Malware nutzt MIDI-Lücke in Windows

Eine Sicherheitslücke in der Windows Multimedia-Bibliothek, gegen die Microsoft beim ersten Patch Day dieses Jahres ein Update bereit gestellt hat, wird für Angriffe im Web ausgenutzt. Dabei wird mit Hilfe speziell präparierter Web-Seiten Malware in Rechner eingeschleust, auf denen das Sicherheits-Update noch nicht installiert ist.

Im Malware Blog des Antivirusherstellers Trend Micro berichtet Roland Dela Paz über einen Exploit für die MIDI-Sicherheitslücke in Windows, die Microsoft im Security Bulletin MS12-004 behandelt hat. Eine dafür präparierte Web-Seite enthält zwei schädliche Elemente: eine speziell gestaltete MIDI-Datei sowie Javascript-Code, der in die HTML-Seite eingebetteten Shell-Code dekodiert.

Die MIDI-Datei mit dem Exploit-Code für die Windows-Lücke wird über den HTML-Tag EMBED in die Seite eingebunden und nutzt die Schwachstelle in der Systembibliothek winmm.dll aus. Der Javascript-Code dekodiert den Shell-Code, der auf dem anfälligen PC ausgeführt wird. Dieser lädt ein Trojanisches Pferd von einem Server im Internet herunter und startet es. Währenddessen sieht der Benutzer lediglich ein leeres Fenster des Windows Media Player.

Die noch nicht abgeschlossene Analyse des als "TROJ_DLOAD.QYUA" bezeichneten Schädlings hat bislang ergeben, dass dieser eine Rootkit-Komponente (Tarnkappe) installiert und eine weitere Komponente aus dem Internet herunter lädt. Bei dieser handelt es sich um eine Hintertür (Backdoor), die einem Angreifer den Zugriff auf den verseuchten PC ermöglicht.

Da der Exploit-Code zur Ausnutzung der MIDI-Lücke veröffentlicht ist, sind weitere Angriffe ähnlicher Art zu erwarten. Typischerweise werden potenzielle Opfer mit Links in Mails oder Chat-Dialogen auf vorbereitete Web-Seiten gelockt. Wer stets alle Sicherheits-Updates installiert, nicht gleich jeden Link anklickt und eine aktuelle Antivirus-Software installiert hat, bietet Online-Kriminellen im Web eine deutlich reduzierte Angriffsfläche.

Sicherheit & Internet-Newsletter bestellen