Ein Botnet war darauf spezialisiert, Eintrittskarten für populäre Veranstaltungen zu kaufen. Die Software zu einem USB-Akkuladegerät enthält eine Hintertür, im Handler's Diary des ISC geht es um die Analyse von Firewall-Logfiles, es wurde eine Schwachstelle in der RSA-Implementierung von OpenSSL gefunden, und es gibt eine Reihe neuer Paper und Statistiken. Jeet Morparia von Symantec berichtet über Schadsoftware mit gefälschten Signaturen, Chester Wisniewski von Sophos beschreibt 'How Twitter spam steals from Google, Yahoo!' und F-Secure hat eine durch bösartige Suchmaschinenoptimierung angepriesene harmlose PDF-Datei gefunden, die sich im Laufe weniger Stunden erst in eine PDF-Datei mit bösartiger Flash-Datei darin und schließlich in eine HTML-Datei "verwandelt" hat. Stefan Esser hat den Suhosin-Patch in Version 0.9.9.1 veröffentlicht, der u.a. Abstürze auf IA64-Systemen behebt, und im Application Security Street Fighter Blog geht es in der Serie mit Beiträgen zu den Top 25 der gefährlichsten Programmierfehler um Rank 6 – Reliance on Untrusted Inputs in a Security Decision.
Botnet kauft Eintrittskarten
Francois Paget vom McAfee Lab berichtet über ein Botnet, das CAPTCHAs umgehen konnte und dazu genutzt wurde, große Mengen an Eintrittskarten für populäre Veranstaltungen zu kaufen, die dann mit Gewinn weiterverkauft wurden. Ein CBS-Bericht liefert weitere Informationen:
USB-Akkuladegerät mit Schadsoftware
Das US-CERT warnt vor einem Trojaner, der in der Windows-Software zum USB-Akkuladegerät Energizer DUO enthalten ist und der nach der Installation der Software eine Hintertür öffnet. Weitere Informationen enthält eine Blogeintrag von Symantec. Laut einer Pressemitteilung wurde der Vertrieb des Ladegeräts eingestellt und die Downloadseite des Programms vom Web genommen, vorhandene Installationen sollten gelöscht werden. Wie der Schadcode in der Programm gelangt ist, ist nicht bekannt.
Firewall-Logfiles analysieren
Einige Einträge im Handler's Diary des ISC beschäftigen sich mit der Analyse von Firewall-Logfiles: In 'What is your firewall telling you and what is TCP249?' geht es um Logfile-Einträge allgemein, in 'What is your firewall log telling you - Part #2' werden einige Unix-Kommandozeilenbefehle vorgestellt, die bei der Analyse helfen, und in 'What is your firewall log telling you - responses' werden Tipps von Lesern zusammengefasst.
Schwachstelle in RSA-Implementierung von OpenSSL
Andrea Pellegrini, Valeria Bertacco und Todd Austin von der University of Michigan haben einen neue Schwachstelle in der RSA-Implementierung von OpenSSL sowie einen Angriff auf eine Hardware-Implementierung von RSA beschrieben: 'Fault-Based Attack of RSA Authentication' (PDF). Die von OpenSSL verwendete Implementierung der "left-to-right exponentiation", von den Forschern als "Fixed Window Exponentiation" (FWE) bezeichnet, erlaubt in bestimmten Fällen, aus falsch berechneten Signaturen den geheimen Schlüssel zu ermitteln. Das wurde für einen Angriff auf eine Hardware-Implementierung von RSA ausgenutzt: Durch Absenkung der Versorgungsspannung des verwendeten Embedded-Prozessors wurden bei der Signaturberechnung Bitfehler provoziert, aus den gesammelten falschen Signaturen konnte dann der geheime Schlüssel ermittelt werden.
Paper und Statistiken
Trend Micro hat das Zeus-Botnet in einem Paper ausführlich beschrieben: "ZeuS: A Persistent Criminal Enterprise" (PDF). Ein spezielles Zeus/ZBOT-Botnet hatte kürzlich als "Kneber-Botnet" für einen (teilweise unerwünschten) Medien-Hype gesorgt. Aktuell verbreitet sich der Zbot-Schädling über kompromittierte Adserver, wie Fraser Howard von Sophos berichtet.
Secunia hat die Ergebnisse des Secunia Personal Software Inspector (PSI), der Windows-PC nach ungepatchter Software durchsucht, zusammengefasst: "Security Exposure of Software Portfolios" (PDF). Ein typischer Privat-Nutzer muss demnach im Jahr durchschnittlich 75 Patches von 22 verschiedenen Herstellern installieren, um sein System auf dem aktuelle Stand zu halten. Im Durchschnitt muss also alle 4,8 Tage ein Patch installiert werden, und das mit verschiedenen Update-Mechanismen oder sogar ganz ohne Unterstützung. Um das zu ändern, hat Secunia die Entwicklung eines Industriestandards zum "Automatic Updating" angeregt.
Avira hat die 'File/URL Extension statistics for malware URLs', die 'Most abused TLDs' und die 'Most Phished Brands Statistics' für den Februar veröffentlicht.
Chester Wisniewski und Michael Argast von Sophos haben sich in einer ersten Folge einer geplanten Reihe von Podcasts rund um die neuen Sicherheitsfunktionen von Windows 7 mit der Sicherheit des Internet Explorers befasst.
Gefährliche Schwachstellen vom 05.03.2010
- Autonomy Keyview SDK (vorher Verity Keyview SDK):
Pufferüberlauf beim Verarbeiten präparierter OLE-Dateien durch kvolefio.dll erlaubt Ausführung beliebigen Codes - CSS Web Installer ActiveX Control:
Mehrere Pufferüberlauf-Schwachstellen erlauben Ausführung beliebigen Codes
- IBM Lotus Notes:
Pufferüberlauf beim Verarbeiten präparierter OLE-Dateien durch kvolefio.dll erlaubt Ausführung beliebigen Codes - J. River Media Jukebox:
Pufferüberlauf beim Verarbeiten präparierter MP3-Dateien erlaubt Ausführung beliebigen Codes - Symantec-Produkte:
Pufferüberlauf beim Verarbeiten präparierter OLE-Dateien durch kvolefio.dll erlaubt Ausführung beliebigen Codes
Carsten Eilers