Peter's Insider Blog

Donnerstag, 29. März 2007

Internet Explorer: lautlose Infektion durch Cursor

Noch in diesem Monat habe ich im Artikel "Ein Trojaner aus Bern?" die Möglichkeiten einer Programmeinschleusung mittels einem Bildformat besprochen. Heute hat Heise gemeldet, dass der Antivirenhersteller McAfee einen Proof of Concept Virus entdeckt hat, welcher die Codeeinschleusung in Internet Explorer und Outlook mittels einem animierten Cursor (.ani) erlauben soll. Betroffen von dieser Lücke soll der Internet Explorer 6 & 7 unter einem voll-gepatchten Windows XP SP2 sein. XP SP1 und SP0 seien nicht betroffen. Über Windows Vista schweigt sich McAfee aus, aber falls Vista ebenfalls anfällig wäre, hätten sie das an die grosse Glocke gehängt, nun will McAfee nicht Werbung für ein Betriebssystem machen, das sicherer ist als seine Vorgänger. Schon doof, wenn sich ein Milliardengeschäft auf der Unsicherheit der Betriebssysteme eines Herstellers abstützt.

Microsoft hat bisher noch keinen Patch dagegen, dafür meint McAfee das Outlook ebenfalls davon betroffen sei. Nun ja für Outlook ist die Abhilfe einfach => HTML Emails als Text darstellen. Betreffs dieser Lücke im Internet Explorer rät Heise einen anderen Browser, konkret Opera oder Firefox, zu nutzen. Super Idee Heise, Firmen installieren solange "einfach" "rasch" den Mozilla Firefox auf allen Computern und warten auf den Patch von Microsoft.

Analyse

Ich habe hier eine kurze Analyse, des mir unbekannten und nicht-verfügbaren zukünftigen Virus gemacht. Falls jemand ein Sample sichtet, wäre ich froh wenn er meine Thesen bestätigt.

Eine der ersten Fragen die man sich sicher stellt ist: Warum [, zum Teufel,] muss der Internet Explorer animierte Cursor (*.ani) darstellen können? Die Antwort darauf ist, damit eine Website den verwendeten Cursor individualisieren kann. Dies geht beispielsweise mit folgendem HTML/CSS Snippet:

<head>
...
<style type="text/css">

</style>
</head>

Damit wäre auch die Frage der Einschleusung geklärt, denn laut McAfee stürzt der Internet Explorer nicht ab, noch gäbe es sonst irgendwelche Anzeichen, welche unmittelbar auf eine Infektion hindeuten. Man muss also nur eine (bösartige) Internet Seite mit IE ansteuern oder eine (bösartige) HTML Email in Outlook öffnen um damit infiziert zu werden

Wie könnte man also diesem ungepatchten Loch begegnen (ausser gleich auf Firefox oder Opera umzusteigen)?

Die einfachste Idee ist sicherlich den Content Filter anzuweisen, alles Eingehende mit der Endung .ani zu blockieren. Das hat allerdings zwei entscheidende Nachteile: 1.) Dynamische Seiten könnten ebenfalls die Endung .ani haben. 2.) Mein Test hat ergeben das der Internet Explorer beliebige andere Endungen auch als animierten Cursor anzeigt, was nicht verwunderlich ist.

Eine andere Idee meinerseits ist, den animierten Cursor auf Grund seines Headers zu blocken: Auch das .ani Format basiert auf dem Microsoft RIFF Container Format. Eine .ani Datei hat nach der Spezifikation folgenden Header:

typedef struct _RiffAniFile
{
DWORD FileId; / File ID (always "RIFF") /
DWORD Size; / Length of file minus 8 in bytes /
DWORD FormId; / Format ID (always "ACON") /
LISTINFOCHUNK ListInfoChunk; / File and content information /
DISPLAYSUBCHUNK DisplaySubchunk; / Display object /
ANIHEADERSUBCHUNK AniHeader; / Header information /
RATESUBCHUNK RateSubchunk; / Frame rate data /
SEQUENCESUBCHUNK SequenceSubchunk; / Frame sequence data /
LISTFRAMECHUNK ListFrame; / LIST Frame chunk /
} RIFFANIFILE;

