Spiel mir das Lied vom Rootkit

Die kritische Lücke in der Windows-Multimediabibliothek "winmm.dll" wird bereits aktiv zur Verbreitung von Rootkits ausgenutzt, warnen die Antivirenexperten von Trend Micro. Angreifer betten eine speziell präparierte MIDI-Datei in Webseiten ein, die vom Internet-Explorer-Plugin des Windows Media Player geöffnet wird. Statt den Webseitenbesucher mit Hintergrundmusik zu beschallen, nutzt die MIDI-Datei die Sicherheitslücke zum Ausführen von Shellcode aus, der ein Rootkit im System verankert.

Dabei nutzen die Angreifer das sogenannte Heap Spraying, bei dem sie ihren Code mehrfach auf dem Heap einer Anwendung verteilen, um sicherzustellen, dass er ihn auch anspringen kann. Dabei schreiben sie lange Folgen von NOP-Befehlen in den Speicher, an deren Ende der eigentliche Schadcode wartet. Selbst mit einem ungezielten Sprung in den Heap ist es sehr wahrscheinlich, auf einer NOP-Rutsche zu landen und schließlich den Code zu starten.

Betroffen sind alle Windows-Versionen außer Windows 7. Microsoft hat die Lücke bereits vor zwei Wochen an seinem Januar-Patchday geschlossen. Wer die Patches noch nicht installiert hat, sollte das spätestens jetzt nachholen – denn mit Hilfe eines frei zugänglichen Metasploit-Moduls kann sich inzwischen jeder einen passenden Exploit bauen. (rei)