Aktuelle IT-Bedrohungen 06

Nach dem intensiven Gegeneinander der Antiviren-Industrie einerseits und der Cyber-übeltäter andererseits, trat im dritten Quartal 2006 eine Ruheperiode ein: beide Seiten befanden sich in einer Konsolidierungsphase, während der die Ergebnisse der ersten Jahreshälfte 2006 bewertet und eingeschätzt wurden. Im dritten Quartal 2006 gab es keine einzige globale Epidemie zu beklagen, und es wurden auch keine neuen Konzept-Viren gefunden – einzig der Routine-Wettbewerb um die Positionen fand statt.

Dennoch brachte dieser Zeitraum unangenehme überraschungen seitens der übeltäter.

Zu den Schlüsselproblemen im Bereich der IT-Sicherheit zählen gegenwärtig die Sicherheitslücken in Microsoft Office. Bereits im zweiten Quartal 2006 wurden Word, Excel und Power Point Zielscheibe von Hackern und es wurden in nur drei Monaten fast ein Dutzend Lücken bekannt. Im dritten Quartal patchte Microsoft zwar sechs der Fehler, doch jede Sicherheitslücke zog noch zig Trojaner nach sich, die im E-Mail-Traffic oder auf Anwender-PCs entdeckt wurden.

Das Schwachstellen-Problem in MS Office wurde noch verstärkt, indem die Virenschreiber sich dem Microsoft-Rhythmus für die Patch-Days anpassten und ihre 'Werke' immer einige Tage vor Erscheinen des nächsten planmäßigen Sicherheits-Patches veröffentlichten. All dies führte dazu, dass die Sicherheitslücken fast einen ganzen Monat über von den Hackern verwendet werden konnte, und die Anwender recht schutzlos dastanden. Eine derartige synchrone Vorgehensweise der verschiedenen Hackergruppen erinnert nach Meinung von Alexander Gostev, Senior Virus Analyst bei Kaspersky Lab und Verfasser des Quartalsberichts "eher an den Versuch der Diskreditierung von Microsoft und dessen 'Patch-Days'".

Die Situation bleibt nach wie vor kompliziert. Alexander Gostev erwartet für die nächste Zukunft noch ausgeklügeltere Attacken auf die Office-Produkte, da Microsoft sein Office-Paket 2007 bereits für den öffentlichen Beta-Test zugänglich gemacht hat und Hacker damit ein neues 'Forschungsobjekt' in Händen halten.

Im dritten Quartal 2006 stellten neben besagter Schwachstellen zwei weitere Lücken in Microsoft-Produkten eine große Gefahr für die Anwender dar.

MS06-040 gehört aufgrund der Möglichkeit, über Netz-Attacken einen willkürlichen Code für Windows-Plattformen auszuführen zur gefährlichsten der bekannt gewordenen Sicherheitslücken. Nur wenige Tage nach Erscheinen des Microsoft-Patches schickten die übeltäter mehrere Schadprogramme ins Internet. Viele der altbekannten Schadprogramme wie Rbot und SdBot wurden einfach um Explois ergänzt, unterschieden sich dann jedoch nicht sehr von bereits bekannten, wodurch AV-Hersteller sie ohne jegliches Produkt-Update zu blockieren vermochten.

Die im September entdeckte Sicherheitslücke MS06-055 im Internet Explorer ermöglichte die Erstellung eines Scripts, das beim Besuch der infizierten Webseite einen willkürlichen Code im System ausführte. Dieses Mal war sich Microsoft schnell der kritischen Situation bewusst und veröffentlichte in kürzester Zeit einen außerordentlichen Patch, der die Infektionen deutlich eindämmte.

