News 08.06.2009, 10:15 Uhr

«Schmuddelangriff» per PDF

Eine Sicherheitslücke im Adobe Acrobat Reader ist das Einfallstor für die Kriminellen mit Hang zum Rotlichtbezirk. Sie kombinieren «Schmuddelbegriffe», um Opfer zu locken, die nach Erwachseneninhalten stöbern.
Cyber-Kriminelle haben mehrere Hundert Domains mit anrüchigen Namen verstreut, die über eine Sicherheitslücke im Adobe Acrobat Reader möglichst viele Rechner mit Schad-Software infizieren sollen. Die Webseiten der Domains enthalten Inlineframes, die auf ein schädliches PDF-Dokument eines chinesischen Malware-Verbreitungsservers verweisen. Sie werden automatisch geladen, wenn der Besucher einen in der Standardkonfiguration verbreiteten Browser mit Acrobat-Plug-In verwendet. So, wie andere aktuelle Schädlinge, die Schwachstellen im PDF-Format ausnutzen, versteckt das Dokument seine schädlichen Funktionen durch eine Kompressionsfunktion.
Die Betreiber der schädlichen Schmuddelseiten nutzen Methoden zur Suchmaschinenoptimierung, um eine bessere Platzierung in der Rangfolge von Suchmaschinen zu erhalten.
Artikel drucken
Sandra Adlesgruber
Kommentare
Avatar
BlackIceDefender
08.06.2009
Die Meldung konnte ich direkt nicht anderswo verifizieren. die zur zeit laufenden advisories hier: http://www.us-cert.gov/current/ http://74.125.95.132/search?q=cache:9N5FibKXIwYJ:www.nist.org/nist_plugins/newsfeed/newsfeed.php%3Fshow.3+adobe+security+advisories&cd=9&hl=en&ct=clnk&gl=us http://research.eeye.com/html/alerts/zeroday/20090212.html ausser das thema blackberry und pdf distiller. dies wiederum sind andere produkte als adobe reader. die javascript funktion wuerde ich im adobe reader ausschalten. weiter auch bei optionen: open document: allow documents to hide... ausschalten forms: keep forms data temporarily ... ausschalten identity: alles leer meeting: alles leer preferred media player: Windows built in (NICHT Adobe Flash) <-- da ist eine luecke multimedia trust: radiobutton other documents: alle permissions auf prompt . alle checkboxen darunter (allow....) LEER online services leer security: verify signatures when doc opened : eingeschaltet trust manager: allow opening of non-pdf -- with external applications muss AUS sein. das ganze hat mit der leidigen URI implementation im reader zu tun.
Avatar
oceco
08.06.2009
Verifizierung Ging mir genauso. Habe versucht die PCtipp Meldung zu verifizieren und v.a. eine Sofort-Gegenmassnahme zu finden. In diesem Kontext ist auch meine einleitende Frage zu verstehen, ob die Deaktivierung von JavaScript hilft? Denn nirgendwo fand ich entsprechende Hinweise. /oceco
Avatar
BlackIceDefender
08.06.2009
hab oben einige einstellungstipps angefuegt.
Avatar
oceco
08.06.2009
Auch wenn ich Deine Einstellungstipps noch nicht einzeln ausprobiert hab, find ich Deine Tipps super. Genau sowas hab ich im PCtipp Artikel vermisst. Aber die verbreiten lieber Angst und Schrecken, was zu mehr Page Hits führt und somit mehr Werbeeinnahmen. Um Lösungen von fachkundigen Redakteuren anbieten zu können, fehlen denen das Sachverständnis und auch die finanziellen Mittel. In diese Lücken springen wir hier als Poster: Unbezahlt! Wir liefern hier also den wertvollen Content, welche die überlasteten, unterbezahlten Redakteure nicht mehr erarbeiten können. Die taugen nur noch dafür, Schreckensmeldungen zu verbreiten und als Handlanger der Abzock-Lösungsanbieter zu dienen. Eine Gegenbewegung dazu ist leider nicht erkennbar! Ich könnte die Infrastruktur bieten, nur fehlen mir die Teilnehmer, da ich (noch) nicht die Marktdurchdringung der (verlogenen) Verlage habe.
Avatar
freakinvibe
09.06.2009
"Schleierhaft ist mir, wie man mit einem pdf-Dokument, das sich auf meinem PC versteckt, eine SEO erreichen kann" Das geht anders herum: Die bösen Jungs versuchen, ihre Seiten für Schmuddelbegriffe bei Google in vordere Ränge zu bekommen. Wenn Du dann z.B. nach "gina lisa nackt" suchst, kommen verseuchte Seiten in den Suchergebnissen vor. Wer dann auf eine der Suchresultate klickt, dem wird ein verseuchtes PDF untergejubelt. Der Artikel ist schlecht recherchiert. Es steht auch nicht, ob es eine neue Lücke ist, oder die bekannte (mit 9.1.1 gefixt). Ich tippe eher auf die bekannte, neu ist einfach die Art, User via Suchmaschine zu infizieren.
Bitte loggen sie sich ein, um einen Kommentar zu verfassen.