Virus Flame nutzt zur Verbreitung Lücke im Windows-Update-Prozess
Die Malware verwendet dafür gefälschte Microsoft-Zertifikate. So kann sie der Windows-Update-Funktion beliebige Binärdateien unterschieben. Microsoft will nun bei der Sicherheit von Windows Update nachbessern.
Der Virus Flame kann PCs offenbar auch über gefälschte Windows-Updates infizieren. Nach Angaben von Microsoft und Symantec nutzt der Schädling gefälschte Sicherheitszertifikate für Microsofts Terminal Server, um die Updatefunktion von Windows zu täuschen. Als Folge könnte ein Windows-PC Software erhalten, die das System für ein von Microsoft kommendes Update hält, die aber in Wirklichkeit ein Teil von Flame ist.
Windows Update zu täuschen ist Symantec zufolge keine leichte Aufgabe. Alle Updates müssten von Microsoft signiert sein. Flame verwende ein mit Microsofts Root Authority verbundenes Zertifikat, um diese Einschränkung zu umgehen, schreibt das Unternehmen.
Insgesamt seien drei Anwendungen beteiligt, um einen PC zu infizieren: Snack, Munch und Gadget. Snack überwache NetBIOS-Anfragen im lokalen Netzwerk und leite sie an das Modul Munch weiter. Munch wiederum agiere als Webserver und Gadget liefere mithilfe von Munch eine Binärdatei, die mit einem angeblich von Microsoft stammenden Zertifikat signiert sei. Sie werde als legitimes Windows-Update auf einen Rechner geladen und ausgeführt. Allerdings handele es sich auch dabei noch nicht um den Virus selbst, sondern um ein Programm, das Flame herunterlade und installiere.
Microsoft hat das Risiko für Windows Update bestätigt. “In allen Fällen kann Windows Update nur mit einem nicht autorisierten Zertifikat in Kombination mit einem Man-in-the-Middle-Angriff getäuscht werden”, erklärte Microsoft. Flame selbst nutze einen Man-in-the-Middle-Angriff, um Daten zu stehlen, Audiokonversationen abzuhören und Bildschirmfotos anzufertigen.
Anfang der Woche hatte Microsoft eine Sicherheitswarnung herausgegeben und darüber informiert, wie Software blockiert werden kann, die mit gefälschten Zertifikaten signiert wurde. Zudem steht ein Update zur Verfügung, das die gefährlichen Zertifikate sperrt. Außerdem lassen sich mit Terminal Server keine Zertifikate mehr ausstellen, die eine Codesignierung ermöglichen.
Darüber hinaus will Microsoft auch die Windows-Updatefunktion verbessern. Das dafür benötigte Update werde man erst herausgeben, wenn der Patch KB2718704 auf den meisten Rechnern installiert sei, um die Verteilung dieses Updates nicht zu stören. Wann das soweit sein wird, ist noch nicht bekannt.
[mit Material von Lance Whitney, News.com]
(Bild oben links: so47 – Fotolia.com)