Mobile Viren, die aus der Gesamtmasse primitiver, 'Skuller-ähnlicher' Trojaner herausragen, wurden im dritten Quartal 2006 insgesamt drei entdeckt: Comwar 3.0, Mobler.a und Acallno. Comwar 3.0 ist der erste mobile Virus, der auch Dateien infizieren kann. Der Wurm sucht auf dem mobilen Gerät sis-Dateien und hängt sich an diese an, wodurch er sich nicht nur über die traditionellen Methoden MMS und Bluetooth verbreiten kann. Wurm Mobler.a ist der erste mobile Crossplattform-übeltäter, der sowohl auf Symbian als auch Windows funktioniert. Er verbreitet sich, indem er sich selbst vom Computer ins Telefon kopiert und umgekehrt. 'Wahrscheinlich sollte Mobler.a weniger als neue Methode zum Eindringen in ein mobiles Gerät betrachtet werden, sondern vielmehr als eine neue Möglichkeit für Attacken auf Anwender-PCs', so Alexander Gostev.

Bei dem Trojaner Acallno Bei Acallno handelt es sich um die kommerzielle Entwicklung einer Firma zum gezielten Ausspionieren eines konkreten Mobiltelefons: Acallno dupliziert heimlich alle empfangenen und verschickten SMS vom Telefon des Besitzers und versendet sie auf eine speziell eingerichtete Nummer.

Der J2ME-Trojaner Wesber ist das zweite den Virenexperten bei Kaspersky Lab bekannte Exemplar, das nicht nur auf Smartphones, sondern praktisch auf allen aktuellen Mobiltelefonen funktioniert.

Bei den Instant Messaging (IM)-Systemen wurde besonders den russischen Usern zugesetzt, in erster Linie durch den Trojan-Spy LdPinch. Gelangt er auf einen Anwender-PC, stiehlt er für den Autor interessante Daten. Darüber hinaus verschickt er an die Kontaktliste des IM-Clients einen Link, der auf eine Webseite führt, auf der LdPinch positioniert wurde. Im dritten Quartal 2006 gab es im russischen Internet Runet mehrere große Epidemien dieser Art, bei denen innerhalb eines Tages Tausende ICQ-Nutzer von ihren Bekannten Links auf die schädlichen Dateien erhielten - angeblich Links auf 'coole Bilder'. Hauptproblem ist einmal mehr der 'Faktor Mensch': das Vertrauen zu Links, die von vermeintlichen Bekannten kommen, ist sehr hoch, und die Situation erinnert an die Anfangszeit der E-Mail-Würmer, als die Anwender ohne zu überlegen sämtliche Dateien, die über E-Mail eingingen, öffneten. Jetzt öffnen die User mit gleichen Erfolg über IM eintreffende Links.

'Wir raten System-Administratoren und Spezialisten im Bereich IT-Sicherheit, der Bedrohung durch IM-Clients höchste Aufmerksamkeit zu schenken. Nach Möglichkeit sollten der Unternehmens-Sicherheits-Policy entsprechende Regeln hinzugefügt werden, die die Verwendung dieser Programme untersagt und der gesamte eingehende http-Traffic überprüft werden', so Alexander Gostev.

Im Schlusswort äußert Gostev seine Vermutung darüber, dass die zweite Etappe der Entwicklung von Viren und Antivirus-Technologien gegenwärtig zu Ende geht. Die modernen Virenschreiber passen sich der zeitgenössischen 'Antivirus-Denke' an und sind nicht bestrebt, zum Angriff überzugehen. Die Virusschreiber sind sowohl mit den Reaktionszeit der Antivirus-Unternehmen 'zufrieden', die teilweise nur wenige Stunden, manchmal sogar nur Minuten beträgt, als auch mit dem Ergebnis, das die übeltäter in dieser Zeit erreichen. Dieses Gleichgewicht wird jedoch keinen Bestand haben.

'Ist die Situation so, wie ich sie mir vorstelle, so wird sich bald vieles ändern. Entweder gehen die Antivirus-Unternehmen zum Angriff über und schlagen den existierenden Virenwall nieder, oder es werden völlig neue Virengedanken geboren, die den Virenschutz vor neue Aufgaben stellen', meint Alexander Gostev abschließend.

Quelle: Kaspersky Lab