Speziell präparierte MIDI-Dateien werden zur Verbreitung von Malware genutzt. Zur Infektion genügt der Besuch einer Webseite.
Der bekannte Sicherheitsexperte hat eine Anwendung in den iOS-App-Store eingestellt, die unsignierten Code nachladen kann. Apple reagierte mit Entzug der Entwicklerlizenz.
Windows 8 bringt eine Reihe von neuen Schutzmechanismen, die Exploit-Schreibern das Leben schwerer machen sollen. Doch die haben bereits einen Weg gefunden, eine dieser neuen Hürden zu umgehen.
Die hoch frequentierte Webseite MySQL.com hat Schadsoftware an Besucher mit Windows-PCs verteilt. Die Zugangsdaten zum Server wurden zuvor in einem Untergrundforum zum Kauf angeboten.
Das Metasploit-Entwicklerteam sucht nach Exploits für 30 Sicherheitslücken und hat als Anreiz eine Belohnung von jeweils bis zu 500 US-Dollar ausgeschrieben.
Der Sicherheitsdienstleister Vupen hat ein Video eines Exploits veröffentlicht, der nicht nur Chrome Sandbox aushebelt, sondern auch noch die Schutzfunktionen von Windows umgeht.
Mit einem Verweis auf den Hackerparagraphen hat der Softwarehersteller den Entdecker einer Sicherheitslücke vorerst davon abgebracht, seinen Proof-of-Concept-Exploit zu veröffentlichen.
Updates von Adobe Reader und Acrobat kamen wegen nötiger Sicherheits-Patches früher als geplant.
Auf einer Web-Seite von Amnesty International fand sich ein sogenannter Drive-by-Download, der die Systeme der Besucher mit Schad-Software infizierte. Dabei benutzte er eine neuartige Technik, um der Verhaltensüberwachung aus dem Weg zu gehen.
Die Lücke lässt sich zum Infizieren eines Systems ausnutzen. Bislang wurden jedoch nur wenige gezielte Angriffe in Zusammenhng mit Excel-Dokumenten beobachtet.
Eine Lücke in MobileSafari ermöglichte den Zugriff auf das Adressbuch. Das Blackberry war schwerer zu kapern, allerdings nicht wegen besonderer Sicherheitsvorkehrungen.
Die Apps waren mit einem Exploit ausgestattet, um den vollen Zugriff auf ein Android-Gerät zu erhalten und Nutzerdaten auszuspähen und an einen Server zu senden.
Insgesamt 125.000 US-Dollar Prämien sind für erfolgreiche Angriffe auf aktuelle Browser und Smartphones zu holen. Erstmals geht es auch der Funk-Hardware von mobilen Geräten an den Kragen.
Das Traumpaar aus Data Execution Prevention (DEP) und Adress Space Layout Randomisation (ASLR) galt lange Zeit als kaum überwindbar. Doch dann kam JIT-Spraying und wendete das Blatt wieder zu Gunsten der Angreifer.
Ob nun der Exploit oder das Medieninteresse den Hersteller und das chinesische CERT wach gerüttelt haben, ist unklar. Immerhin gibt es nun einen Fix für die kritische Lücke einer in China verbreiteten Überwachungssoftware.
Nach Meinung eines Sicherheitsspezialisten lassen sich die meisten der Capabilities missbrauchen, um nach einem Einbruch in ein System trotzdem die Kontrolle zu erhalten.
Ein neues Fuzzing-Tool des Browserspezialisten Zalewski hat zahlreiche neue Sicherheitsprobleme in allen populären Browsern aufgedeckt. Offenbar kannten chinesische Hacker eine Lücke im Internet Explorer aber bereits vorher.
Ein Exploit demonstriert, wie man sich beim Besuch einer verseuchten Webseite mit dem IE beliebigen Schadcode einfangen kann. Einen Patch gibt es derzeit nicht.
Besucher der Webseite von Amnesty International Hongkong bekamen unter Umständen Malware untergeschoben. Offenbar ist der Exploit für die ungepatchte Lücke bereits in kommerziellen Tools für Kriminelle enthalten.
Insgesamt gab es drei Updates für Office und Forefront. Die Lücke im Internet Explorer bleibt unterdessen weiterhin offen.
Die Lücke ist zwar in Android 2.2 behoben, offiziell sind aber erst 37 Prozent der von Google erfassten Geräte auf diesem Software-Stand.
Bei den Trojaner-Angriffen auf Windows-PCs von Besuchern der Webseite des Friedensnobelpreises haben Kriminelle eine bislang unbekannte Lücke in Firefox verwendet.
Für eine bislang unbekannte Lücke im Adobe Shockwave Player ist ein Exploit für Windows erschienen. Kriminelle könnten den Exploit dazu missbrauchen, um PCs mit Malware zu infizieren
Apple hat Sicherheits-Updates für das iPhone, das iPad und den iPod touch veröffentlicht, um die als Jailbreakme-Lücke bekannt gewordene Kombination zweier Schwachstellen zu schließen.
Apple hat einen Fix zum Schließen der Lücke im iPhone und iPod (touch) zwar schon fertig, verrät aber nicht, wann es diesen veröffentlichen will.
Zahlreiche Antivirenprodukte nutzen die unter Windows verfügbare Datenausführungsverhinderung (DEP) und Speicherverwürfelung (ASLR) nur unzureichend, um Angriffe auf mögliche Schwachstellen ins Leere laufen zu lassen.
Die Redmonder wollen vier Bulletins nebst Updates veröffentlichen, die insgesamt vier Lücken schließen sollen. Mehrere davon stuft der Hersteller als kritisch ein.
Nur wenige Anwendungen nutzen die unter Windows verfügbare Datenausführungsverhinderung und Speicherverwürfelung, um Angriffe auf Schwachstellen ins Leere laufen zu lassen.
Die aktualisierten Versionen schließen die aktuelle Flash-Lücke und nehmen sich endlich der /launch-Aktion-Problematik an. Adobe kündigt zudem an, künftig nur noch vollständig gepatchte Reader-Versionen zum Download anzubieten.
Erste Webseiten versuchen, die Windows-Systeme von Besuchern mit Malware zu infizieren. Bislang funktioniert das jedoch nur bei Windows XP. Microsoft empfiehlt, die Lücke mit einem Fix-it-Tool temporär zu schließen.
ONLINE MARKT
Werbung
