Eset hat bereits im März bei der Untersuchung einer PDF-Malware zwei Zero-Day-Lücken entdeckt. Die erste Schwachstelle steckt in Adobes PDF-Anwendungen Reader und Acrobat und ermöglicht das Einschleusen und Ausführen von beliebigem Schadcode. Sie wurde mit einer zweiten Anfälligkeit in Windows kombiniert, die eine nicht autorisierte Ausweitung von Nutzerrechten erlaubt. Beide Fehler wurden inzwischen beseitigt.
„Der Nutzen aus der Kombination beider Schwachstellen ist extrem wirkmächtig. Ein Angreifer kann beliebigen Code auf dem Ziel-Computer mit den größtmöglichen Rechten und minimalstem Zutun des Besitzers ausführen“ schreibt Eset-Forscher Anton Cherepanov in einem Blogeintrag .
Betroffen sind Nutzer, die eine aktuelle Version von Acrobat CD oder Reader DC in Kombination mit Windows 7, Server 2008 oder Server 2008 R2 einsetzen. Die PDF-Apps alleine sind aber auch unter Windows 10 oder Windows 8 angreifbar.
Im konkreten Fall erstellten die Angreifer ein PDF-Dokument mit eingebettetem JavaScript-Code, der Eset zufolge „den gesamten Prozess der Sicherheitslückenausnutzung kontrolliert“. Ein Nutzer musste lediglich dazu verleitet werden, die PDF-Datei zu öffnen, was automatisch den JavaScript-Code im Hintergrund ausführte.
Die Schwachstelle in Reader und Acrobat wurde durch ein speziell gestaltetes Bild im JPEG-Format ausgenutzt. Dadurch erhielt der JavaScript-Code Lese- und Schreibrechte. Um Code auch außerhalb der Sandbox von Reader und Acrobat ausführen zu können, kam die Windows-Anfälligkeit zum Einsatz, was dem Code letztlich Kernelrechte verschaffte.
Eset geht davon aus, dass die Lücken bisher noch nicht aktiv ausgenutzt wurden. Die PDF-Malware habe man bereits in einem sehr frühen Entwicklungsstadium auf einer öffentlichen Plattform für Schadsoftware entdeckt. „Nichtsdestoweniger bewiesen die Malware-Entwickler ein hohes Maß technisches Verständnis in Bezug auf das Aufspüren von Sicherheitslücken und das Schreiben von Exploits“, heißt es weiter in dem Blogeintrag.
Einen Patch für Windows 7, Server 2008 und Server 2008 R2 bietet Microsoft seit vergangener Woche im Rahmen des Mai-Patchdays an. Adobe wiederum verteilt seit dieser Woche ein Sicherheitsupdate für Reader und Acrobat, das einen Fix für die Zero-Day-Lücke enthält. Betroffene Nutzer sollten die Aktualisierungen schnellstmöglich installieren.
Tipp: Wie gut kennen Sie die Geschichte der Computer-Viren? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.
Report: State of Digital Transformation EMEA 2019
