Schlagwort-Archive: Exploit

Neuer Trend: Trojaner schürfen Kryptowährungen

IT-SecurityDer cyberkriminelle Sumpf ist nicht trocken zu legen – immer wieder finden die Virenprogrammierer neue Möglichkeiten, mit Malware Geld zu verdienen. Klassisch etwa via Erpressung von Firmen mit DDoS-Angriffen, bei denen die Webseiten der Unternehmen überlastet werden, oder per Spam-Mail-Versand von infizierten Rechnern aus oder etwa durch Verschlüsseln der Dateien auf dem Rechner, mit Lösegeldforderung zum Entschlüsseln. Jetzt zeichnet sich jedoch ein neuer Trend ab: Infizierte Maschinen sollen Kryptowährungen schürfen, mithin direkt digitales Geld erzeugen.

Kryptowährungen erleben derzeit einen kleinen Boom. Jede dieser Währungen wie die bekannteste namens Bitcoin basiert auf dezentral verteilten Daten und starker kryptologischer Sicherung. Neue Währungseinheiten lassen sich mittels komplexer mathematischer Berechnungen heben. Diese benötigen inzwischen schon spezialisierte Rechenbeschleuniger, um noch neue Einheiten zu finden. Rechnen in großen Botnetzen lohnt sich daher direkt für die kriminellen Drahtzieher hinter der Malware. Einige Schädlinge befallen etwa auch die Internet-of-Things-Steuerzentrale schlechthin, den Raspberry Pi, um darauf Kryptogeld zu schürfen. Allerdings ist die Rechenleistung dieser Maschinen so gering, dass ein ernsthafter Gewinn zweifelhaft ist.

Sollten also Rechner nicht mehr in den Idle-Modus fallen und ständig unter Volllast laufen, sollte man einmal einen Blick in den Taskmanager werfen, ob dort ungewöhnliche Prozesse hohe Last erzeugen. Gegebenenfalls hilft dann auch ein Virenscan im abgesicherten Modus oder mit bootbarer Rescue-CD/-USB-Stick, um eingedrungene Schädlinge aufzuspüren. Neben einem aktuellen Virenscanner sind aber unbedingt auch alle Programme und das Betriebssystem auf aktuellem Stand zu halten, um derartiger Malware kein Einfallstor zu bieten.

Verschlüsselungstrojaner und Wurm: WannaCry richtet großen Schaden an

IT-SecurityAm Freitag Abend häuften sich Meldungen zu einem neuen Verschlüsselungstrojaner, der zahlreiche Rechner und Netzwerke zunächst in Russland, dann in England und schließlich weltweit befallen hat. Der Erpressertrojaner WannaCry verschlüsselt nicht nur die Daten und droht, diese am 19. Mai zu löschen, sondern nutzt eine Sicherheitslücke in Windows-Netzwerkfreigaben aus, um sich in Netzen auszubreiten und weitere Systeme zu befallen. Auf unterstützten Windows-Systemen hat Microsoft diese Sicherheitslücke, deren Bestehen durch das Portfolio der bekannt gewordenen NSA-Exploit-Sammlung öffentlich wurde, bereits am März-Patchday geschlossen. Aufgrund des Ausbruchs hat das Unternehmen in einem außergewöhnlichen Schritt jedoch noch Windows-Updates für alte, nicht mehr unterstützte Systeme wie Windows XP oder Server 2003 nachgelegt. Nutzer und Administratoren sollten diese umgehend einspielen!

Ransomware ist inzwischen nichts Neues mehr – jedoch zeigt die WannaCry-Attacke einige Besonderheiten: Die Schadsoftware hat große Hersteller getroffen, etwa viele Krankenhäuser und die Rechner des nationalen Gesundheitsdienstes von Großbritannien, Werke der Autohersteller Nissan und Renault oder auch die spanischen und portugiesischen Telekom-Unternehmen Telefonica und Telecom. Nicht zu vergessen natürlich, auch die Deutsche Bahn. Neben der klassischen Infektion via Links in E-Mails nutzt der Schädlinge eine Sicherheitslücke, um sich wie ein Wurm im Netz weiter zu verbreiten und so wesentlich mehr Schaden anzurichten. So müssen gegebenenfalls ganze Netzwerke neu aufgesetzt werden, anstatt wie bislang nur der einzelne infizierte Rechner im Unternehmensnetz.

