Spoofing: Zero-Day-Lücke in Windows 10/11 über ein Jahr ausgenutzt

Windows-Systeme sind seit über einem Jahr immer wieder über eine Zero-Day-Schwachstelle angegriffen worden, die Microsoft nun endlich patchen konnte. Bei dem Spoofing-Angriff arbeiteten sich die Täter in die verbliebenen Reste des Internet-Explorer-Codes vor.

Seit Dienstag gepatcht

Die Schwachstelle ist jetzt unter der Kennung CVE-2024-38112 registriert worden. Microsoft hat sie am Dienstag im Rahmen des monatlichen Patch-Days beseitigt. Dem lag eine Meldung der Sicherheitsexperten von Checkpoint zugrunde, die im Mai an den Redmonder Konzern geschickt wurde. Die Security-Forscher hatten hier darauf hingewiesen, dass Angriffe über die Sicherheitslücke bereits seit Januar 2023 stattfanden.

Ausgangspunkt des Angriffsvektors war hier eine klassische Spoofing-Aktion, mit der eine ganze Reihe weiterer Tricks in Gang gesetzt werden konnte. Um einen erfolgreichen Angriff zu starten, musste man erst einmal den Nutzer zu einer Interaktion bringen. Dies erfolgte beispielsweise durch die Vortäuschung einer PDF-Datei. Von hier aus ging es los. Das PDF-Icon, das beispielsweise an einer Spam-Mail hängen konnte, stand hier aber nicht für ein Dokument. Tatsächlich hieß die Datei dann nämlich Books_A0UJKO.pdf.url. Ließ sich ein Anwender täuschen und versuchte, das File zu öffnen, wurde ein Link aufgerufen. Normalerweise sollte dies unter Windows 10/11 dazu führen, dass der Edge-Browser übernimmt.

Kette von Tricks

Durch passende Attribute wurde Windows allerdings dazu gebracht, den Link in anderen Anwendungen wie etwa Word zu öffnen, wodurch der dahinterliegende Web-Inhalt mit den Resten des Internet Explorers verarbeitet wurde. Dessen Code wird allerdings nun schon seit einiger Zeit nicht mehr gewartet und Exploits sind durchaus nicht allzu schwer zu finden.

In der Folge konnte dann also schädlicher Code, der in den Web-Content eingebunden war, durch die Internet Explorer-Fragmente ins Windows-System geschleust werden - was mit dem neuen Edge so nicht mehr funktioniert hätte. Wie umfangreich dieser Angriffsvektor genutzt wurde, um Malware auf Windows-Systeme zu schleusen, ist nicht ganz klar. Da die Funktionsweise erst relativ spät analysiert wurde, lässt sich allerdings davon ausgehen, dass es hier eher um Einzelfälle oder kleinere Kampagnen ging, die weitgehend unter dem Radar blieben.


Siehe auch: