Es gibt Neuigkeiten zum RPC-Wurm, die McAfee Avert Labs haben ihre '2009 Threat Predictions' veröffentlicht, Microsofts Authenticode-Schutz kann über MD5-Hash-Kollisionen ausgehebelt werden, und es gibt weitere Informationen über die Gefahren von persistenten Cookies und DNS-Rebinding.

Die tägliche Übersicht zum RPC-Wurm...

Zuerst die täglichen News zum RPC-Wurm: Aktuell gibt es eine neue Version des 'F-Downadup Removal Tool', auf das im Blog von F-Secure hingewiesen wird, sowie eine neue Übersichtskarte über die Verbreitung des Wurm, diesmal erstellt von Trend Micro. Inzwischen sind die USA am stärksten betroffen, während auf der älteren Karte von Sophos noch China auf Platz 1 lag.

McAfees Vorhersagen für 2009

Die McAfee Avert Labs haben ihre Vorhersagen für 2009 veröffentlicht, die '2009 Threat Predictions' (PDF). McAfee erwartet u.a. zunehmende Angriffe auf Consumer-Geräte wie USB-Sticks und Flash-Speicher für z.B. Digitalkameras und elektronische Bilderrahmen. Bisher waren die darüber verbreitete Schädlinge immer "Unfälle", die Schadsoftware wurde unwissentlich während des Produktionsprozesses auf die Speicher geschrieben. Eine gezielte Infektion dürfte nicht so einfach sein.

MD5-Hash-Kollisionen und Microsofts Authenticode

Didier Stevens ist es gelungen, durch Ausnutzung von MD5-Kollisionen zwei Programme zu erstellen, die zwar von Microsofts Code-Signatur-Mechanismus Authenticode die gleiche Signatur erhalten, aber unterschiedliche Funktionen erfüllen.
Eigentlich sollten die Signaturen unter unterschiedlichen Programmen verschieden sein, so das eine kopierte Signatur ungültig ist und beim Start des Programms eine Warnung auslöst. Durch den Angriff ist es möglich, ein harmloses Programm signieren zu lassen und die Signatur unter ein bösartiges Programm zu kopieren, ohne das sie ungültig wird. Da Microsofts SignTool für Authenticode-Signaturen per Default die sichere Hashfunktion SHA-1 verwendet, ist die praktische Auswirkung des Angriffs relativ gering: Für einen erfolgreichen Angriff müsste eine von Windows als vertrauenswürdig eingestufte Instanz für das signieren des gutartigen Programms die Hashfunktion MD5 verwenden, was ziemlich unwahrscheinlich ist.

Die Gefahren von persistenten Cookies und DNS-Rebinding, Nachtrag

Zum gestern gemeldeten Eintrag im Blog von ha.ckers.org über die möglichen Gefahren von persistenten Cookies und DNS-Rebinding gibt es eine Ergänzung mit weiteren Erläuterungen und einem Beispiel.

Gefährliche Schwachstellen vom 20.01.2009

• GIT:
  Mehrere Schwachstellen in gitweb erlauben Einschleusen beliebiger Shellbefehle
• Streber:
  Mehrere nicht näher beschriebene Schwachstellen behoben ('Several critical fixes')
• Oracle-Produkte:
  Mehrere Schwachstellen erlauben u.a. die Ausführung beliebigen Codes und das Ausspähen sensitiver Informationen (vom 14.01.2009, aktualisiert)

Carsten Eilers