Kaspersky Lab entdeckt gefährliche Zero-Day-Lücke in Silverlight

Kaspersky Lab warnt vor einer gefährlichen Zero-Day-Lücke in Silverlight. Sie erlaubt es einem Angreifer unter Umständen, die vollständige Kontrolle über ein betroffenes System zu erlangen, um beispielsweise Schadcode zu installieren, persönliche Informationen zu stehlen oder die Aktivitäten eines Nutzers zu überwachen. Microsoft verteilt seit Dienstag einen Patch für die fragliche Anfälligkeit mit der Kennung CVE-2016-0034.

Aufmerksam wurde Kaspersky auf die Lücke im Juli 2015 durch einen Artikel von Ars Technica. Darin berichtete der Blog über Details aus den Unterlagen, die dem italienischen Spyware-Hersteller Hacking Team im vergangenen Jahr entwendet worden waren. Unter anderem zitierte Ars Technica aus einer E-Mail des russischen Hackers Witali Toropow von Oktober 2013, in der er Hacking Team einen Zero-Day-Exploit für Microsoft Silverlight anbot.

„Dieser Teil der Geschichte weckte sofort unser Interesse. Ein vor mehr als zwei Jahren geschriebener Exploit für Microsoft Silverlight, der vielleicht überlebt hat? Falls das wahr wäre, dann wäre es ein schwerwiegender Fehler mit einem hohen Potenzial, viele wichtige Ziele erfolgreich anzugreifen“, schreibt Kaspersky. Silverlight integriere sich nicht nur in Internet Explorer, sondern auch in Mozilla Firefox, was einen „ziemlich großen“ Angriffsvektor ergebe.

Kaspersky analysierte darauf hin andere bekannte von Toropow geschriebene Exploits, um den Exploit für die unbekannte Silverlight-Lücke zu finden. Erste Anhaltspunkte hätten Kasperskys eigene Erkennungssysteme schließlich im November 2015 geliefert. Ein Muster dieses Exploits sei nur Stunden später zu einem Multiscannner-Service der Demokratischen Volksrepublik Laos hochgeladen worden, heißt es weiter in Kasperskys Blogeintrag. Die Untersuchung dieser Datei habe schließlich bestätigt, dass es sich um eine unbekannte Zero-Day-Lücke in Silverlight handele.

„Eine der größten Fragen bleibt, ob es sich um Witali Toropows Zero-Day-Lücke handelt, die er an Hacking Team verkaufen wollte. Oder ist es eine andere?“, ergänzte Kaspersky. Diese Frage lasse sich aber nicht abschließend beantworten. „Eines ist aber klar – die Welt ist nach der Entdeckung und Beseitigung dieser Lücke ein bisschen sicherer.“

Das Silverlight-Update MS16-006 verteilt Microsoft sei Dienstag. Es steht für Silverlight 5 und Silverlight 5 Developer Runtime für Windows und Mac OS X zur Verfügung. Microsoft zufolge erlaubt die Lücke CVE-2016-0034 beim Besuch einer speziell präparierten Website das Einschleusen und Ausführen von Schadcode.

[mit Material von Charlie Osborne, ZDNet.com]

Tipp: Was wissen sie über Microsoft? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.