Das heisst man kann ein .ani File an folgendem Fileanfang (12 Bytes) zu erkennen: "RIFF" <DWORD (4 Bytes)> "ACON", dargestellt in Hex: 0x52, 0x49, 0x46, 0x46, 0xXX, 0xXX, 0xXX, 0xXX, 0x41, 0x43, 0x4f, 0x4e (0xXX steht für einen Wert von 0x00 bis 0xff). Die angegebene Length in Bytes einer normalen Cursor-datei sollte normalerweise nicht allzu gross sein, wenn man davon ausgeht das sie in Little Endian Byte-Reihenfolge gespeichert ist. Diese Erkennungsmethoden basiert auf der wahrscheinlichen zutreffenden Annahme, das der Virus mindestens diesen Teil des Headers enthält. McAffee nimmt an, dass die neu Entdeckte Lücke, einer bereits geschlossenen .ani Lücke (MS05-002) ähnelt. Da für diese (alte) Lücke ein Exploit in C geschrieben vorliegt, liegt die Vermutung nahe, dass der neue Virus diesen Teil des Headers enthält, denn der alte tat es auch:

unsigned char aniheader[] = "\x52\x49\x46\x46\x9c\x18\x00\x00\x41\x43\x4f\x4e\ ...

Auf jeden Fall kann man nicht einfach alles was bloss mit "RIFF" beginnt blocken, denn dies würde auf diverse Dateitypen zutreffen, darunter auch .avi und .wav. Der FormID Teil muss also auch überprüft werden. Ausserdem sollte man einen Rechner nicht nach diesen Header Kriterien durchsuchen, denn spätestens im Verzeichnis %WINDIR%\Cursors\ würde man fündig werden.

Wer mir einen sinnvollen Einsatz für einen animierten Cursor auf einer Webseite nennen kann bekommt einen Blumenstrauss.

Geschrieben von Peter in Sicherheit um 20:04 | Kommentar (1) | Trackbacks (0)

Tags für diesen Artikel: .ani, .cur, browser, cursor, heise, internet explorer, mcafee, microsoft, outlook

Donnerstag, 22. März 2007

Trickbetrüger bei Ricardo

Ein Mitarbeiter von Namics beschreibt ausführlich, wie er auf der schweizerischen Auktionsplattform Ricardo beinahe von einem (nigerianischen) Trickbetrüger hereingelegt worden wäre. Schön ersichtlich ist auch die Lernkurve, die der Betrüger anscheinend in kurzer Zeit durchlaufen hat. Das Problem ist, dass trotz des Swiss Security Day und firmeninterner Schulung, wohl immer noch einige Leute darauf hereinfallen würden.

Zufall ist wohl die abschliessende Frage des Autors: "Nun muss ich noch überlegen, was ich Mr. Terry antworten sollte. Meines Wissens gibt's keine Internet-Polizei, die international so etwas nachgehen würde. Oder?" Passt sie doch genau zu meinem Artikel von gestern: Kaspersky will Interpol für das Internet. Internetpolizei wäre wahrscheinlich ein bisschen zuviel gehofft, aber man könnte ja mal ein paar Lobbyisten losschicken.

Übrigens in der Schweiz gibt es die Koordinationsstelle zur Bekämpfung der Internet-Kriminalität (KOBIK), welche aber in internationalen Angelegenheiten meist keine Chance hat und von Meldungen überhäuft wird. Internationale Vorfälle werden an Interpol gemeldet.

Geschrieben von Peter in Sicherheit um 21:31 | Kommentare (0) | Trackbacks (0)

Tags für diesen Artikel: internet, ricardo

Mittwoch, 21. März 2007

Kaspersky will Interpol für das Internet

Jewgeni Kaspersky, Mitgründer des russischen Antivirenhersteller Kaspersky Lab fordert eine Art Interpol für das Internet. Was passieren soll, wenn nicht alle Länder mitmachen: "Diesen Ländern würde ich den Zugang zum Internet versperren." Quelle: heise Security

Zugegeben, das Ganze ist eine interessante und wünschenswerte Idee. Das Internet ist eine höchst unordentliche Gerümpelhalde mit allen möglichen Arten von Abschaum. Doch: Welche Verantwortung und welchen Einfluss soll diese Polizei, nennen wir sie Netpol, haben? Wo hört Sicherheit auf und wo beginnt Zensur (Netzneutralität)? Firmen und Strafverfolgungsbehörden kommen heute bei grenzüberschreitenden Vorfällen nur langsam voran. Begrüssenswert ist der Vorstoss allemal und sollte gründlich durchdacht werden.

