Thema: Manipulierte Archive passieren Virenscanner

[SiLæncer]

SecuBox Labs haben entdeckt, dass zahlreiche Virenscanner manipulierte Archive nicht korrekt verarbeiten, sodass ihnen unter Umständen Viren durchschlüpfen könnten. Die Virenscanner ließen sich überlisten, indem die Header der Archive so verändert wurden, dass sie denen von ausführbaren Dateien glichen. Daraufhin setzten die Virenscanner ihre Entpackroutinen nicht mehr auf die Datei an, die üblichen Packprogramme können diese Archive aber anstandslos öffnen.

Auch das Einfügen eines Null-Bytes in den Header -- was üblicherweise das Ende einer Zeichenkette markiert -- hatte in den Tests von SecuBox Labs bei vielen Virenscannern diesen verschleiernden Effekt. Null-Bytes stellen Virenscanner öfter vor Probleme -- siehe auch den Artikel Null Problemo auf heise Security.

Anwender sollten sich nicht ausschließlich auf die Virenfilter ihres Providers verlassen. Wer seinen Rechner vor einem solchen Angriff schützen möchte, sollte auf jeden Fall einen Virenscanner mit Hintergrundwächter einsetzen und die Signaturen häufig aktualisieren. Viele Antivirenhersteller haben diese Lücke inzwischen beseitigt und stellen neue Programmversionen bereit. Diese sollten zügig eingespielt werden.

Siehe dazu auch:

    * Security Advisory von SecuBox Labs


Quelle und Links : http://www.heise.de/security/news/meldung/64737

[SiLæncer]

Archivformate wie .ZIP, .RAR und .CAB weisen selbst Schwachstellen auf. Schadprogramme können einer Erkennung durch Antivirenlösungen entgehen. Die Forscher haben Anbieter von Sicherheitssoftware über ihre Erkenntnisse informiert.

Sicherheitsforscher haben Fehler in weitverbreiteten Dateiformaten, darunter auch ZIP-Archive, gefunden. Sie ermöglichen es zum Beispiel, über Dateianhänge in E-Mails Malware über Dateianhänge in E-Mails einzuschleusen, ohne dass die von einer Antivirensoftware erkannt werden kann.

Laut Mario Vuksan, Präsident von Reversing Labs, wurden acht Schwachstellen im Dateiformat .ZIP gefunden, das von Microsoft Office unterstützt wird, sowie weitere sieben Anfälligkeiten in .7ZIP, .RAR, .CAB und .GZIP. "Die Dateien werden direkt von Google Mail oder Hotmail weitergeleitet, da es sich um vertrauenswürdige Formate handelt", so Vuksan. "Antivirensoftware kann darin enthaltene Malware nicht erkennen. Sobald die Datei geöffnet wird, befindet sich der Schädling auf einem Rechner."

Vuksan erklärte, er habe zusammen mit seinen Forschungspartnern Tomislav Pericin von Reversing Labs sowie AccessData-COO Brian Karney Anbieter von Antivirenlösungen über die Schwachstellen informiert. Sie könnten ihre Produkte nun aktualisieren, um künftige Angriffe zu entdecken. Die drei Forscher wollen ihre Erkenntnisse heute auch auf der Sicherheitskonferenz Black Hat Europe in Barcelona vorstellen.

Darüber hinaus kündigten sie die Veröffentlichung eines Tools namens NyxEngine an. Es suche in Unternehmensnetzwerken nach Dateien mit verdächtigen Dateiattributen, die auf versteckte Malware hinwiesen, so Vuksan.

Nach Angaben des Sicherheitsforschers können die Anfälligkeiten in den Archivformaten auch zur Steganografie benutzt werden, also um Nachrichten oder andere Informationen in scheinbar unverdächtigen Dateien zu verstecken. Normalerweise geschehe dies über Bilder und Fotos.

Quelle : www.zdnet.de