Die bekannten Schädlinge wurden bereits am Freitag von guten Virenscannern wie denen von eScan oder AVG erkannt und blockiert. Die zumeist bereits umgesetzten Sicherheitskonzepte, die auch regelmäßiges Backup aller Daten mit einschließen, helfen auch hier, die Auswirkungen der Angriffswelle einzuschränken und rasch wieder in den produktiven Betrieb zu kommen, sollte die eigene Antivirenlösung die Schädlinge noch nicht erkannt haben.

Microsoft liefert Notfallpatch gegen schlimme Sicherheitslücke

IT-SecurityMicrosoft wurde vergangenen Freitag von Googles Sicherheitsteam über eine schwerwiegende Sicherheitslücke informiert, die alle Windows-Betriebssysteme betrifft und sogar die Ausbreitung von Würmern ermöglichen kann. Am heutigen Dienstag – den Mai-Patchday – legt das Unternehmen eine Sicherheitsaktualisierung für den Windows Defender nach, der die Lücke schließen soll. Das Update sollte in Kürze automatisch auf allen betroffenen Maschinen landen.

Der Fehler befindet sich in der Malware Protection Engine von Microsoft, die nicht nur im Windows Defender und Microsoft Security Essentials zum Einsatz kommt, sondern auch in diversen anderen Sicherheitslösungen des Unternehmens, etwa auch Forefront. Beispielsweise kann schon das Senden einer E-Mail mit bösartigem Inhalt nach Erhalt auf dem Rechner durch den Antimalware-Scan durch Microsoft zur Rechnerinfektion führen. Windows Defender ist seit Windows 10 mit dem Update aus dem Herbst 2016 oftmals zusätzlich zum installierten Virenscanner auf den Systemen aktiv, da Microsoft dort eine Option zum Parallelbetrieb eingebaut hat.

Da bereits Schadcode öffentlich verfügbar ist, der diese Schwachstelle ausnutzt, die faktisch auf jedem Windows-System einschließlich der Server offensteht, sollte die Aktualisierung möglichst zeitnah eingespielt werden. Dazu sollte das Aufrufen von Windows Update genügen.

Antivirensoftware noch sinnvoll? Selbstverständlich!

IT-SecurityIn jüngster Vergangenheit haben einige Programmierer frustriert die These aufgestellt, dass Antivirensoftware obsolet sei und die Sicherheit der Systeme beeinträchtige. Hintergrund dazu ist, dass die Antivirenprodukte inzwischen auch Netzwerkverkehr überwachen, der zwischen Server und lokalem Webbrowser ausgetauscht wird – und neuerdings auch verschlüsselte Verbindungen. Dabei haben einige Hersteller bei der Implementierung Fehler eingebaut, die die Sicherheit dieser Verbindung zwischen Server und Browser herabsetzen können. Dies kritisieren Sicherheitsforscher zu recht und die Antivirenhersteller reagieren zügig mit Softwarekorrekturen. Zudem gab es kürzlich Veröffentlichungen, die eine Sicherheitslücke im Windows-eigenen Application Verifier nutzen, um Antivirensoftware auszuhebeln. Es handelt sich im Kern also um eine Microsoft-Lücke.

Ein guter Computerschutz umfasst nicht nur einen reinen Dateiscanner, da Viren auf diverse Wege ins System kommen und den Anwender schädigen können. Im Zwiebelschalenprinzip fügen die Antivirenhersteller daher Schutzschicht um Schutzschicht nach: Neben dem ursprünglichen Dateiscanner, der auf Anforderung das System untersucht, kam so der Hintergrundscanner hinzu, der das Dateisystem in Echtzeit auf Änderungen überwacht. Weitere Komponenten sind dann beispielsweise E-Mail-Scanner oder Verhaltensüberwachung von Prozessen, also der laufenden Programme. Um bösartige Angriffe von Exploit-Kits zu erkennen, kamen dann Webtraffic-Analysekomponenten hinzu, die etwa Aktionen von Skripten in Webseiten untersuchen und bewerten.

