Dafür macht sich die Malware einen Windows-Exploit bei der Verarbeitung von Link-Files zunutze: LNK-Dateien, die auf einem Wechseldatenträger oder einem freigegebenen Netzwerkordner gespeichert sind, werden automatisch zur Voransicht ausgeführt, sobald der entsprechende Wechseldatenträger eingelegt oder das entsprechende Verzeichnis geöffnet wird. Die automatische Ausführung nutzt Stuxnet, um über einen Buffer-Overflow das System zu infizieren.
Infektion ohne Klick auf Dateien
Anders als bei früheren USB-basierten Trojanern und Rootkits muss der User also nicht etwa die Dateien auf dem USB-Stick anklicken: Es genügt, wenn er den mit Stuxnet infizierten USB-Stick an sein System anschließt, auf das Arbeitsplatz- und dann das Wechseldatenträger-Icon doppelklickt. Wenn das geschieht, installiert Stuxnet die zwei Treiber mrxnet.sys und mrxnet.cls. Die Treiber schleusen den Malcode zum Auslesen der SCADA-Datenbanken in die Systemprozesse ein und tarnen die Schadprozesse vor der Entdeckung durch Virenscanner. Die Infektion nutzt dabei übrigens nicht die Autorun-Routine für USB-Sticks – das Abschalten der Autorun-Funktion, wie es beispielsweise bei Conficker sinnvoll war, bietet somit keinen Schutz vor Stuxnet.
Stuxnet markiert damit einen neuen State-of-the-Art in der Malware-Entwicklung: Drei Doppelklicks genügen, um Hackern den Zugriff auf eine gut geschützte SCADA-Industriedatenbank zu eröffnen. Das an sich wäre schon beunruhigend. Doch die Nachrichten aus Weißrussland waren noch weitaus bedrohlicher:
- Treiber mit Original-Signaturen: Die beiden in Stuxnet versteckten Treiber waren mit einer Original-Signatur des Hardware-Herstellers Realtec signiert, deren abgelaufener Timestamp durch "Countersigning" reaktiviert worden war. Wie die Hacker an die Signatur gekommen sind, ist noch unklar. Das Verfahren scheint aber reproduzierbar zu sein: Nachdem die fragliche Signatur durch Verisign gesperrt wurde, sind schnell die ersten Stuxnet-Varianten mit einer ebenfalls authentischen JMicron Technology-Signatur aufgetaucht. Eines der zuverlässigsten Windows-Sicherheitsfeatures wurde also erfolgreich ausgehebelt.
- Alle aktuellen Windows-Versionen sind betroffen: Der Windows-Link-Exploit, der Stuxnet zugrunde liegt, betriff alle aktuellen Windows-Versionen: Windows XP, Windows Vista und Windows 7 sowie den Windows 2008 Server. Selbst auf voll gepatchten Windows 7 Clients wurde der Link-Exploit bereits erfolgreich ausgenutzt.
Mitte Juli wurden die von VirusBlokAda publizierten Fakten vom renommierten IT-Security-Blog "Krebs on Security" und in der Folge von vielen weiteren Medien und Online-Plattformen aufgegriffen. Am 16. Juli 2010 nahm schließlich auch Microsoft Stellung und publizierte ein Advisory zum Umgang mit dem neuen Exploit – leider ohne eine echte Lösung zu bieten.
Seite 1 von 2 Nächste Seite>>
