[datensicherheit.de, 25.07.2022] Am 22. Juli 2022 wurden mehrere Meldungen veröffentlicht, wonach eine sogenannte Zero-Day-Schwachstelle in „Google Chrome“ (und möglicherweise auch „Edge“ und „Safari“), ausgenutzt werden kann – und konkret auch wurde, um Journalisten im Nahen Osten anzugreifen. Das Sicherheitsunternehmen Avast habe diese Schwachstelle mit „Candiru“ in Verbindung gebracht. „Candiru“ habe in der Vergangenheit bereits zuvor unbekannte Schwachstellen ausgenutzt, um eine „Windows“-Malware namens „DevilsTongue“ zu installieren.

Schwachstelle über verschlüsselten Kanal gezielt an Rechner des Opfers übertragen

Mithilfe einer „Watering Hole“-Technik werde ein Profil des Browsers des Opfers erstellt, welches unter anderem Details wie Sprache, Zeitzone, Bildschirminformationen, Gerätetyp, Browser-Plugins, Referrer und Gerätespeicher enthalte.
Avast habe festgestellt, dass diese Informationen gesammelt worden seien, „um sicherzustellen, dass der ,Exploit‘ nur an die beabsichtigten Ziele übermittelt wird“.
Sollten die gesammelten Daten von den Hackern als wertvoll erachtet werden, werde der „Zero-Day Exploit“ über einen verschlüsselten Kanal an den Rechner des Opfers übertragen.

Entdeckte Schwachstellen definitiv ernstzunehmen

James Sebree, „Senior Staff Research Engineer“ bei Tenable, geht in seinem aktuellen Kommentar auf diese neuen Schwachstellen ein:
„Die hier entdeckten Schwachstellen sind definitiv ernstzunehmen, vor allem, weil sie so weitreichend sind, was die Anzahl der betroffenen Produkte angeht.“ Betroffen seien die meisten modernen Desktop-Browser, mobile Browser und alle anderen Produkte, „die anfällige WebRTC-Komponenten verwenden“.
Sebree warnt: „Bei erfolgreicher Ausnutzung könnte ein Angreifer seinen eigenen Schadcode auf dem Computer eines bestimmten Opfers ausführen und Malware installieren, das Opfer ausspionieren, Informationen stehlen oder eine beliebige andere kriminelle Aktion ausführen.“

Angriffe auf Basis dieser Schwachstelle offensichtlich sehr gezielt

Es sei jedoch „unwahrscheinlich, dass wir allgemeine oder öffentliche ,Exploits‘ für diese Schwachstelle sehen werden“.
Bei der Hauptschwachstelle „CVE-2022-2294“ handele es sich um einen „Heap Overflow“, welcher aufgrund der Sicherheitsfunktionen der meisten modernen Betriebssysteme in der Regel nur schwer ausgenutzt werden könne.
Alle Angriffe, welche diese Schwachstelle ausnutzen, seien offensichtlich sehr gezielt. Sebrees Fazit: „Es ist zwar unwahrscheinlich, dass es zu allgemeinen Angriffen kommt, die diese Schwachstelle ausnutzen, aber die Wahrscheinlichkeit ist nicht gleich null, und Unternehmen müssen entsprechende Patches bereitstellen.“

Weitere Informationen zum Thema:

ars TECHNICA, Dan Goodin, 21.07.2022
CANDIRU — 0-day used to infect Chrome users could pose threat to Edge and Safari users, too / After lying low, exploit seller Candiru rears its ugly head once more

DECODED avast.io, Jan Vojtěšek, 21.07.2022
The Return of Candiru: Zero-days in the Middle East

[datensicherheit.de, 21.06.2021] Am vergangenen Donnerstag veröffentlichte Google einen Blogpost, in dem der Tech-Riese auf eine kritische Lücke in seinem Chrome-Browser hinweist.  Darüber hinaus bestätigt Google, dass die Sicherheitslücke von Hackern bereits aktiv ausgenutzt wird.

Für Nutzer des Browsers bedeutet dies ein erhebliches Risiko, da diese Lücke dazu ausgenutzt werden kann, sein System – und danach unter Umständen das Netzwerk, in dem er sich befindet – zu kompromittieren. Alle Chrome-User sollten deshalb so schnell wie möglich überprüfen, welche Version des Browsers auf ihren Geräten installiert ist. Sollte diese nicht 91.0.4472.114 (oder höher) sein, besteht dringender Handlungsbedarf und die Anwendung sollte schnellstmöglich aktualisiert werden.

