Windows: PDF & Java machen 66% aller Angriffe aus

In einer Langzeit-Untersuchung haben die Magdeburger Sicherheitsforscher von AV-Test festgestellt, dass die mit Abstand größten Windows-Malware-Schleudern auf das Konto von Adobe (Flash, PDF) sowie der Programmiersprache Java gehen. mehr... Sicherheit, Malware, Virus Bildquelle: White Web Services Sicherheit, Malware, Virus Sicherheit, Malware, Virus White Web Services

Diese Nachricht vollständig anzeigen.

Jetzt einen Kommentar schreiben
 
ja, hab ich grade im android kommentarbereich geschrieben. java = malware. und wer pdf dateien noch mit acrobat öffnet, wo der quellcode kürzlich gestohlen wurde, am besten noch mit aktiviertem javascript, ist selber schuld. edit: huch, der artikel bezieht sich auf windows. naja, da ist es genauso. für windows hab ich java nicht installiert, ich bin ja nicht verrückt.
 
@stereodolby: Also ich mach das immer, allerdings stammen diese PDFs dann direkt von irgendwelchen Herstellerseiten oder Originaldatenträgern (Manuals), und nicht aus E-Mails, die mir die total in mich verliebte 19-jährige Irina aus Wladiwostok geschickt hat.
 
@DON666: Absolut. Außerdem sollte man eh (Empfehlung auch vom BSI) Javascript im Acrobat über die Einstellungen deaktivieren... zumindest bei unbeholfenen Leien...
 
@gknapp: Wohl wahr. Das wird ja auch von geschätzten 99,99% der normalen PDFs absolut nicht benötigt.
 
@DON666: Also meine VM durfte letztens mit dem Virus "Anna" aus Russland bekanntschaft machen :D
 
@stereodolby: Dir ist schon klar das Android auf Java basiert? Ohne Java = kein Android.
 
@Surtalnar: Android basiert ungefähr genauso stark auf Java, wie Windows oder Linux, nämlich eigentlich gar nicht. Android verwendet einen Linux-Kernel, der in C geschieben ist. Anwendungen für Android werden zwar in der Regel in Java geschrieben, man könnte aber auch C++ -Code schreiben. Man kann aber auf jeden Fall nicht sagen, dass es auf Java basiert.
 
@trixn86: Die ganze UI ist auf Java aufgebaut.
 
@Surtalnar: Also das UI verhält sich zu Android, wie die Sitzbezüge zu gesamten Auto. Man kann ja dann wohl nicht sagen, dass das Auto auf Leder basiert. Mal abgesehen davon stimmt auch das nicht, ein UI lässt sich in Android auch mit reinem XML realisieren, es ist sogar die standardmäßig vorgesehene Variante für UI-Development in Android.. Der Kern des BS besteht nicht aus Java-Code. Mag sein, dass ein großer Teil der Anwendungen aus Java-Code bestehen, ein Muss ist das aber nicht. Da läuft genauso eine VM, wie auch in Windows oder Linux, und die "basieren" auch nicht auf Java. Ich will mich werder positiv noch neagtiv zu Java und dessen Vor-/Nachteile äußern, nur die Aussage "Ohne Java = kein Android" stimmt halt nicht, weder für das Bs selbst, noh für die UI...
 
Was genau hat das im letzten Satz plötzlich mit in den Topf geworfene JavaScript mit Java zu tun, das in dem Ranking Platz 1 belegte...?
 
@FenFire: über javascript werden auf einer html seite drive-by-downloads auf dem windows rechner installiert. dabei können durchaus auch seriöse, bekannte seiten infiziert sein, denn oftmals wird der injizierte malwarescript-bereich in der html seite nicht sofort erkannt. ich empfehl firefox mit dem addon noscript.
 
@FenFire: Die Frage habe ich mir beim lesen auch gestellt.
 
@FenFire: Irgendein "Experte", der meint Java = Javascript. Java wird im Internet fast gar nicht verwendet.
 
So richtig Ahnung von der Materie haben die Typen aber auch nicht wirklich... ASCII ist kein Fileformat, das ist ein Zeichenformat. Wie ein ASCII Angriff funktionieren soll hätt ich echt gern gewußt...
 
@Tintifax: Musst du nur auf Youtube gehen^^
 
@Tintifax: Google "ASCII Exploit". Aber btw. "Java" ist auch keine Dateiformat. Sie haben einfach nur ne Auflistung gemacht. Das dort viele Dateitypen drin sind ist halt so :)
 
@MysticEmpires: "ascii exploit (though calling it an exploit is a misnomer)". hab ich gefunden - darauf wollt ich hinaus.
 
@Tintifax: Aber java ist ein Fileformat, oder wie? Und wer sagt, dass das eine Liste mit Fileformaten ist?!
 
@Skidrow: Nein, passt schon...
 
