Neue Zero-Day-Lücke in Flash Player entdeckt – Update schließt Schwachstelle nicht

Sicherheitsforscher haben eine neue Zero-Day-Lücke in Adobes Flash Player entdeckt, die bereits ausgenutzt wird. Cyberkriminelle verwenden sie, um darüber Adware zu verbreiten und ein Botnetz aufzubauen. Adobe prüft zudem Berichte, laut denen sich die Schwachstelle mittels des Exploit-Kits „Angler“ ausnutzen lässt. Dieses ist nach Aussagen von Cisco-Sicherheitsforschern der angesagteste Nachfolge von Blackhole.

Der unabhängige Malware-Forscher Kafeine hatte die Angriffsmethode auf Flash Player gestern in einer Version von Angler gefunden, die Exploits für drei Flash-Lücken umfasst – zwei ältere, die Adobe bereits geschlossen hat, und eben die neue, die mit dem in der vergangenen Woche erschienenen Flash Player 16.0.0.257 für Windows und Mac OS noch nicht gepatcht wurde.

Flash ist ein beliebtes Ziel von Exploit-Kits, weil es in allen gängigen Browsern und unter mehreren Betriebssystemen läuft. Allerdings kommt es ziemlich selten vor, dass ein Zero-Day-Exploit in einem Exploit-Kit enthalten ist. Dieses kann automatisch Malware auf einem PC installieren, wenn der Nutzer eine manipulierte oder kompromittierte Website im Browser aufruft.

Kafeine hat eine Teilanalyse durchgeführt, um herauszufinden, welche Systeme von der neuen Zero-Day-Lücke in Flash betroffen sind. Ihm zufolge gehören dazu Windows XP mit Internet Explorer (IE) 6 bis 8, Windows 7 mit IE 8, Windows 8 mit IE 10 sowie auch Windows 8 mit IE 10 und dem Update Windows8-RT-KB3008925-x86 und Windows 8.1 mit IE 11. Auch Firefox ist laut Kafeine nach einem Update des Exploit-Kits anfällig.

Eine Adobe-Sprecherin erklärte gegenüber ZDNet.com, das man den Bericht zur Kenntnis genommen habe und der Sache nachgehe. Allerdings hat das Unternehmen bisher keine offizielle Handlungsempfehlung gegeben. Als Vorsichtsmaßnahme empfiehlt Kafeine, Flash auf betroffenen Systemen vorübergehend zu deaktivieren.

Die Malware, die mithilfe des neuen Exploits verbreitet wird, heißt „Bedep„. Laut der Sicherheitsfirma Malwarebytes handelt es sich dabei um ein Programm zum Aufbau eines „Botnetzes, das mehrere Payloads auf infizierte Hosts laden kann“. Konkret installiert es Malware, die Anzeigennetzwerke wie DoubleClick austrickst, sodass diese gefälschte Klicks und Seitenaufrufe zählen. „Bei einer Infektion wird die Datei explorer.exe (nicht zu verwechseln mit iexplore.exe für den Internet Explorer) eingeschleust, die dann die betrügerischen Anzeigenaufrufe ausführt“, erklärt Jérôme Segura von Malwarebytes. Laut Kafeine schützt die kostenlose Version von Malwarebytes Anti-Exploit-Tool anfällige Systeme vor der Attacke.

Symantec bezeichnet die Malware als „Trojan.Swifti„. In einem Blogbeitrag führt das Sicherheitsunternehmen zu der neuen Zero-Day-Lücke aus: „Symantec erachtet diese Schwachstelle als kritisch, weil Adobe Flash Player weit verbreitet ist und die Lücke es einem Angreifer erlaubt, einen Host effektiv zu kompromittieren, was wiederum die unautorisierte Installation von Malware ermöglicht.“

[UPDATE 17.08 Uhr]

Inzwischen hat Adobe die Schwachstelle behoben. Die neue Version 16.0.0.287 steht ab sofort zum Download bereit.

[UPDATE 00.02 Uhr]

Das Update schließt zwar verschiedene Sicherheitslücken, aber nicht die im Beitrag beschriebene Schwachstelle. Der Patch für die neue Zero-Day-Lücke kommt laut Adobe in der nächsten Woche.

[mit Material von Liam Tung, ZDNet.com]

Tipp: Wie sicher sind Sie bei der Sicherheit? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de