Eine große Anzahl von ColdFusion-Websites wurden kompromittiert. Im iPhone wurde eine kritische Schwachstelle gefunden, und der RPC-Wurm Conficker/Downadup ist immer noch aktiv. Der Hash-Algorithmus MD6 wurde aus dem SHA-3-Wettbewerb zurückgezogen, die Tarnfunktionen der Fake-Virenscanner wurden untersucht, und es gibt eine Anleitung, wie man aus einer RTF-Datei eine darin versteckte EXE-Datei heraus bekommt. Am 2. Tag des "Month of Twitter Bugs" hat Aviv Raff eine Cross-Site-Scripting-Schwachstelle in HootSuite veröffentlicht, und Apple hat eine Directory-Traversal-Schwachstelle in seinem Online-Speicherdienst iDisk behoben, über die Benutzer auf die Dateien anderer Benutzer zugreifen konnten. Der MessageLabs-Bericht für Juni 2009 steht zum Download bereit, und das Internet Storm Center hat die 15. Folge seines Podcasts veröffentlicht.

ColdFusion-Websites kompromittiert

In Handler's Diary des ISC wird berichtet, das eine große Anzahl von ColdFusion-Websites kompromittiert wurden. Die Angreifer dringen dabei über ältere ColdFusion-Anwendungen ein, die verwundbare Versionen von FCKEditor und CKFinder enthalten. Nach dem Heraufladen einer ASP- oder ColdFusion-Shell werden die Websites für das Verbreiten von Drive-by-Infektionen präpariert.

Kritische Schwachstelle im iPhone

Eine kritische Schwachstelle im iPhone erlaubt das Ausführen beliebigen Codes über eine präparierte SMS, wie von Charlie Miller während seiner Präsentation auf der SyScan-Konferenz in Singapore mitgeteilt wurde. Da Apple noch an der Beseitigung der Schwachstelle arbeitet, wurden keine weiteren Details veröffentlicht. Die gibt es evtl. während eines angekündigten Vortrags auf der Black-Hat-Konferenz.

Was macht eigentlich...

... der RPC-Wurm Conficker/Downadup? Um den ist es ziemlich ruhig geworden, und auch Trend Micro fragt Three Months Later: Where’s DOWNAD?. Die Antwort: Laut Schätzungen der Conficker Working Group sind inzwischen über 5 Millionen Rechner mit eindeutigen IP-Adressen von den drei häufigsten Wurm-Varianten betroffen. Vorsichtige Schätzungen gehen davon aus, das nur 25-75% dieser Rechner tatsächlich infiziert sind, was zu mindestens 1,25 Millionen infizierter Rechner führen würde. Trend Micro hat mit eigenen Systemen in den ersten drei Monaten dieses Jahres 790.000 infizierte Systeme erfasst. Die infizierten Rechner bilden inzwischen ein Botnet - was das genau macht oder machen soll ist bisher nicht bekannt.

Hash-Algorithmus MD6 aus SHA-3-Wettbewerb zurückgezogen

Ronald L. Rivest hat den Hash-Algorithmus MD6 aus dem SHA-3-Wettbewerb zurückgezogen, da der Algorithmus zum Erreichen der notwendigen Performance auf 30 bis 40 Runden statt der vorgesehenen 80 reduziert werde müsste und sich dann die Resistenz gegen differentielle Angriffe nicht mehr beweisen lässt. Bruce Schneier weist in seinem Blog darauf hin, das zum einen auch für die anderen eingereichten Algorithmen keine entsprechenden Beweise vorliegen und zum anderen Beweise der Sicherheit überbewertet werden.

Tarnfunktionen der Fake-Virenscanner

Die McAfee Avert Labs haben die Tarnfunktionen der Fake-Virenscanner untersucht. Die sind nötig, damit die Fake-Virenscanner nicht (zu schnell) von echten Virenscannern enttarnt werden. Getarnt wird der Code z.B. durch eingefügte überflüssige Instruktionen oder API-Aufrufe, die Verwendung angepasster Packer und die Nutzung von XMM-, MMX- und FPU-Anweisungen. Alle Verfahren sind schon länger bekannt, werden von den Entwicklern der Fake-Virenscanner aber immer weiter perfektioniert.

Getting the EXE out of the RTF

Im Handler's Diary des ISC wird beschrieben, wie man unter Unix eine EXE-Datei aus einer RTF-Datei, in die sie zur Tarnung integriert ist, heraus bekommt: Getting the EXE out of the RTF. Was sich unter Windows durch ein simples Copy und Paste des eingebetteten Objekts aus der RTF-Datei in ein Explorer-Fenster erreichen lässt, erfordert unter Unix etwas mehr Aufwand.

Bericht MessageLabs Intelligence: Q2/June 2009 veröffentlicht

Von MessageLabs wurde der Bericht Intelligence: Q2/June 2009 (PDF) veröffentlicht. Demnach steigt der Anteil der von Botnets versandten Spam-Mails am Gesamtaufkommen stark an, von 57,6 Prozent aller Spam-Mails im Mai (PDF) auf 83,2 Prozent im Juni. Wenigstens blieb das Niveau der Phishing-Angriffe gleich.

Gefährliche Schwachstellen vom 02.07.2009

• AudioPLUS:
  Pufferüberlauf beim Verarbeiten präparierter Playlists erlaubt Ausführung beliebigen Codes
• MP3-Nator:
  Pufferüberlauf beim Verarbeiten präparierter Playlists erlaubt Ausführung beliebigen Codes
• PEamp:
  Pufferüberlauf beim Verarbeiten präparierter Playlists erlaubt Ausführung beliebigen Codes

Carsten Eilers