Sofern Fehler in diesen Komponenten auftreten, versuchen die Hersteller, diese rasch zu beheben. Das ist ein ganz normaler und alltäglicher Vorgang: Wo Menschen arbeiten, wird es zwingend gelegentlich Fehler geben. Jeder Softwarehersteller muss nachbessern – man sieht dies unter anderem bei den monatlichen Patchdays von Microsoft. Die meisten Fehler fallen bereits weit vor Veröffentlichung neuer Komponenten in der Qualitätssicherung auf, einige erst später. Auch dann werden sie natürlich behoben.

Es sind bislang keine Angriffe aus der Praxis auf Virenscanner bekannt, um darüber Systeme zu infizieren oder Nutzer anzugreifen. Das liegt auch daran, dass die Position, die ein Angreifer zum Ausnutzen der jüngst bekannt gewordenen Lücken in Windows haben muss – beispielsweise lokalen Zugriff auf den Rechner -, bereits wesentlich einfacher weitreichenden Systemzugriff erlaubt.

Die Schutzwirkung durch Antivirensoftware ist jedoch unbestritten. Hier liefern Testlabore wie AV-Test.org regelmäßig Ergebnisse von Untersuchungen auf deren Webseite, die die gute Schutzwirkung der meisten Antivirenlösungen belegen. Das kostenlose, beim aktuellen Windows-Betriebsystem mitgelieferte Windows Defender schlägt sich dabei jedoch meist eher schlecht als recht. Daher ist der Einsatz von Antivirensoftware nach wie vor zwingend anzuraten – ohne sind Nutzer den Angreifern schutzlos ausgeliefert und haben keinerlei Unterstützung, Schadsoftware zu erkennen und abzuwehren.

Firefox-Update schließt Zero-Day-Lücke

avg_logo_deDie Entwickler der Mozilla-Foundation haben eine aktualisierte Firefox-Version veröffentlicht, die eine bereits massiv angegriffene Sicherheitslücke in dem Webbrowser schließt. Das Update wird per internem Mechanismus automatisch heruntergeladen, ein Neustart sollte dann genügen. Überprüfen lässt sich das unter „Hilfe“ – „ÜberFirefox“ respektive das Fragezeichen-Symbol, wenn man die grafischen Menüs aktiviert hat. Die Sicherheitslücke ist in den Versionen 50.0.2, ESR 45.5.1 sowie Thunderbird 45.5.1 behoben.

Nutzer und Administratoren sollten die Aktualisierung umgehend einspielen und aktivieren, um eine Infektion des Rechners mit Schadcode durch die Sicherheitslücke zu vermeiden.

Zeroday-Lücke im Flash Player geschlossen

avg_logo_deIm Flash Player von Adobe wird derzeit eine Sicherheitslücke von Cyberkriminellen angegriffen – alleine das Besuchen einer gehackten Webseite mit anfälliger Flash-Version genügt, den Rechner mit einem Trojaner zu infizieren. Seit heute stehen Updates bereit, die Nutzer und Administratoren zeitnah einspielen sollten.

Die aktuell installierte Flash-Version findet man über die About-Flash-Seite von Adobe heraus. Aktuell sind die Versionen 21.0.0.213, 18.0.0.343, 11.2.202.616; sie stehen im Download-Center bereit.

Eine Antivirenlösung hilft, sich gegen derartige Schwachstellen zu schützen: Der Web-Schutz in AVG Antivirus und Internet Security untersucht Webseiten auf enthaltene Exploits und kann entdeckte auch blockieren. Jedoch sollte auch die installierte Software stets auf dem aktuellen Stand gehalten und ungenutzte Programme nach Möglichkeit wieder von den Rechnern entfernt werden, um die Angriffsfläche zu minimieren. Zudem ist es ratsam, ein regelmäßiges Backup der wichtigen Daten anzufertigen, auf ein Medium, das nicht dauerhaft am Rechner angeschlossen ist. So lassen sich Auswirkungen beispielsweise von verschlüsselnden Erpressungtrojanern wirksam eindämmen.

