Erneut manipuliertes Sicherheits-Update für Flash Player im Umlauf
Der schädliche Installer tarnt sich als Aktualisierung, spielt jedoch potenziell unerwünschte Software auf den Rechner. Das gefälschte Update ist eine Variante von OSX/InstallCore, welcher vor zwei Monaten Scareware auslieferte. Die Angreifer überlisten Apples integrierten Schadsoftwareschutz Gatekeeper mittels eines gültigen Entwicklerzertifikats.
Der auf Macs spezialisierte Sicherheitsanbieter Intego hat einen schädlichen Installer gefunden, welcher sich als Flash-Update tarnt und unerwünschte Software auf Rechner mit Mac OS schmuggelt. Statt des erwarteten Sicherheits-Updates für Flash Player bringt der Installer sogennante PUPs (“potenziell unerwünschte Programme”) von Drittanbietern auf den Rechner. Den Sicherheitsexperten fielen unter anderem die Anwendungen MegaBackup, ZipCloud und MacKeeper auf.
Sicherheitsspezialist Intego sieht sich daher veranlasst, Mac-Anwender erneut zur Vorsicht zu mahnen, wenn sie Updates für Adobe Flash Player installieren. Beim jetzt identifizierten Installer handelt es sich um eine Variante von OSX/InstallCore, der schon vor zwei Monaten durch die Installation von Scareware auffiel. Dessen Verbreitung begann mit falschen Pop-up-Warnungen, in denen ebenfalls auf ein dringend erforderliches Flash-Update hingewiesen wurde
Damals wie jetzt mogelte sich das gefälschte Flash-Update auf einfache Weise an Gatekeeper vorbei, dem Malwareschutz von OS X. Die seit OS X 10.8 Mountain Lion integrierte Sicherheitsfunktion soll standardmäßig nur Anwendungen aus dem Mac App Store und von zertifizierten Entwicklern zulassen. Die Hintermänner von OSX/InstallCore signierten ihren Code jedoch mit einem gültigen Entwicklerzertifikat, sodass die Malware Apples Schutznmechanismen mühelos überwinden konnte. Das kompromittierte Zertifikat MDK7FNV856 wurde auf den Namen Nikolay Nikolay Lastovka ausgestellt.
“Das alles wirft die Frage auf – von woher bekommen die Angreifer ihre gültigen Apple-Entwicklerzertifikate?” fragt sich Sicherheitsexperte Graham Cluley. “Eine konkrete Möglichkeit ist, dass einige OS-X-Entwickler bei ihrer eigenen Sicherheit zu sorglos sind und nicht die Notwendigkeit erkennen, ihre Zertifikate vor Hackern zu schützen.”
Besonders leicht fällt es Angreifern offenbar, Nutzer mit dem Hinweis auf ein unverzichtbares Update für Flash Player zu überrumpeln. Dazu tragen die laufend entdeckten Sicherheitslücken in der Software bei, für die Hersteller Adobe regelmäßig tatsächlich Updates ausliefert. Vergangene Woche erst musste Adobe ein außerplanmäßiges Sicherheitupdate für Flash Player veröffentlichen. Es schloss neben einer Zero-Day-Lücke, vor der das Unternehmen schon Tage zuvor warnte, 23 weitere kritische Schwachstellen.
Neben Flash haben auch Java und Silverlight immer wieder mit Sicherheitsproblemen zu kämpfen. Nutzer sollten auf diese Plug-ins entweder komplett verzichten oder sie so konfigurieren, dass sie Inhalte nicht automatisch abspielen, sondern erst die Zustimmung des Anwenders einholen. Dieses als “Click-To-Play” bekannte Feature bieten unter anderen Firefox und Chrome.
[mit Material von Bernd Kling, ZDNet.de]
