Es wurde ein Exploit für die 0-Day-Schwachstelle in Adobe Reader und Acrobat veröffentlicht. Der RPC-Wurm Conficker/Downadup ist weiterhin aktiv. Die McAfee Labs haben einen Schädling entdeckt, der Direct Kernel Object Manipulation (DKOM) verwendet, um sich vor einer Entdeckung zu schützen ohne einen neuen Treiber laden zu müssen. F-Secure beschreibt, wie man vertrauliche PDF-Dokumente vor der Weitergabe nicht zensieren sollte, ein Paper (PDF) von Trend Micro erklärt, wie das KOOBFACE-Botnet sein Geld verdient, und Bruce Schneier verweist auf eine vierteilige Serie über 'Risk and Security in the Telecommunications Industry' (Teil 1, 2, 3 und 4).

Exploit für die 0-Day-Schwachstelle in Adobe Reader und Acrobat

Für das Metasploit Framework wurde ein Exploit für die 0-Day-Schwachstelle in Adobe Reader und Acrobat veröffentlicht, der auf dem 'in the wild' kursierenden Schädling basiert. Im Exploit-Modul ist auch aufgeführt, welche Versionen des Adobe Reader von der Schwachstelle betroffen sind und ob der Exploit damit funktioniert oder nicht. Bisher wurden nur Exploits für die Windows-Version gesichtet, Adobe hat die Schwachstelle aber auch für die Mac- und Unix-Version des Adobe Readers und die Mac-Version von Acrobat bestätigt. Da inzwischen ausreichend Informationen über die Schwachstelle und ihre Ausnutzung bekannt sind, ist demnächst mit weiteren Angriffen zu rechnen.

Conficker/Downadup weiterhin aktiv

Der RPC-Wurm Conficker/Downadup ist weiterhin aktiv. Das belegen Grafiken und Statistiken, die von der Shadowserver Foundation veröffentlicht wurden. Oder, wie es im Wiki der Conficker Working Group formuliert wird: 'Conficker may be forgotten, but it's not gone...'. Brian Krebs hat die Daten anders aufbereitet und zeigt, welche IPSs den höchsten Anteil an Kunden mit infizierten Rechnern haben. Während die meisten infizierten Rechner in China, Indien und Vietnam stehen, haben die ISPs in Russland und der Ukraine die höchste Konzentration an Kunden mit infizierten Rechnern. Das Botnet ist zwar zur Zeit augenscheinlich nicht aktiv, aber vorhanden und einsatzbereit.

Gefährliche Schwachstellen vom 16.12.2009

• Mozilla Firefox:
  Mehrere Schwachstellen erlauben u.a. die Ausführung beliebigen Codes
• Mozilla SeaMonkey:
  Mehrere Schwachstellen erlauben u.a. die Ausführung beliebigen Codes
• Mozilla Thunderbird:
  Mehrere Schwachstellen erlauben DoS-Angriffe und die Ausführung beliebigen Codes
• KDE:
  Schwachstelle in KPDF erlaubt Ausführung beliebigen Codes
• Adobe Reader:
  0-Day-Schwachstelle erlaubt Ausführung beliebigen Codes (vom 15.12.2009, aktualisiert)
  Kritisch, weil: Schwachstelle wird aktiv ausgenutzt
• Adobe Acrobat:
  0-Day-Schwachstelle erlaubt Ausführung beliebigen Codes (vom 15.12.2009, aktualisiert)
  Kritisch, weil: Schwachstelle wird aktiv ausgenutzt

Carsten Eilers