Zero-Day-Exploit nutzt Schwachstelle in Link-Dateien unter Windows

Die Zero Day Initiative (ZDI) hat mit ZDI-CAN-25373 eine Schwachstelle in Windows-Windows-Link-Dateien (.lnk) identifiziert. Sie wird von APT-Gruppen missbraucht für die Ausführung versteckter Befehle ,mit dem Ziel der Spionage und Datendiebstahl.

Der Analyse zufolge missbrauchen nahezu 1000 bösartige .lnk-Dateien ZDI-CAN-25373 die Schwachstelle. Die Angriffe nutzen versteckte Befehlszeilenargumente in den .lnk-Dateien, um bösartige Payloads auszuführen. Für Unternehmen bedeutet dies erhebliche Risiken von Datendiebstahl und Cyberspionage.

Die Anfälligkeit wurde von staatlich unterstützten APT-Gruppen aus Nordkorea, dem Iran, Russland und China missbraucht. Betroffen sind Organisationen aus den Bereichen Regierung, Finanzen, Telekommunikation, Militär und Energie. Sie sind in Nordamerika, Europa, Asien, Südamerika und Australien ansässig.

Die Zero Day Initiative rät Unternehmen sofort nach ZDI-CAN-25373 zu scannen und Sicherheitsmaßnahmen zu ergreifen. Nutzer sollten außerdem wachsam gegenüber verdächtigen .lnk-Dateien sein und sicherstellen, dass umfassende Maßnahmen zum Schutz von Endpunkten und Netzwerken vorhanden sind.

Ausgenutzt wird die Schwachstelle offenbar in Kampagnen, die bis ins Jahr 2017 zurückreichen. Auch wenn fast tausend Samples von bösartigen Shell-Link-Dateien entdeckt wurden, geht die Zero-Day Initiative davon aus, dass die Zahl der Ausbeutungsversuche wahrscheinlich deutlich höher ist.

Einen Patch wird es indes in absehbarer Zeit wohl nicht geben. Die Zero Day Initiative reichte einen Proof-of-Concept-Exploit bei Microsoft ein. Der Softwarekonzern soll es jedoch abgelehnt habe, die Anfälligkeit mit einem Sicherheitsupdate zu beheben.