Geschrieben von Peter in Technik um 22:40 | Kommentare (0) | Trackback (1)

Tags für diesen Artikel: internet, interpol, kaspersky

Sonntag, 18. März 2007

Ein Trojaner aus Bern?

Wie in Deutschland gibt es auch in der Schweiz das Bestreben von staatlichen Stellen, PCs unbemerkt mittels Trojaner ausspionieren zu können. So unrealistisch ist das Szenario nicht, allerdings gibt es schon ein paar Fallstricke mit denen Kriminalbeamten zu kämpfen hätten. Hier eine kleine Aufstellung der Probleme, die die Staatsschützer vor sich haben, diese Probleme haben theoretisch auch billige Virenprogrammierer mit Ausnahme, dass diese nicht gezielt eine spezielle Person ausspionieren möchten, sondern ihr "Produkt" weit streuen. Hier werden ausschliesslich Probleme diskutiert, die durch die Verwendung eines lokal installierten Softwaretrojaner entstehen. Es gibt weitere Möglichkeiten um nur den Internetverkehr eines Benutzers auszuspionieren, dazu gehören: Backdoor in Router, abhören bei Telekomfirmen, abhören von Internetknoten (IX).

Problem 1: Wie kommt der Trojaner überhaupt auf den PC?

Sicherheitslücke im Betriebssystem

Dies ist wohl die grösste Schwierigkeit der Ganzen Sachen. Ohne Social Engineering kommen Trojaner eigentlich nur über eine Sicherheitslücke in dem Betriebssystem auf den Computer und auch das nur falls keine Hardwarefirewall oder Router davorgeschaltet sind. Der Wurm Sasser ist hierfür das bekannteste Beispiel.

über Email

Eine andere Methode tut not. Über welches Medium kommen die meisten Viren auf PCs? => Richtig, über Emails oder Sicherheitslücken im Microsoft Internet Explorer. Bei Email besteht das Problem, das der Benutzer überzeugt werden muss, dass er das Attachement öffnen soll. Das funktioniert sicherlich bei einigen Leuten, aber der Staat will gezielt überwachen und nicht tausende von Mails versenden und anschliessend darauf vertrauen, dass ein Prozent der Leute den Trojaner tatsächlich haben. Gold wert sind Methoden, die dank Mediencontainerformaten (JPEG, MOV, WMV, ...) Schwachstellen in den Implementierungen ausnutzen, d.h. einen Buffer Overflow erzeugen und den Code des Trojaners ausführen. Denn mal davon abgesehen, dass ausführbare Anhänge meistens durch das Email Programm gesperrt sind, ist es doch relativ plump jemandem ein .exe zuzuschicken. Bilder, Videos, Animationen, PDFs sind meistens nicht gesperrt und deshalb ein gefährliches Einfallstor.

Browserbedingte Auslieferung von Sicherheitslücken

Falls es möglich ist jemanden auf eine Seite zu locken, ist es anschliessend möglich der Person einen Trojaner unterzujubeln, falls der betreffende Browser (wie z.B. Internet Explorer, Firefox, Opera, Safari) eine Möglichkeit (Sicherheitslücke) bietet um dies zu tun. Dank der Mitlieferung des User Agent ist es möglich den Browsertyp festzustellen und dem Browser eine Sicherheitslücke nach seinem Gusto anzubieten. Das wäre eine Art bedingte Sicherheitslückenauslieferung, möglich ist es, aber ob es bisher gemacht wurde ist mir nicht bekannt.

Social Engineering

Klar wenden auch die oben genannten Einschleusungsmethoden über Browser und Email Methoden vom Social Engineering an, wenn auch nur in einem bedingten Rahmen. Social Engineering wird hauptsächlich bei Industriespionage und Betrugsversuchen angewandt. Social Engineering kann als Methode beschrieben werden um von einer bestimmten Person, bestimmte Informationen zu erhalten. Dies ist brandgefährlich und deshalb werden Personen die Umgang mit sensitiven Informationen haben auch darauf geschult, oder sollten es werden. Die betreffende Person müsste also im konkreten Fall ("Bundestrojaner") von verdeckt operierenden Beamten unter Vorspielung falscher Tatsachen dazu gebracht werden, den Trojaner zu installieren.

