Aurora: Angriff mit IE-Exploit aus China auf Google und den Rest der Welt

Neben Google sind etwa 30 weitere Unternehmen angegriffen worden, darunter Yahoo, Symantec, Juniper Networks, Northrop Grumman und Dow Chemical. Dass der Angriff überhaupt entdeckt wurde, ist Googles Wachsamkeit zu verdanken. Die anderen Unternehmen hätten sich möglicherweise wochen- oder monatelang unbemerkt ausspionieren lassen.

Dass hinter dem Angriff die chinesische Regierung steckt, bezweifelt inzwischen niemand mehr. Sowohl Google als auch iDefense, eine Tochter von Verisign, haben die Ausgangs-IP-Adressen rückverfolgen können. Hinzu kommt, dass bei ausschließlichem Interesse an Wirtschaftsspionage nicht davon auszugehen ist, dass sich der Angreifer ausgerechnet für die Googlemail-Konten zweier Menschenrechtler in China näher interessiert.

Die Ausnutzung der Lücke im Internet-Explorer beweist die Professionalität der Angreifer. Typische Programmierfehler in einer Sprache wie C, die Speicherarithmetik zulässt, werden nahezu täglich entdeckt. Dazu gehören beispielsweise Pufferüberläufe, Dereferenzierungen von Null-Pointern und Pointer auf nicht mehr existierende Objekte.

Sicherheitsforscher, die solche Lücken entdecken, veröffentlichen meist Proof-of-Concept-Code, der das angegriffene Programm oder im Fall einer Kernel-Mode-Lücke den Rechner zum Absturz bringt. Einen Absturz zu erzeugen, ist nicht schwer. Man modifiziert einfach die Rücksprungadresse auf dem Stack, so dass beim nächsten RET-Befehl auf eine vom Angreifer bestimmte Adresse gesprungen wird.

Die Schwierigkeit liegt allerdings darin, herauszufinden, auf welche Adresse man springen muss, um zu Code zu gelangen, den der Angreifer in ein präpariertes Dokument oder eine präparierte Website eingeschmuggelt hat. Da alle modernen Betriebssysteme Flat-Memory-Modelle verwenden, ist die Adresse, an der ein Dokument geladen wird, grundsätzlich dynamisch und nicht vorhersagbar. Die Rücksprungadresse auf dem Stack ist jedoch eine absolute Adresse.

Eingeschleuster Code lässt sich nur mit einer Angabe wie „Dokumentanfang plus X Byte“ lokalisieren. Die Adresse des Dokumentenanfangs auf dem angegriffenen Rechner kann der Angreifer aber nicht kennen, wenn er sein präpariertes Dokument erstellt. Aus diesem Grund lassen sich die meisten Sicherheitslücken, die durch fehlerhafte Verwendung von Speicherarithmetik entstehen, nicht praktisch ausnutzen, außer um ein Programm oder einen Rechner abstürzen zu lassen.