Neue Zero-Day-Lücke bedroht Nutzer von Java SE 6 und 7

Kaspersky Lab warnt vor einem Exploit für eine neue Zero-Day-Lücke in Oracles Java. Die Schwachstelle, die vom Sicherheitsunternehmen FireEye entdeckt wurde, steckt in Java SE 6 Update 41 sowie Java SE 7 Update 15. Sie wird ausgenutzt, um den Trojaner McRAT zu installieren, der mit einem Befehlsserver Kontakt aufnehmen und sich unter Windows in DLL-Dateien einnisten kann.

Intego zufolge wird das Loch aber nicht nur unter Windows, sondern auch unter Mac OS X für die Verbreitung von Malware benutzt. Hier handele es sich um einen Trojaner, der Passwörter des Spiels Minecraft stehle. Der tarne sich als ein „Minecraft Hack Kit“ genanntes Tool, das Nutzern „Vorteile“ gegenüber Mitspielern verschaffen soll.

Stattdessen installiert es zusammen mit einem Skript drei neue Applets, die permanent im Hintergrund ausführt werden. Die drei Java-Programme versuchen, die Anmeldedaten für Minecraft zu stehlen und an verschiedene Hotmail-Konten zu verschicken.

Beide Exploits lassen sich auf Systemen ausführen, auf denen die neueste Version der Laufzeitumgebung installiert ist. Der Angriff auf Minecraft ist im Gegensatz zum Trojaner McRAT nicht auf das Browser-Plug-in ausgerichtet. Stattdessen soll ein Opfer dazu verleitet werden, eine Software herunterzuladen und auszuführen. Sie richtet auch dann Schaden an, wenn das Java-Plug-in richtig konfiguriert ist, um beispielsweise nur vertrauenswürdige Applets zu verarbeiten.

Vor rund einer Woche hatte das polnische Sicherheitsunternehmen Security Explorations Oracle über zwei Java-Schwachstellen informiert, die in Update 15 für Java SE 7 stecken. Kombiniert sollen sie „einen vollständigen Java-Sandbox-Bypass“ erlauben. Der nächste reguläre Java-Patchday findet am 16. April statt.

[mit Material von Topher Kessler, News.com]