Überblick über IT-Strukturen notwendig

Für Unternehmen, die Google Chrome nutzen, gilt das gleiche: Sie müssen einen Überblick darüber haben, welche Versionen ihre Browser (und andere Anwendungen) haben, um sicher zu bleiben. Organisationen stellen sich bei solchen Vorfällen Fragen wie „Sind wir betroffen?“ und „Müssen wir uns um diese Sicherheitslücke kümmern?“ und um sie so schnell wie möglich zu beantworten bedarf es eines tiefen Einblicks in ihre Umgebung. Dazu zählt ein zentrales Repository, in dem aktuelle Informationen über die gesamte IT-Umgebung hinterlegt sind. Hier kommt es darauf an, nicht Tage oder gar Wochen warten zu müssen, bis die Software-Version jeder installierten Anwendung bekannt ist. Idealerweise dauert es nur Augenblicke bis diese kritischen Informationen vorliegen.

Ist dies bekannt, geht es im nächsten Schritt darum, notwendige Software-Updates an alle Endpunkte zu verteilen; und das, ohne den Netzwerkverkehr zu stark zu belasten – unabhängig ihres Standorts oder der Qualität des Internetanschlusses.

Stefan Molls,  RVP, Risk and Security bei Tanium

„Für Unternehmen kann die aktuelle Sicherheitslücke ein guter Zeitpunkt dafür sein, eigene Benchmarks in Bezug auf ihre Update-Praktiken aufzustellen“, gibt  Stefan Molls,  RVP, Risk and Security bei Tanium, zu bedenken. „Messen Sie doch mal, wie schnell Sie Endpunkte mit Google Chrome identifizieren können und wie schnell Sie diese Schwachstelle beheben können. Dazu sollten Sie sich auch fragen, wie zuversichtlich Sie sind, ob die Daten auch aktuell und vollständig sind.“

Angreifer sind immer auf der Suche nach Möglichkeiten, ein Zielnetzwerk zu kompromittieren. Dazu gehören etwa Phishing-E-Mails, verwundbare Server mit Internetzugang oder, wie im aktuellen Fall, ungepatchte Anwendungen. Mit der richtigen Strategie können Organisationen diesen Gefahren begegnen und die Sicherheit ihrer IT-Umgebungen gewährleisten.

[datensicherheit.de, 01.08.2013] Trend Micro warnt Anwender der beliebten Browser „Google Chrome“ und „Mozilla Firefox“ vor neuen bösartigen Erweiterungen. Diese werden aktuell vor allem über Facebook, Google+ und Twitter verbreitet. Die Köder tarnen sich dabei als Video-Player-Update. Das Besondere an dieser Tarnung ist die Tatsache, dass das angebliche Update eine gültige digitale Signatur verwendet und damit erfolgreich vorspiegelt, von dem fälschlicherweise genannten Herausgeber zu stammen und nicht verändert worden zu sein.

Fallen die Anwender auf den Trick mit dem vermeintlich legitimen Update herein, laden sie einen Schädling auf ihre Rechner, der die bösartigen Browser-Erweiterungen installiert und sich anschließend mit einer bösartigen Webadresse im Internet verbindet. Von dort lädt die Schadsoftware eine Konfigurationsdatei herunter, mit der die Cyberkriminellen hinter dem Schädling die Konten der Opfer auf sozialen Medien kapern und dort ohne Zutun der Anwender folgende Aktionen ausführen können:

• Seiten mit „Gefällt mir“ markieren
• Einträge mit anderen teilen
• einer Gruppe beitreten
• Freunde in eine Gruppe einladen
• mit Freunden chatten
• Einträge kommentieren und
• den Status aktualisieren

Wie Anwender die Infektionskette unterbrechen können

Die schädlichen Plugins geben sich für den Google-Browser als „Chrome Service Pack 5.0.0“ oder „F-Secure Security Pack 6.1.0“ aus. Im Fall von „Mozilla Firefox“ nennen sich die bösartigen Erweiterungen „Mozilla Service Pack 5.0“ oder „F-Secure Security Pack 6.1“.

Anwender schützen sich am besten vor der beschriebenen Bedrohung mittels einer Sicherheitssoftware, mit der die Reputation von Webadressen geprüft und bewertet wird. Werden die Webadressen, mit denen die bösartigen Browser-Erweiterungen sich im Internet zu verbinden versuchen, aufgrund dieser Bewertung blockiert, wird die Infektionskette effektiv unterbrochen und die Cyberkriminellen erlangen keine Kontrolle über die Social-Media-Konten der so geschützten Anwender.

Weitere Informationen zume Thema:

blog.trendmicro.de
Malware kapert Social Media-Konten über Browser Plugins