Exploit wurde in "WizardOpium"-Operation genutzt

Zero-Day-Schwachstelle im Windows-Betriebssystem

Kaspersky-Technologien haben eine Zero-Day-Schwachstelle im Windows-Betriebssystem gefunden. Der darauf basierende Exploit ermöglichte es Angreifern, höhere Privilegien auf dem attackierten Gerät zu erlangen und Schutzmechanismen im Google Chrome Browser zu umgehen – wie es in der WizardOpium-Kampagne geschah. Ein Patch wurde bereits veröffentlicht.

Die neue Windows-Schwachstelle wurde von Kaspersky-Forschern aufgrund eines anderen Zero-Day-Exploits gefunden. Bereits im vergangenem November hatten die Exploit-Prevention-Technologien, die in den meisten Produkten des Unternehmens integriert sind, einen Zero-Day-Exploit in Google Chrome gefunden. Dieser Exploit ermöglichte es den Angreifern, beliebigen Code auf dem Computer des Opfers ausführen. Im Rahmen weiterer Untersuchungen dieser Kampagne, die die Experten WizardOpium tauften, wurde nun der Exploit im Windows-Betriebssystem gefunden.

Anzeige

Der entdeckte Windows-Zero-Day-Exploit zur Rechteausweitung (Elevation of Privileges, EoP) mit der CVE-2019-1458 war in einen zuvor entdeckten Google Chrome Exploit integriert. Dadurch konnten höhere Rechte erlangt und die Process Sandbox von Chrome umgangen werden, die zum Schutz des Browsers und des Computers des Nutzers vor Angriffen entwickelt worden war. Eine detailliertere Analyse des EoP-Exploits ergab, dass die missbrauchte Schwachstelle zum win32k.sys Driver gehört. Die Schwachstelle konnte in den aktuellen gepatchten Versionen von Windows 7 sowie in einigen Builds von Windows 10 ausgenutzt werden. Die neuen Versionen von Windows 10 sind nicht betroffen.

„Diese Art von Angriff erfordert enorme Ressourcen“, kommentiert Anton Ivanov, Sicherheitsexperte bei Kaspersky. „Gleichzeitig bringt sie den Angreifern erhebliche Vorteile – daher nutzen sie sie gerne aus. Die Zahl der Zero-Days in freier Wildbahn nimmt weiter zu, und das wird sich wahrscheinlich auch nicht ändern. Unternehmen müssen sich auf die neuesten verfügbaren Bedrohungsinformationen verlassen und über Schutztechnologien verfügen, mit denen unbekannte Bedrohungen wie Zero-Day-Exploits proaktiv entdeckt werden können.“

Kaspersky-Produkte erkennen diesen Exploit als Exploit.Win32.Generic.

Die Schwachstelle wurde an Microsoft gemeldet und am 10. Dezember 2019 behoben.

Kaspersky-Schutzempfehlungen

  • Umgehend Microsoft-Patch für die aktuelle Schwachstelle installieren. Sobald der Patch heruntergeladen wurde, können Bedrohungsakteure die Sicherheitsanfälligkeit nicht mehr missbrauchen.
     
  • Sämtliche Software sollte stets aktuell sein und neueste Updates eingespielt werden. Sicherheitsprodukte mit Funktionen zur Schwachstellenbewertung und Patch-Verwaltung automatisieren diese Prozesse.
     
  • Eine bewährte Sicherheitslösung mit verhaltensbasierten Erkennungsfunktionen zum Schutz vor unbekannten Bedrohungen wie Kaspersky Endpoint Security verwenden.
     
  • Das Sicherheitsteam sollte stets Zugriff auf die neuesten Bedrohungsdaten haben. Kunden von Kaspersky Intelligence Reporting erhalten Berichte über die neuesten Entwicklungen in der Bedrohungslandschaft. Weitere Informationen unter [email protected].
     
  • Sandbox-Technologien wie die kostenfreie Kaspersky Cloud Sandbox nutzen, um verdächtige Objekte zu analysieren.

Weitere Informationen zum aktuellen Windows-Exploit sind hier verfügbar.

www.kaspersky.com/de
 

Anzeige

Weitere Artikel

Newsletter
Newsletter Box

Mit Klick auf den Button "Jetzt Anmelden" stimme ich der Datenschutzerklärung zu.