Tja, solange es Branchensoftware gibt, die eine uralte JAVA6RE im System benötigen, und nach einem Systemupdate auf die aktuelle JAVA-RE (zur Zeit 7U45) das Drecksprogramm nicht mehr geht, solange wird sich dieser Zustand nicht bessern. Kluge Programmierer bauen in ihre Fach- oder Branchensoftware eine Embedded-JAVA mit ein, und dem Programm ist es egal, welche JAVA-RE systemseitig installiert ist. Sind aber leider Ausnahmen. Über die Update-Faulheit oder -Ignoranz des durchschnittlichen Windows-Users jetzt mal gar nicht zu reden. Wer noch mit dem Flashplayer 9.x unterwegs ist, dem helfen oft auch aktueller Virenschutz und eine Firewall nicht weiter. Hier könnte Microsoft was tun (solche potentiellen Software-Übeltäter mit ins WU aufnehmen), aber da kommt leider auch fast nichts (unter Win 8/8.1-RT kommen Flashplayer-Updates zumindest direkt von Microsoft mit, aber leider nicht unter klassischem x86).
 
@departure: Weil das einbetten einer JRE das Problem ja auch so gewaltig lösen würde. Das es das Problem nur verschiebt ist dir nicht ganz klar oder?
 
@Fonce: Nunja, die Fach- oder Branchensoftware browst ja schließlich nicht vogelwild im Internet, ein schädlicher Drive-By-Download über eine Sicherheitslücke in JAVARE wäre damit ja schonmal ausgeschlossen.
 
@departure: Sag so etwas nicht unbedingt, ist vllt. nicht gerade das was manche unter Fachsoftware verstehen, aber z.B. muss man als FFW - Kommandant (oder ähnliches) seine Einsätze melden (wie viel Mann waren vor Ort etc.) das erfolgt aktuell, oder zumindest noch vor 1-2 Monaten über ein Programm mit einer dermaßen alten JRE, das es nicht mehr feierlich ist. Und die meisten Feuerwehren (vor allem bei kleineren) macht das der Verantwortliche zu Hause und die wissen dann leider nicht, dass das "gefährlich" ist.
 
Wenn ich mir die Grafik anschaue, dann könnte man auch zu dem Schluss kommen das Microsoft Software das größte Einfallstor unter Windows ist :D
 
@Fonce: ich kann nur empfehlen, nicht mit windows im internet zu surfen und ein alternatives betriebssystem dafür zu benutzen, z.b. linux mint, was sehr einsteigerfreundlich ist. mit windows kann man ja weiter spielen, fotos verwalten und ähnliches - man sollte nur, nach möglichkeit, nicht mit windows surfen.
 
@stereodolby: Bin selber Linux Nutzer...(Arch Linux)
 
Ist eigentlich ja schon lange bekannt. Wichtiger als ein Viren-Scanner ist nach wie vor erstens Vorsicht und zweitens wichtige Programm up-to-date zu halten (Java, Flash etc.). Bei letzterem hilft beispielsweise Secunia Psi, das einen benachrichtigt, wenn Software nicht auf dem aktuellsten Stand ist. Des Weiteren sollte man im Firefox NoScript und im Chrome ScriptSafe nutzen, damit JavaScript auf neuen Seiten erstmal geblacklisted ist.
Unter Windows ist man nie vollends sicher, aber mit diesem Maßnahmen ist man jedenfalls besser beraten als mit irgendwelchen teuren Antiviren- oder Firewallprogrammen.
 
Schmeißen hier die Sicherheits"experten" wirklich Java und JavaScript in einen Topf?. ausserdem sagt das wenig über die aktuelle Bedrohungslage aus.
Zum einen ist die Zahl der Exploits was ganz anderes als die zahl der Angriffe.
Zum anderen: Nur weil eine Software vor 10-5 Jahren oft angegriffen wurde heißt das nicht, dass es heute noch so ist. meines wissens ist das zB bei Flash der Fall.
 
@DRMfan^^: Ja, steht da in der Tat wortwörtlich so drin. (mal abgesehen davon, dass ich das letzte mal Java unter XP installierte, "Denn das Surfen ohne Java..." ???) Da kann ich also auch genau so gut die Meldungen der Bitkom oder Warnungen des BSI lesen...
 
"Denn das Surfen ohne Java bzw. JavaScript ist fast nicht möglich. Nahezu jede Seite im Internet nutzt irgendwie Java oder JavaScript ..." Was ist denn das bitte für eine Aussage? Java wird im Internet so gut wie gar nicht verwendet.
 
@Lofi007: Twitter? GMail? Diverse Chats? Applets gibts auch immer mal wieder. Amazon... Gibt einige seiten die mit Java/JSP/Servlets arbeiten.
 
@Minty_Insurrect: Twitter, GMail, Amazon, etc ... das ist Java am Server. Das hat nichts mit dem Thema zu tun. Die Ausnahme sind Applets und Webstart Anwendungen. Und die muss man heutzutage suchen, die gibt's so gut wie gar nicht. Und wenn, dann sollte man die Sicherheit so konfigurieren, dass nur welche mit gültigem Zertifikat gestartet werden. Die Leute jammern und haben keine Ahnung ...
 
@Lofi007: In dem Satz ging es aber darum das nahezu jede Seite irgendwie Java oder Javascript nutzt. Das tun genannte Seiten, egal ob es nur Serverseitig ist (ging ja um "irgendwie", nicht "auf User-Seite"). Auch unter den Servern mit Sicherheitslücken leiden die User.
Kommentar abgeben Netiquette beachten!

Video-Empfehlungen