Ungepatchte LNK-Lücke in Windows wird ausgenutzt

Die am letzten Wochenende von Microsoft bestätigte LNK-Schwachstelle in Windows wird zunehmend ausgenutzt. Mindestens drei Schädlinge machen davon Gebrauch. Sie sind teilweise auf massenhafte Verbreitung optimiert. Die Sicherheitsexperten von Eset haben Win32/TrojanDownloader.Chymine.A entdeckt, der einen Keylogger nachlädt, um Passwörter und andere sensible Daten des Opfers auszuspähen. Auch der bereits bekannte Wurm Win32/Autorun.VB.RP macht inzwischen von dieser noch ungepatchten Sicherheitslücke Gebrauch. Er produziert sogar eigene LNK-Dateien, um sich schneller zu verbreiten.

Wie umfangreiche die Probleme sind, die aus dieser Sicherheitslücke resultieren, wird erst nach und nach bekannt. Nicht nur alle Windows-Versionen ab XP sind betroffen. Es lassen sich auch präparierte Office-Dokumente anlegen, in denen Verknüpfungen enthalten sind, die beim Aufruf Schadcode ausführen. Neben den LNK-Dateien sind laut Microsofts aktualisiertem Security Advisory auch PIF-Dateien betroffen.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnt inzwischen ebenfalls vor der Sicherheitslücke. Es wird empfohlen, das von Microsoft zur Verfügung gestellte FixIt-Tool auszuführen. Zwar beseitigt es das Problem, anschließend besitzen allerdings alle Verknüpfungen das gleiche Symbol.

Bei LNK-Dateien handelt es sich um Verknüpfungen auf einem Windows-System. Wegen dieser besagten Schwachstelle lassen sich Windows-Systeme bereits beim Öffnen eines USB-Sticks unter bestimmten Umständen übernehmen. Grundsätzlich lässt sich die angesprochene Lücke auch über Netzwerkfreigaben oder WebDAV ausnutzen.

Technisch gesehen geht es dabei um eine unzureichende Überprüfung eines Parameters. Die Problematik tritt dann in Erscheinung, wenn die Windows Shell versucht, das Icon einer Verknüpfungsdatei darzustellen.