EMET: Windows-Härtung versagt bei neuestem Angler-Exploit-Kit

Der Software-Konzern Microsoft bietet für Windows-Nutzer, die mehr für ihre Sicherheit tun wollen, als nur einen Virenscanner laufen zu lassen, das Enhanced Mitigation Experience Toolkit (EMET) an. Doch auch dieses bietet keinen absoluten Schutz, wie sich nun zeigt.

Bei EMET handelt es sich um eine Sammlung von Tools, die fremden Code auch dann vom Eindringen in das System abhalten sollen, wenn ein Exploit eine Zero-Day-Sicherheitslücke angreift. Mit der Software kann also eine gesonderte Härtung des Systems vollzogen werden. Doch die neueste Version des Exploit-Kits Angler liefert Methoden mit, mit denen sich die zusätzlichen Schutzmaßnahmen aushebeln lassen, berichten die Security-Forscher von FireEye.

Gleich an drei Stellen setzten die Werkzeuge des neuen Exploit-Kits an, um die von EMET installierten Barrieren zu überwinden. Erste entsprechende Angriffe lassen sich auch schon in freier Wildbahn beobachten. Dies ist vor allem daher gefährlich, da Angler zu den verbreitetsten Exploit-Kits für die Umsetzung von Drive-by-Angriffen gehört. Die Nutzer werden also schlicht beim Besuch manipulierter Webseiten von eingebetteten Skripts attackiert.





Freie Fahrt für TeslaCrypt
Den Sicherheitsforschern von FireEye ist es beispielsweise gelungen, die Ransomware TeslaCrypt mit Unterstützung der neuesten Angler-Variante auf ein ein Windows 7-System zu schleusen, das mit EMET abgesichert war. Dieser Krypto-Trojaner ist aufgrund der Aufgabe seiner Entwickler inzwischen keine Gefahr mehr. Es ist aber davon auszugehen, dass auch diverse andere Malware-Varianten schnell auf Angler zurückgreifen werden.

Gefährdet sind dabei vor allem Unternehmen. Denn hier kommt EMET oft zum Einsatz, damit die jeweils neuesten Patches nicht sofort installiert werden müssen, die Arbeitsplatz-PCs aber trotzdem geschützt sind. Denn in Firmennetzen ist es häufig notwendig, Updates erst einmal auf Herz und Nieren zu prüfen, um nicht Gefahr zu laufen, die Produktivsysteme durch eine fehlerhafte Installation außer Betrieb zu setzen.

Quelle