Angreifer verteilen Malware über Microsofts Windows-Dienst BITS

Angreifern ist es gelungen, Microsofts Hintergrundübertragungsdienst BITS für die Auslieferung und Installation von Malware zu nutzen. Darauf stieß die Counter Threat Unit (CTU) von Dell SecureWorks. Die Sicherheitsforscher fanden heraus, dass über diesen Weg die erneute Infektion von Systemen erfolgen kann, nachdem eine vorherige beseitigt wurde.

Der Background Intelligent Transfer Service (BITS) sorgt als Softwarekomponente von Windows für die Übertragung über HTTP im Hintergrund. Er wird von Microsoft selbst für verschiedene Update-Aufgaben eingesetzt, kann aber auch durch Software von Drittanbietern angesprochen werden, um etwa Dateien für eine Aktualisierung zu übertragen.

Laut CTU haben Malware-Autoren den Dienst seit mindestens 2007 für ihre Zwecke genutzt. Eine für sie attraktive Eigenschaft von BITS ist dabei, dass sie Dateien auf Systeme befördern oder auf einen Server hochladen können mit einer Anwendung, der Firewalls vertrauen. Außerdem können sie unterbrochene Downloads später fortsetzen und Aufgaben erstellen, die auch Monate später noch ausgeführt werden. Nach Ausführung einer Aufgabe können sie außerdem den Start beliebiger Programme veranlassen.

Entdeckt wurde die Schwachstelle auf einem betroffenen Computer mit Windows 7, der in einer universitären Umgebung für Verwaltungsfunktionen genutzt wurde. Antivirus-Software hatte darauf zuvor Malware gemeldet und sie unschädlich gemacht. Dennoch gab es weiterhin Netzwerk-Benachrichtigungen, die sich auf Malware bezogen.

Die Sicherheitsforscher beschäftigten sich daraufhin mit Unregelmäßigkeiten im BITS-Ereignisprotokoll und stießen auf aktive Jobs für das Herunterladen und die Ausführung neuer Malware. Die „vergifteten“ BITS-Aufgaben schufen Scripts für Installation und Säuberung nach erfolgtem Download. Sie waren lediglich in der Jobs-Datenbank des Microsoft-Dienstes enthalten – das System hingegen wies keine Änderungen von Dateien oder Registry auf. Die ursprüngliche Malware hatte sogar Einträge hinterlassen, die für erneute Downloads in regelmäßigen Abständen sorgten.

Die Sicherheitsforscher legen die Durchsicht aktiver BITS-Aufgaben nahe, wenn ungewöhnliche Benachrichtigungen auffallen. In einem Blogeintrag haben sie außerdem eine Liste von Web-Domains veröffentlicht, auf die bösartige Einträge für den Download von Malware verwiesen. SecureWorks empfiehlt, Zugriffe auf diese Adressen zu blockeren.

[mit Material von Charlie Osborne, ZDNet.com]