Der Spamschutz als Virenblocker

Gastbeitrag von Olaf Petry, IT-Sicherheitsbeauftragter / CISO, Hornetsecurity.

Logo HornetSecurity1,3 Millionen Treffer. Dieses Ergebnis spuckt die Suchmaschine Google aus, wenn nach „Computervirus“ gesucht wird. Eine beachtliche Zahl, die verdeutlicht, wie wichtig dieses Thema bei Firmen, Behörden und Privatanwendern ist, schließlich können Computerviren eine ernstzunehmende Bedrohung für private Rechner und IT-Infrastrukturen von Unternehmen darstellen. Aber wie gelangen Viren, Zero-Day-Exploits und andere Malware auf die Computer und Server? Und wie lässt sich dieses Risiko effektiv minimieren?

Spam- und Virenmails werden immer professioneller

Zwar sind Drive-By-Downloads oder das versehentliche Herunterladen von schädlicher Software im Internet ein durchaus bekanntes Phänomen, jedoch erleben wir derzeit eine Renaissance der E-Mail als Einfallstor für Malware; insbesondere in Dokumenten verschleierte Schädlinge oder Links darauf schlagen in jüngerer Vergangenheit vermehrt durch. Selbst wenn Experten diesem Kommunikation­smedium immer wieder der Tod vorhersagen – auch in Zukunft werden mehr E-Mails versendet und empfangen als jemals zuvor. Wie viele E-Mails davon als Spam zu klassifizieren sind, lässt sich nicht auf die E-Mail genau feststellen, dennoch lohnt es sich, einen kurzen Blick auf ein paar Daten von Hornetsecurity zu werfen, um einen Überblick über das Medium E-Mail zu bekommen.

  • Die Zahl aller Clean-Mails pro Benutzer stieg von ca. 120 im Jahr 2007 auf knapp 400 Ende 2015 an.
  • Spam-Nachrichten sind auf dem Rückzug: Der durchschnittliche Jahresanteil an Spam-Mails am gesamten E-Mail-Verkehr ging von 99,7 Prozent im Jahr 2008 auf knapp 63 Prozent im Jahr 2015 zurück.
  • Die Zahl der als virenverseuchte E-Mail klassifizierten E-Mails pro Benutzer pro Monat stieg hingegen in den vergangenen fünf Jahren um das Fünffache an (mit deutlichen Ausreißern nach oben durch große Malware-Attacken)

2016-01-Entwicklung_Spam-AufkommenKonkret bedeutet dies eine Abkehr der früher geltenden Regel „Masse statt Klasse“: Spammer versenden weniger Spam- und Viren-Mails, diese dafür in einem wesentlich professionelleren Erscheinungsbild. Dies liegt einerseits daran, dass die Empfänger von Spam deutlich besser informiert sind und nicht mehr so einfach auf schlecht gemachte Müll-Nachrichten hereinfallen. Andererseits haben auch die Anbieter von Antispam-Lösungen ihre Hausaufgaben gemacht und entwickeln ihre Services kontinuierlich weiter.

