Malware verbreitet sich über Buffer Overflows und Webseiten So kommen Viren, Trojaner und Würmer ins Netzwerk

Attachments von E-Mails, deren Absender man nicht kennt, darf man nicht öffnen. Das weiß mittlerweile fast jeder PC-Laie. Aber das direkte Ausführen einer Datei mit Schadcode ist nur eine von mehreren Infektionsmöglichkeiten, und noch dazu die plumpeste. Letztlich muss ein Virenautor erreichen, dass sein illegitimer Code zur Ausführung gelangt, und dafür gibt es elegantere Tricks. Um den eigenen Schutz zu verbessern, muss man die Verbreitungswege kennen.

Die geläufigste Art und Weise, ein Programm illegitim zur Ausführung zu bringen, ist ein Buffer-Overflow-Exploit. Kaum ein Programm kommt ohne Eingaben aus; auf Basis dieser Eingaben wird eine Ausgabe erzeugt. Eine solche Eingabe kann ein Geburtsdatum sein (das Programm errechnet dann die Zahl der Tage, die seitdem verstrichen sind) oder aber ein BMP-Bild (das Programm zeigt dieses Bild dann auf dem Bildschirm an).

Was aber, wenn fehlerhafte Daten übertragen werden, also etwa nicht 14.06.1962, sondern a671.NM$a89970761908Cnbva als Geburtsdatum? Wenn das Programm nicht prüft, ob die Eingabe im richtigen Format vorliegt (und zudem weitere Schlampereien gegeben sind), dann wird die Eingabe in den Puffer geschrieben.

Ist die Eingabe zu lang, dann wird in bestimmten, wichtigen Programmiersprachen einfach der angrenzende Bereich mitüberschrieben – in dem sich vielleicht Software-Routinen, Rücksprungadressen u.ä. befanden. So kann eine Routine eingeschleust werden, die zur Ausführung gelangt und damit das Schadprogramm eindringen lässt.

Auch wenn die Einzelheiten kompliziert sind, reicht es zu wissen, dass sehr viele Programme theoretisch von Buffer-Overflow-Exploits bedroht sind. Wird eine simpel auszunutzende Lücke erkannt spricht man von einer Vulnerability, die schnellstens per Software-Update zu schließen ist. Solange dies nicht erfolgt, können präparierte Eingaben eine Vireninfektion auslösen. Zahlreiche Programme – praktisch die ganze Microsoft-Office-Suite, aber auch Mediaplayer, Virenscanner oder andere Applikationen – wiesen oder weisen solche Vulnerabilties auf.

Seite 2: Infektionen durch Drive-By-Angriffe

(ID:2005451)