Problem 2: Plattformunabhängigkeit

Trojaner haben das Problem von einem bestimmten Betriebssystem abhängig zu sein. Plattformunabhängige Trojaner existieren hauptsächlich in der Theorie. Natürlich wäre es aber möglich ein Virus in Java zu schreiben, und nur den Ladecode in betriebssystemspezifischem Code, aber ob dies sinnvoll ist kann als fragwürdig bezeichnet werden. Mit anderen Worten heisst das, der Staat müsste entweder Trojaner für alle Plattformen entwickeln lassen oder sich auf eine bestimmte Plattform versteifen. Nachfolgende Bemerkungen zu den einzelnen Systemen sind mit einem ironischen Unterton zu betrachten:

Windows: Eine Mehrzahl der Leute nutzt Windows, d.h. die meisten Kriminellen nutzen (wahrscheinlich) Windows.

GNU/Linux: Wer Linux nutzt, kann doch keiner Fliege was zu leide tun, oder?

Mac OS: Wer ein solch stabiles System besitzt, wird nicht auf den Gedanken kommen ein Verbrechen zu begehen.

FreeBSD: Hey, die haben ein Teufelchen als Logo, die sind potentiell gefährlich.

Die Frage nach der Plattformunabhängigkeit ist demnach geklärt, falls diese Entscheidung jemals ansteht, wird man sich aufgrund dessen Verbreitung wahrscheinlich für Windows entscheiden.

Problem 3: Entdeckung durch Virenscanner

Auch ein staatlicher Trojaner sollte nicht von einem Virenscanner entdeckt werden. Dazu erwägt man mit Herstellern von Virensoftware zusammen zu arbeiten, was diese kaum tun werden. Das Ziel ist also, dass der Trojaner nicht von der Virensoftware und dem Benutzer entdeckt werden darf. Aus meiner Sicht ist dies nicht mal so ein Problem, wie angenommen wird, denn:

Der Trojaner wird gezielt eingesetzt, d.h. es gibt keine grosse Verbreitung und die Gefahr das er von einem Sicherheitsspezialist entdeckt und analysiert wird ist relativ klein.
Es ist möglich Trojaner zu schreiben die die Heuristikfunktionen der Virenscanner passieren.
Bern hat die Möglichkeit den Trojaner im Vorfeld an allen aktuellen Sicherheitssuiten ausgiebig zu testen.

Fazit

Ein Bundestrojaner, wäre zwar machbar. Dies würde aber einerseits viel Arbeit und Aufwand mit sich bringen. Und auf der anderen Seite, ist ein Einsatz immer noch fragwürdig. Natürlich wäre es diskreter, als bei einer Hausdurchsuchung den betreffenden Computer zu beschlagnahmen, aber da wäre wenigstens eine allfällige Willkür ersichtlich. Gerade im Zusammenhang mit dem amerikanischen Patriot Act, der NSA, dem realitätwerdenden 1984, ist folgende lateinische Frage immer noch aktuell: "Quis custodiet ipsos custodes?", => Wer überwacht die Überwacher? Vielleicht nimmt Moritz Leuenberger in seinem Blog ja mal Stellung dazu.

Meinungen aus CH-Blogs zum Thema Bundestrojaner:

Staatstrojaner vs. Virenschutz

Bünzlitrojaner

In der Schweiz sollen uns “Softwarewanzen” überwachen

Hacker Staat

Geschrieben von Peter in Sicherheit um 19:15 | Kommentare (0) | Trackback (1)

Tags für diesen Artikel: überwachung, bundestrojaner, deutschland, internet, politik, schweiz, staatlich, trojaner, virus

Mittwoch, 14. März 2007

Glencore: 116.5 Milliarden US-Dollar Umsatz

Glencore wird auch 2006 wieder das umsatzstärkste Unternehmen der Schweiz gewesen sein. Glencore hat allein im Jahr 2006 einen Umsatz von 116.5 Milliarden US-Dollar erwirtschaftet, das entspricht umgerechnet ca. 141 Milliarden Schweizer Franken oder einer Umsatzsteigerung um 28% zum Vorjahr. Zum Vergleich: Nestlé hatte im Jahr 2006 einen Umsatz von 98.5 Milliarden Franken. Beinahe ein Klacks im Verglich zu dem grössten Privatunternehmen Europas, der Baarer Rohstoffhändlerin Glencore.

