erstellt auf jedem angeschlossenen USB-Laufwerk zwei Dateien. eine mit einem zufälligen Namen und eine “autorun.inf”, um sich so über das USB-Laufwerk weiter zu verbreiten. Außerdem hängt er sich an die Windows-Prozesse “svchost.exe”, “explorer.exe” und “services.exe” und trickst so vermutlich eine installierte Desktop-Firewall aus.

Außerdem deaktiviert Conficker/Downadup die folgenden Windows-Dienste:

# Windows Automatic Update Service (wuauserv)
# Background Intelligent Transfer Service (BITS)
# Windows Security Center Service (wscsvc)
# Windows Defender Service (WinDefend)
# Windows Error Reporting Service (ERSvc)
# Windows Error Reporting Service (WerSvc)

Und er blockiert den Zugriff auf Dutzende Sicherheits-Webseiten und versucht, sich mit einer Liste von häufig verwendeten Login-Namen an anderen Computern im Netzwerk anzumelden und Kopien von sich auf freigegebenen Laufwerken abzulegen. Außerdem startet der Wurm einen lokalen HTTP-Server, um sich über die eingangs erwähnte Lücke weiter zu verbreiten.

Außerdem überprüft Conficker/Downadup das Systemdatum und erstellt aus dem aktuellen Datum eine Liste von mehreren sich täglich ändernden Domain-Namen, mit denen er Kontakt aufnimmt, um dort neue Komponenten herunterzuladen. Die Ersteller des Wurms müssen also nur eine der fraglichen Domains registrieren, um Kontakt mit den infizierten Computern aufzunehmen und um ihren Wurm zu aktualisieren.

Das ist ein ziemlich guter Trick, hat aber den Nachteil, das sich diese Methode auch andere zunutze machen können, sobald der Domain-Algorithmus bekannt ist. F-Secure hat mehrere mögliche Domain-Namen registriert und konnte so Informationen über die Verbreitung von Conficker/Downadup sammeln. Laut Hochrechnungen von F-Secure sind mindestens 2,4 Millionen Computer weltweit mit dem Wurm infiziert. Das ist wirklich ein beeindruckend großes Botnet oder wie F-Secure es formuliert “a big badass botnet”.

Leider kann der Sicherheitsanbieter nicht viel mehr machen als Daten sammeln:

We could attempt to manipulate the infected machines. But of course we won’t. In fact, we won’t be doing anything at all to them – not even disinfect them – as that could be seen as “unauthorized use”. That is illegal, at least in many jurisdictions. (Doing something without being asked is also a very large ethical question…) Look but don’t touch is the golden rule.

F-Secure bietet auch Removal-Tools für Conficker/Downadup an, die sich gleich am Anfang der Virenbeschreibung finden.