Malware nutzt Microsoft-Zertifikat - Notfall-Update

Microsoft hat ein Notfall-Update für Windows bereitgestellt, nachdem bekannt wurde, dass eine der von dem Unternehmen genutzten Digitalen Signaturen zur Validierung der Schadsoftware Malware "Flame" verwendet wird. Flame befällt derzeit Systeme im Iran und anderen Ländern im Mittleren Osten. Wie das Mike Reavey, Senior Director beim Microsoft Security Response Center, in einem Blog-Eintrag mitteilte, stellten er und seine Mitarbeiter bei einer Untersuchung der Flame Malware fest, dass einige der von der Schadsoftware verwendeten Komponenten mit Zertifikaten signiert wurden, die sie so aussehen lässt, als käme sie von Microsoft selbst.

Reavey zufolge fand man heraus dass ein älterer Kryptographie-Algorithmus modifiziert werden kann, um den Schadcode so zu signieren, dass er von Microsoft entwickelt worden zu sein scheint. Konkret sei der Terminal Server Licensing Service betroffen, der zur Autorisierung von Remote Desktop-Services in Unternehmen verwendet wurde.

Die Redmonder reagieren nun auf verschiedenen Wegen auf die Ausnutzung des alten Codes durch die Flame Malware. Seit Sonntag wird über Windows Update ein Patch für alle noch unterstützten Windows-Versionen ausgeliefert. Dieser sorgt dafür, dass keine Software mehr ausgeführt werden kann, die eines der unautorisierten Zertifikate trägt. Zusätzlich wurde ein entsprechender Sicherheitshinweis veröffentlicht.

Microsoft hat außerdem dafür gesorgt, dass der Terminal Server Licensing Service keine Zertifikate zur Signierung von Code mehr bereitstellt. Bisher hält der Softwarekonzern sich mit Details zu dem Thema noch stark zurück.

Wie 'Ars Technica' berichtet, scheint Microsoft das Problem zu verharmlosen, denn möglicherweise hätte die Schwachstelle für breit angelegte Angriffe mit kaum absehbaren Folgen ausgenutzt werden können. Das Sicherheitsproblem sei vor allem deshalb gefährleich, weil der gleiche Ansatz auch von anderen Malware-Autoren verwendet werden könnte.

Aktuell sind nach Angaben von Sicherheitsexperten nur wenige hundert Computer im Iran und einigen anderen Ländern mit der Flame Malware infiziert. Das rund 20 Megabyte große Paket, welches über umfangreiche Überwachungsfunktionen verfügt, soll möglicherweise von staatlichen Stellen entwickelt worden sein. Erst in der letzten Woche wurde bekannt, dass die US-Regierung von Barack Obama und seinem Vorgänger George W. Bush den Befehl für den Einsatz des Stuxnet Trojaners gegeben hat, der iranische Atomanlagen lahm legte.

Weitere Informationen: Microsoft Security Knowledge-Base