Schlagwort-Archive: Armorize

MySQL.com verbreitet Windows-Malware

Die Seite MySQL.com ist eine der beliebtesten Open-Source-Seiten im Web. Hacker kaperten die Seite und verbreiteten so Schadsoftware.

Über MySQL wurden Nutzer von Windows-PCs infiziert, bevor das Sicherheitsleck auf der Seite geschlossen wurde. MySQL.com hatte schnell auf die Bedrohung reagiert und die Malware von den Servern wieder entfernt. Erst vor wenigen Wochen wurde mit Linux.org ebenfalls ein Open-Source-Repository von Hackern gekapert.

Allerdings liegen derzeit keine Zahlen vor, wie lange die Webseite von den Hackern kompromittiert war oder wie viele Besucher über MySQL.com infiziert wurden. Schätzungen zufolge, wird über 100.000 Mal täglich auf MySQL.com zugegriffen und im Schnitt sind das bis zu 34.000 Unique User.

Die Verbreitungsraten bei solchen Attacken sind in der Regel recht hoch. Derzeit ist aber auch noch unklar, wie groß die Bedrohung für die infizierten Nutzer ist. Der Chef des Sicherheitsanbieters Armorize Wayne Huang erklärt in einem Blog, dass diese Form der Malware vermutlich sehr schwer zu entfernen ist.

„Wir haben noch keine grundlegende Analyse erstellt, was genau diese Malware macht. Wir wissen, dass es einige der Windows .dll (Dynamic Link Libraries) verändert, vermutlich um die Malware dauerhaft zu installieren und sie ständig aktiv zu halten. Man kann es vermutlich wieder entfernen, aber es ist sicherlich kein trivialer Prozess.“

Inzwischen ist das Sicherheitsloch gestopft, doch eine Zeit lang konnten die Hacker die Besucher der Seite auf eine Seite mit einem BlackHole-Exploit umleiten, die den Browser zwingt, Malware auf dem Rechner zu installieren. Wie es von Armorize heißt: Ohne dass der Nutzer etwas davon merkt.“ Denn der Besucher muss nichts klicken oder installieren. Allerdings können derzeit laut Armorize nur vier von 44 Anbietern von Sicherheitssoftware die Malware auch erkennen.

Brian Krebs von dem Blog Krebs on Security berichtete, dass er vor einigen Tagen in einem russischen Forum ein Angebot gesehen habe, das für 3000 Dollar administrativen Zugriff auf MySQL.com versprach. „Ich glaube, dass es sehr wahrscheinlich ist, dass dieser Angriff speziell mit diesen russischen Foren zusammenhängt“, erklärt daher auch Huang.

Weder von den Verantwortlichen von MySQL.com noch von Oracle liegt derzeit ein Kommentar vor.

Den originalen Artikel mit allen Links und einem Video von Armorize in Englisch von Martin Schindler, findet ihr unter MySQL.com verbreitet Windows-Malware von silicon.de.

Freundliche Grüße
das OSS-Haus Team

Bösartige iFrames auf 90.000 Webseiten

Eine Welle automatisierter Angriffe auf Websites injiziert derzeit schädliche iFrames in Webseiten.

Der Schadcode soll auf über 90.000 Webseiten zu finden sein. Bei dem Schadcode handele es sich um eine „iFrame Injection“ – die Seiten enthalten einen iFrame-Tag, der es ermöglicht, Inhalte von einem fremden Server zu laden, melden die Sicherheitsforscher von Armorize. Dies wird beispielsweise auch für das Einbetten von YouTube -Videos oder Scribd-Dokumenten genutzt. In diesem Fall spielt der iFrame aber kein Video ab, sondern startet einen Angriff auf den Client.

Besucht ein Anwender eine solchermaßen infizierte Seite, wird er von JavaScript-Umleitungen auf Seiten geführt, die seinem System Schadcode aufzuzwingen versuchen. Dazu fragen sie bekannte Sicherheitslücken ab. Weist der Rechner des Anwenders keine dieser Schwächen auf oder kann eine installierte Sicherheitslösung sie abwenden, wird kein Schadcode ausgeführt.

Um einen iFrame in fremde Webseiten einzubinden, gibt es mehrere Möglichkeiten. Zum einen können Webseiten verwundbar sein, wenn sie Eingaben nicht prüfen und es Angreifern ermöglichen, ihren Code zu ändern – in dem Fall also, einen iFrame einzufügen. Zum anderen kommt es auch vor, dass Kriminelle FTP-Zugangsdaten aufkaufen oder selbst mit Botnetzen abgreifen. Dann können sie sich regulär auf Webservern einloggen und ihren iFrame-Code in HTML-Dateien einfügen.

Den kompletten Artikel von Florian Kalenda und Micaela Minnameyer, findet ihr unter Bösartige iFrames auf 90.000 Webseiten von silicon.de.

Freundliche Grüße
das OSS-Haus Team