Update nächste Woche

PDF-Angriffe werden immer hinterhältiger

Eine noch nicht behobene Sicherheitslücke in Adobe Reader wird inzwischen auf breiter Front für Angriffe genutzt. Zum Teil werden recht ausgefeilte Methoden eingesetzt, um eine Entdeckung des Angriffs zu verhindern.

Seit Mitte Dezember ist eine Schwachstelle in Adobe Reader bekannt, die das Einschleusen und Ausführen von beliebigem Code ermöglicht. Online-Kriminelle bedienen sich längst dieser neuen Möglichkeit und ihre Angriffe werden immer raffinierter. Eine kürzlich abgefangene, speziell präparierte PDF-Datei demonstriert, wie viel Mühe sich die Angreifer machen, um ihre Attacken zu verbergen.

Bojan Zdrnja berichtet im Blog des Internet Storm Center über die Ergebnisse seiner Analyse einer schädlichen PDF-Datei, die eine Sicherheitslücke in der aktuellen Version des Adobe Reader ausnutzt. In die PDF-Datei eingebettet sind zwei EXE-Dateien, die mit Hilfe des enthaltenen Exploit-Codes gestartet werden. Eine soll eine Internet-Verbindung zu einem PoisonIvy-Client (ein Fernwartungsprogramm) herstellen, die andere öffnet eine harmlose PDF-Datei im Adobe Reader.

Da der Adobe Reader beim Öffnen der ursprünglichen PDF-Datei abstürzt, sobald der Exploit-Code ausgeführt wurde, kann durch das Öffnen einer zweiten, harmlosen PDF-Datei beim Anwender der Eindruck entstehen, alles sei in bester Ordnung. Tatsächlich ist sein Rechner jedoch mit einem Trojanischen Pferd verseucht. Derartige Angriffe werden vor allem zielgerichtet auf einzelne Personen eingesetzt, weniger in breit gestreuten Attacken auf normale Web-Nutzer.