Spamfilter erhöht als zusätzliche Sicherheitsstufe den Schutz

Dennoch: Einen hundertprozentigen Schutz zu gewährleisten, wird unmöglich sein, schließlich handelt es sich hier um einen Wettlauf zwischen Angreifer und Verteidiger, in dem der Hersteller von Malware immer einen winzigen Schritt voraus ist. Für Unternehmen und Privatpersonen gilt daher, dieses Risiko zu minimieren, indem sie sich bestmöglich schützen. Hier spielen Anbieter von Spamfilter Lösungen wie Hornetsecurity eine nicht zu unterschätzende Rolle – sie versperren Schadsoftware ihren Haupt-Angriffsweg, die E-Mail. Dadurch bieten sie neben den bereits vorhandenen Antiviren-Lösungen eine zusätzliche Sicherheitsstufe. Im Falle von Hornetsecurity ist dies ein mehrstufiger Filterprozess, mit dem das Unternehmen eine hohe Filterquote erreicht: Es garantiert vertraglich, 99,9 Prozent aller Spamnachrichten herauszufiltern, wobei der Regelfall mit 99,99 Prozent sogar noch deutlich darüber liegt. Beim integrierten Virenschutz sichert Hornetsecurity eine Quote von 99,99 Prozent vertraglich zu.

2016-01-Viren_pro_Nutzer-grossHornetsecurity erreicht diese Zahlen über ein mehrstufiges Filtersystem, in dem neben einem vorgeschalteten Blocking-Filter mehrere Schritte in der sogenannten aktiven Analysephase der gesamte Mailverkehr auf Herz und Nieren geprüft wird. Der Service beinhaltet zusätzlich eine Virenschutz-Komponente des Spamfilter Services von Hornetsecurity, die den eingehenden E-Mail-Verkehrs auf Viren auf Basis mehrerer Systeme prüft. Neben externen Scannern wie ClamAV und Signaturdaten von G DATA kommen verschiedene selbstentwickelte Werkzeuge zum Einsatz, um für die Kunden einen möglichst breiten Schutzschirm spannen zu können. Einen genauen Überblick verschafft das entsprechende Whitepaper.

Ein funktionierender Spamfilter Service ist daher mehr als nur ein Schutz vor lästigen E-Mails – er schafft einen zusätzlichen Sicherheitswall, um Unternehmen vor Viren, Phishing-Attacken und Exploits zu bewahren.

Internet Explorer: Support-Ende für ältere Versionen

avg_logo_deMicrosoft stellt ab heute den Support für viele Versionen des Internet Explorers ein – ab Windows 7 und neuer erhält nur der IE 11 damit noch Sicherheitsupdates (Windows Vista: IE9). Die Vorgängerversionen kommen jedoch auf Windows 7 und älteren Betriebssystemen noch häufig zum Einsatz.

Daher sollten Nutzer und Administratoren, die den Internet Explorer nutzen, sicherstellen, dass sie das Programm auf Version 11 aktualisieren. Dies schlägt jedoch häufiger aufgrund von Inkompatibilitäten etwa mit Grafikkartentreibern oder fehlenden Patches fehl. Für Windows XP gibt es aber beispielsweise gar keine aktuelle Version.

Die Sicherheitslücken in den veralteten Webbrowsern sind jedoch so schwerwiegend, dass der bloße Besuch einer Webseite etwa mit eingebetteter Werbung und gehackten Werbeservern ausreicht, den Rechner mit Schadsoftware zu infizieren. Wo also der IE 11 nicht installiert werden kann, muss ein alternativer Browser wie Firefox oder Chrome eingesetzt werden. Da die IE-Komponenten auch für die Microsoft-Mail-Programme genutzt werden, sollte dann auch ein Mail-Client mit eigenen aktuellen HTML-Modulen wie etwa Thunderbird zum Einsatz kommen. Nur so lässt sich mit dem Rechner dann einigermaßen sicher im Netz surfen. Hierbei sollte man natürlich weitere Sicherheitsmaßnahmen ergreifen: Etwa ein aktueller Virenscanner ist natürlich Pflicht. Und sämtliche installierte Software sollte zeitnah auf dem aktuellen Stand gehalten werden.

AV-Test bescheinigt AVG hervorragende Leistung

avg_logo_deDie IT-Sicherheitsexperten von AV-Test haben im Juli und August 2015 zahlreiche Sicherheitslösungen unter die Lupe genommen und ihre Erkennungsleistung vermessen. Bei den Real-World-Tests mit 165 Zeroday-Viren und Exploit-Websites, die absolut neu in freier Wildbahn aufgetaucht sind, und einem Basisset von mehr als 20.000 neuen sowie weit verbreiteten Schädlingen aus den vergangenen vier Wochen stach AVG mit hunderprozentiger Erkennung hervor. AVG liefert somit einen herausragenden Schutz vor den Schädlingen, denen die Rechner der Nutzer beim täglichen Surfen und Arbeiten ausgesetzt sind.

