Hacker nutzen Zero-Day-Lücke in Chrome für Datendiebstahl

Der Sicherheitsanbieter EdgeSpot hat speziell präparierte PDF-Dateien entdeckt, die eine Zero-Day-Lücke im Google-Browser Chrome ausnutzen. Die Anfälligkeit erlaubt es, Daten von Nutzern zu sammeln, die die fragliche PDF-Datei mit dem in Chrome integrierten PDF-Viewer öffnen.

Unter anderem rufen die schädlichen Dokumente Daten wie IP-Adresse, OS-Version, Browserversion und den Speicherpfad der PDF-Datei ab. Die Informationen werden anschließend an einen Server im Internet übertragen. Hacker könnten sie nutzen, um zielgerichtete Angriffe zu planen und auszuführen.

Der Zero-Day-Lücke kamen die Forscher auf die Spur, weil das PDF-Dokument dieses Verhalten nicht zeigte, nachdem es in einer PDF-Desktopanwendung geöffnet wurde. Stattdessen trat das Problem nur in Chrome auf. Bei ihren Untersuchungen stellten die Forscher zudem fest, dass bereits zwei Versionen der schädlichen PDF-Dateien in Umlauf gebracht wurden. Die erste Kampagne begann im Oktober 2017, die zweite im September 2018. Bei beiden Angriffswellen kamen jedoch unterschiedliche Befehlsserver im Internet zum Einsatz.

Google wurde den Forschern zufolge Ende Dezember 2018 über das Problem informiert – unmittelbar nachdem sie die schädlichen PDF-Dokumente gefunden hatten. Das Chrome-Team habe den Bug bestätigt und einen Fix für Ende April angekündigt.

„Wir haben uns entschieden, unsere Ergebnisse vor dem Patch zu veröffentlichen, weil wir es für besser halten, den betroffenen Benutzern eine Chance zu geben, über das potenzielle Risiko informiert zu werden, da die aktiven Exploits/Samples in Umlauf sind, während der Patch noch in weiter Ferne liegt“, schreiben die Forscher in einem Blogbeitrag. Darin beschreiben sie auch, wie Nutzer erkennen können, ob sie bereits Opfer einer schädlichen PDF-Datei wurden.

Solange es keinen Patch gibt, rät EdgeSpot, PDF-Dateien grundsätzlich mit einer Desktop-Anwendung und nicht mit Chromes PDF-Viewer zu öffnen. Andernfalls sollen Nutzer vor dem Öffnen einer PDF-Datei in Chrome die Internetverbindung trennen.

Das PDF-Format ist weiterhin ein beliebtes Ziel von Cyberkriminellen, da es praktisch auf allen Betriebssystemen zum Einsatz kommt. Anfang der Woche war bekannt geworden, dass sich die digitalen Signaturen von PDF-Dateien fälschen lassen. Davon sind die meisten Desktop-Anwendungen sowie Online-Dienste für das Signieren von PDF-Dateien betroffen.