Meldung vom 28.12.2005 11:09
WMF-Bilder infizieren Windows-PCs

Windows-Anwendern steht neues Ungemach ins Haus: Für eine bislang unbekannte Lücke in Windows ist ein Exploit aufgetaucht, der über ein manipuliertes Bild im WMF-Format den Rechner mit Spyware und Trojanern infiziert. Eine erste Seite ist auch bereits aktiv dabei, Besuchern Schädlinge auf die Platte zu schieben. Der Exploit lädt beim Aufruf einer präparierten Webseite mit dem Internet Explorer das Bild nach und zeigt es, je nach Konfiguration, unter Umständen automatisch in der Windows Bild- und Faxanzeige an. Dabei gelingt es dem Exploit, Schadcode ins System zu schleusen und mit den Rechten des Anwenders auszuführen. Anschließend lädt der Schadcode mehrere DLLs nach und verbiegt die Startseite des Internet Explorers. Zudem öffnet er Pop-ups mit Angeboten für Software, die den eben installieren Trojaner wieder entfernen soll.
Anzeige

Bei einem Test der heise-Security-Redaktion mit Windows XP SP2 fand zwar der mitlaufende Virenscanner von H+BEDV die nachgeladenen Dateien und schob sie in die Quarantäne, den eigentlichen Downloader erkannte er jedoch nicht. Zudem sperrte der Trojaner den Aufruf des Task Managers.

Zum Vergrößern anklicken....

29.12.2005 11:57
<< Vorige | Nächste >>
WMF-Exploit tarnt sich als Google-Grußkarte [Update]

Der gestern gemeldete Zero-Day-Exploit für eine WMF-Lücke in Windows hat sich offenbar schnell verbreitet und ist auch bereits öffentlich verfügbar. So versuchen mehrere Warez-Seiten, ihre Besucher beim bloßen Aufruf der Seite über manipulierte Bilder mit Spyware zu infizieren. Seit heute morgen kursiert auch eine angebliche Google-Mail-Grußkarte von "Claudia" mit einem präparierten Link. Ein unbedachter Klick darauf öffnet eine Seite, die ein WMF-Bild nachlädt und je nach Konfiguration automatisch in der verknüpften Anwendung anzeigt. Dabei ist es zwar grundsätzlich egal, mit welchem Browser der Anwender die Seite ansurft. Der Internet Explorer öffnet aber in der Regel ein WMF-Bild ohne Nachfrage in der Bild- und Faxanzeige, was zur sofortigen Infektion führt. Andere Browser fragen erst nach, womit das Bild geöffnet werden soll -- das konkrete Verhalten hängt vom jeweiligen System ab.
Anzeige

Ursache der Sicherheitslücke ist ein Fehler in der Bibliothek SHIMGVW.DLL, die von mehreren Anwendungen verwendet wird -- neben der Bild- und Faxanzeige auch vom Windows Explorer und Google Desktop. Im Windows Explorer genügt bereits die Voransicht eines präparierten Bildes, um den Schad-Code zu starten. Microsoft hat zu der Sicherheitslücke ein eigenes Advisory veröffentlicht, ein Patch ist aber noch nicht in Aussicht. Außer wenig hilfreichen Standardtipps (Firewall einschalten, Updates einspielen, Virenscanner installieren) schlagen die Redmonder vor, die verwundbare Bibliothek zu deregistrieren, damit die Anwendungen sie nicht mehr aufrufen können. Für das Deregistrieren der DLL sorgt in der Eingabeaufforderung (oder unter Ausführen) der Befehl:

regsvr32 -u %windir%\system32\shimgvw.dll

Nach einem Neustart funktionieren die Bild- und Faxanzeige und alle Programme nicht mehr, die die verwundbare DLL verwenden leider gilt dies nicht nur für WMF-Dateien, sondern für alle Bilder, die mit diesen Programmen verknüpft sind. Wann Microsoft ein Update zur Verfügung stellt, ist nicht bekannt. Sobald dies aber installiert ist, kann der Anwender die Bibliothek wieder registrieren:

regsvr32 %windir%\system32\shimgvw.dll

Zum Vergrößern anklicken....

Marion schrieb:

Ist WIN 98 auch anfällig dafür?

Zum Vergrößern anklicken....

AntiVir, Avast!, BitDefender, ClamAV, Command, Dr Web, eSafe, eTrust-INO, eTrust-VET, Ewido, F-Secure, Fortinet, Kaspersky, McAfee, Nod32, Norman, Panda, Sophos, Symantec, Trend Micro und VirusBuster erkannten nun alle 73 Samples. Nur die Scanner von QuickHeal (11 nicht erkannt), AVG (13), F-Prot (54), Ikarus (67) und VBA32 (67) ließen immer noch infektiöse WMF-Dateien unbeanstandet passieren

Zum Vergrößern anklicken....

Das BSI (Bundesamt für Sicherheit in der Informationstechnik) warnt vor einer Schwachstelle im Microsoft Betriebssystem Windows, die unter Verwendung des Grafikformats "Windows Metafile" (WMF) ausgenutzt werden kann.

...
Benutzer des Internet Explorer können durch den Besuch einer Web Seite automatisch von Schadprogrammen infiziert werden, die die Sicherheitslücke ausnutzen.

...
Benutzer des Firefox können infiziert werden, wenn sie sich auf Standard-Nachfrage des Browsers dazu entscheiden, dennoch die entsprechende WMF-Datei auszuführen.

...
Bisher gibt es von Microsoft keine Patches zur Behebung der Schwachstelle.
Microsoft hat für kommenden Dienstag, den 10.01.2006, (Januar-Patchday) ein Sicherheitsupdate angekündigt, das die Sicherheitslücke beim Anzeigen präparierter WMF-Dateien schließen soll.
Die Betriebssysteme Windows 98 und Windows ME werden von Microsoft nicht mehr gewartet. Es ist nicht abzusehen, ob von dem Hersteller für diese Versionen überhaupt ein Patch zur Beseitigung der Sicherheitslücke entwickelt wird.

Zum Vergrößern anklicken....