Die verbesserte Scan-Engine beweist in der Praxis ihre Effektivität. Sie ist etwa in den neuen AVG-Sicherheitslösungen enthalten, die Anfang des Monats veröffentlicht wurden. Unternehmen, Organisationen und Endanwender können kostenlos mit ihrer derzeitigen Lizenznummer auf die neue Version aktualisieren. Dazu genügt es, das passende Installationspaket herunterzuladen und über die bestehende Version drüber zu installieren. Die Netzwerklösungen fangen dabei mit dem AVG Remote Admin Server an und verteilen anschließend die neuen Workstation-Versionen mittel AVG Assistent für die Netzwerkinstallation.

Geschrieben von Dirk Knop.

Sicherungsmechanismen im Virenscanner

avg_logo_deDie Sicherheitslage im IT-Bereich ist angespannt: Die Zahl der Angriffe auf Internetnutzer nimmt stetig zu. Immer wieder gelingt es Cybergangstern, einzelne Server aus Werbenetzwerken zu unterwandern. Diese Werbenetzwerke liefern dann selbst auf seriösen Webseiten sogenannte Exploits aus, die Sicherheitslücken in fast überall installierter Software wie dem Betriebssystem, der Java-Laufzeitumgebung, dem Flash-Player oder Adobe PDF-Reader ausnutzen, um dadurch die Rechner mit Trojanern und Viren zu infizieren.

Dies bedeutet, das zum Einen natürlich die installierte Software stets auf dem aktuellen Stand gehalten werden muss, um die Angriffsfläche zu verkleinern. Das Betriebssystem und die Webbrowser haben inzwischen Automatismen integriert, die hier für rasche Abhilfe sorgen. Jedoch muss man bei Java, Flash und PDF-Reader meist selber Hand anlegen und neue Versionen herunterladen und einspielen.

Zum Anderen schützt ein guter Virenscanner, indem er einen Schutzschild beim Surfen im Netz integriert. AVGs Online Shield und Link Scanner warnen etwa vor vielen Exploits und blockieren diese auch gleich. Die Identity Protection überwacht die laufenden Prozesse und bremst sie aus, wenn sie zu viele verdächtige und möglicherweise schädliche Aktionen ausführen – etwa Dateien in temporäre Ordner herunterladen und von dort aus starten.

Um bei einem Fund den Rechner nicht lahmzulegen, sind jedoch auch Vorkehrungen zu treffen. AVG warnt beispielsweise, wenn Systemdateien infiziert sind. Es löscht diese jedoch nicht und verschiebt sie auch nicht in Quarantäne, weil dadurch die Computer außer Gefecht gesetzt werden könnten und nicht mehr starten. Der betroffene Nutzer erhält die nötige Information und kann dann Gegenmaßnahmen einleiten, etwa mit der AVG Rescue CD, und gegebenenfalls infizierte Systemdateien durch saubere Versionen ersetzen.

Weitere Sicherungsmaßnahmen setzen beispielsweise auf File Reputation. Vereinfacht steckt dahinter die Abfrage, ob es genau diese Datei in der vorliegenden Version häufig oder selten gibt; dazu erstellt AVG einen Hash-Wert, also einen digitalen Fingerabdruck, der eine Datei eindeutig identifiziert. Ist die Datei weit verbreitet wie zum Beispiel eine Standard-Systemdatei von Windows, handelt es sich bei einem Virenfund wahrscheinlich um einen Fehlalarm. Eine fehlerhafte Erkennung kann dann rasch ausgeschaltet und via Whitelist umgehend unschädlich gemacht werden.

Der AVG Virenschutz liefert daher ein stabiles System und setzt auf Funktionen, die einen fortlaufenden Betrieb der Rechner sicherstellen.

Geschrieben von Dirk Knop.