Eine der beiden Flash-Lücken, die Adobe Anfang vergangener Woche geschlossen hat, lässt sich für den Diebstahl von Windows-Anmeldedaten benutzen. Darauf weist der niederländische Sicherheitsforscher Björn Ruytenberg hin, der die Anfälligkeit entdeckt hat. Demnach handelt es sich um eine Variante einer älteren Schwachstelle, die Adobe im September 2016 gepatcht hatte.
Die ältere Lücke mit der Kennung CVE-2016-4271 erlaubte es, mithilfe einer speziell präparierten Flash-Datei einen SMB-Server zu kontaktieren, der wiederum einen Windows-Rechner dazu brachte, lokale NTLM-Hashes und damit die Anmeldedaten des lokalen Nutzers preiszugeben. Dieses Loch stopfte Adobe, indem es ausgehende Verbindungen zu URLs mit UNC- oder Dateiadressen unterband. Ruytenberg gelang es jedoch, die mit Adobes Patch eingeführten Sicherheitsvorkehrungen zu umgehen, wie Bleeping Computer berichtet.
Eine von Ruytenberg manipulierte Flash-Datei stellt per HTTP oder HTTPS eine Verbindung zu einem entfernten Server her. Der wiederum reagiert mit einer 302-HTTP-Umleitung an einen SMB-Server, der dann wieder in der Lage ist, die Windows-Anmeldedaten auszuspähen.
Der Forscher nennt in seinem Blog allerdings einige Einschränkungen. So lässt sich die Schwachstelle nur mit Firefox und Internet Explorer ausnutzen, nicht aber mit den Browsern Chrome und Edge. Allerdings seien auch die Office-Versionen 2010, 2013 und 2016 angreifbar.
Bug lässt sich auf mehreren Wegen ausnutzen
Zudem weist er darauf hin, dass sich der Bug auf mehrere Arten ausnutzen lässt. Ein Angreifer müsse sein Opfer beispielsweise auf eine Website mit einer Flash-Applikation locken, die den Schadcode enthält. Das sei auch per Malvertising möglich, also durch das Einschleusen schädlicher Werbung in legitime Websites.
Studie: Ransomware-Angriffe für KMU besonders gefährlich
Kleine und mittlere Unternehmen leiden vor allem unter den Ausfallzeiten. Das geforderte Lösegeld spielt eine geringere Rolle und wird auch meistens nicht gezahlt. 34 Prozent der deutschen KMU wurden innerhalb eines Jahres Opfer von Ransomware.
Alternativ könne eine E-Mail aber auch eine HTML-Datei mit eingebetteter Flash-Applikation enthalten. Außerdem sei es möglich, Flash-Code auch in Word- und Excel-Dokumente einzubetten, die sich anschließend über das Internet oder per E-Mail verbreiten lassen.
Außerdem warnt er davor, die von der Schwachstelle ausgehende Gefahr aufgrund des geringen Schweregrads von 4,3 Punkten im zehnstufigen Common Vulnerability Scoring System (CVSS) falsch einzuschätzen. Die Schwachstelle sei perfekt für zielgerichtete Angriffe auf Unternehmen oder einzelne Personen geeignet. „Genau genommen sind die auszuspähenden Informationen auf die Windows-Anmeldedaten beschränkt“, erklärte Ruytenberg gegenüber Bleeping Computer. Mit den Anmeldedaten lasse sich jedoch ein sehr großer Schaden anrichten. „Ein Angreifer könnte beispielsweise seine Rechte ausweiten und Malware dauerhaft auf dem Rechner seines Opfers installieren.“
Download:
So lassen sich Risiken bei der Planung eines SAP S/4HANA-Projektes vermeiden
Ziel dieses Ratgebers ist es, SAP-Nutzern, die sich mit SAP S/4HANA auseinandersetzen, Denkanstöße zu liefern, wie sie Projektrisiken bei der Planung Ihres SAP S/4HANA-Projektes vermeiden können.
Tipp: Wie gut kennen Sie die Geschichte der Computer-Viren? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.
Neueste Kommentare
Noch keine Kommentare zu Flash-Lücke erlaubt Diebstahl von Windows-Anmeldedaten
Kommentar hinzufügenVielen Dank für Ihren Kommentar.
Ihr Kommentar wurde gespeichert und wartet auf Moderation.