Umsatzverlauf von Glencore

Jahr	Umsatz (in Mia USD)
2006	116.5
2005	91
2004	72
2003	54.7
2002	43.7
2001	44.5
2000	48

Das bisher weder konventionelle Medien, noch jemand anderes über diese Neuigkeit berichtet haben, kann mehrere Ursachen haben: Entweder sind sie schlecht informiert, langsam oder diese Information ist für niemanden von Interesse...

Quellen: Glencore, Xstrata

Geschrieben von Peter in Rohstoffe um 12:16 | Kommentare (0) | Trackbacks (0)

Tags für diesen Artikel: 2006, glencore, umsatz, xstrata

Donnerstag, 8. März 2007

Ein Treffen mit Al Gore...

... ist möglich beim Forum der Aussenwirtschaft vom 27. März. Mit von der Partie wird ausserdem Bundesrätin Doris Leuthard sein. Zur Registration.

Quelle: Venturelab

Es wäre sicherlich noch interessant Al Gore mal live zu erleben, insbesondere wenn man seinen Film "An Inconvenient Truth" gesehen hat. (Die geforderten Gebühren sind aber Abschreckung genug.) Der Film an sich ist übrigens höchst empfehlenswert, und sollte wenn möglich auf Englisch angeschaut werden. Er erzählt einerseits von der Klimaveränderung (mit eindrücklichen Bildern von der ganzen Welt), und andererseits aus dem Privatleben von Al Gore, von seiner Sicht der Präsidentenwahl, von seinem Geburtsort, von einem schweren Unfall seines Sohnes, seinem Vater dem Tabakfarmer und seiner Schwester, welche in jungen Jahren an Lungenkrebs gestorben ist. Dies alles lässt Al Gore bodenständig erscheinen, auch wenn immer ein scheeler Nachgeschmack eines Selbstdarstellers hängen bleibt.

Der Film hat weltweit über 40 Mio. USD und mehrere Preise, darunter 2 Oskars eingespielt. Die Oskars erhielt der Film für den besten Dokumentarfilm und den besten Titelsong. Der Titelsong ist jedenfalls passend: "I Need To Wake Up" von Melissa Ethridge.

Al Gore wurde ausserdem mehr oder weniger von Apple CEO Steve Jobs in den Verwaltungsrat von Apple (AAPL) geholt. So kommt es nicht von ungefähr, dass im Film Gore ständig an einem MacBook Pro arbeitet. Seltsam ist allerdings die Tatsache, dass Al Gore, dass angeblich unabhängige Untersuchungsteam leitete, welches die Rückdatierungen von Steve Jobs' Aktienoptionen untersuchte. Glücklicherweise scheint das Ganze mehr oder weniger spurlos vorübergegangen zu sein. Der Tag an dem Steve "And, boy, have we patented it." Jobs Apple verlassen wird, wird irgendwann noch kommen, der Kurssturz ist vorprogrammiert.

Geschrieben von Peter in Technik um 22:12 | Kommentare (0) | Trackbacks (0)

Tags für diesen Artikel: al gore, apple, doris leuthard, macbook, steve jobs

Samstag, 3. März 2007

Swiss in Liechtenstein: weltweite Schlagzeilen

Man glaubt es kaum, da verirrt sich eine 170 Mann starke Truppe der Armee bei stockdunkler Nacht nach Liechtenstein und es wird zum Thema auf der ganzen Welt. Auf der Ganzen Welt? Nein, überall ausser in der Schweiz und in Liechtenstein, weil es absolut unsinnig ist, dass Ganze nicht als Versehen anzusehen. Die deutsche Tagesschau titelt mit: "Schweizer Armee marschiert in Liechtenstein ein", BBC mit "Swiss in Liechtenstein 'invasion'", New York Times und Forbes mit "Swiss Accidentally Invade Liechtenstein".

Über 200 Nachrichten über diesen Vorfall auf Google News U.S.

Liebe Medien auf der Ganzen Welt: Wir (Schweizer) haben schon genug Mühe den Vatikan unter militärischer Kontrolle zu halten, wir werden uns sicher nicht an Liechtenstein heranwagen.

Video (SF) zum Thema Schweizer Armee & Liechtenstein: (bereits früher hier veröffentlicht)