Malware dringt über USB-Stick in Firmennetze ein und bedroht Daten

Stuxnet Trojaner infiziert durch USB-Schwachstelle und LNK-Dateien

Der Wurm Stuxnet greift über eine Zero-Day USB-Sicherheitslücke an, installiert ein Rootkit und scheint es auf Unternehmensdaten abgesehen zu haben.

Der neu aufgetauchet Trojaner Stuxnet macht sich eine Schwachstelle in der Windows Shell zunutze und kann so über USB-Speichermedien Systeme infizieren und heimlich Daten sammeln. Ziel des Trojaners scheint Wirtschaftsspionage auf internationale Unternehmen zu sein. Microsoft empfiehlt dringend bis zur Beseitigung der Schwachstelle einen Workaround einzusetzen.

Der Angreifer manipuliert dabei das Icon einer Verknüpfung so, dass durch die Anzeige des Icons im Explorer der Schadcode bereits ausgeführt wird. Die Infektion mit dem Trojaner ist also einfach durch ein USB-Speichermedium, durch Netzwerkshares oder WebDAV-Laufwerke möglich. Es reicht aus, sich mit dem Explorer ein Verzeichnis anzeigen zu lassen, das eine entsprechend präparierte LNK-Datei enthält. Der klassische Angriff für USB-Laufwerke mittels präparierter autorun.inf ist so gar nicht mehr nötig.

Der Schädling scheint es auf die Daten international operierender Unternehmen abgesehen zu haben, denn alle Daten die der Trojaner auf das USB- oder Netzwerklaufwerk kopiert werden automatisch vom Rootkit verborgen. Zusätzlich versucht die Malware innerhalb des Unternehmensnetzwerks auf Prozesssteuerungs- und Leitsysteme wie sie in Produktionsprozessen eingesetzt werden, zuzugreifen.

Ergänzendes zum Thema

+  Workaround zur Verhinderung der Stuxnet Schwachstelle

Klicken Sie auf Start , Ausführen , geben Sie regedit ein und klicken Sie auf OK . Suchen ...

Klicken Sie auf Start , Ausführen , geben Sie regedit ein und klicken Sie auf OK .

Suchen Sie den Schlüssel: HKEY_CLASSES_ROOT\lnkfile\shellex\IconHandler

Klicken Sie auf das „ Datei “ Menü und wählen Sie Exportieren .

Im Exportieren-Dialog schreiben Sie LNK_Icon_Backup.reg als Dateinamen und klicken Sie auf Speichern .

So erstellen Sie ein Backup des Registry-Keys im lokalen Ordner.

Wählen Sie dann den Wert (Standard) im rechten Fenster des Registry Editors aus. Drücken Sie ENTER um den Wert zu bearbeiten und löschen Sie dann aus der Zeile Wert den Inhalt, so dass die Zeile leer ist und klicken Sie dann auf OK .

Nun gehen Sie mit der Erweiterung PIF ebenso vor:

Suchen Sie den Schlüssel: HKEY_CLASSES_ROOT\piffile\shellex\IconHandler

Klicken Sie auf das „ Datei “ Menü und wählen Sie Exportieren .

Im Exportieren-Dialog schreiben Sie PIF_Icon_Backup.reg als Dateinamen und klicken Sie auf Speichern .

So erstellen Sie ein Backup des Registry-Keys im lokalen Ordner.

Wählen Sie dann den Wert (Standard) im rechten Fenster des Registry Editors aus. Drücken Sie ENTER um den Wert zu bearbeiten und löschen Sie dann aus der Zeile Wert den Inhalt, so dass die Zeile leer ist und klicken Sie dann auf OK .

Quelle: Microsoft Knowledgebase

Da es aktuell noch keinen Fix für die Schwachstelle gibt empfiehlt Microsoft in seinem Security Advisory 2286198 einen Workaround einzusetzen, der die Darstellung der Icons von LNK- und PIF-Dateien verhindert. Dadurch zeigen zwar alle Verknüpfungen nur noch weiße Icons, aber der Angriff durch die Malware wird verhindert. In der Microsoft Knowledgebase stellt das Unternehmen für den Workaround sogar einen schnellen „Fix it Wizard“ zur Verfügung und beschreibt den manuellen Workaround über die Registry. Außerdem empfiehlt Microsoft den Dienst „WebClient“ auf allen Rechnern zu deaktivieren, damit Anwender sich nicht versehentlich durch den Zugriff auf Web-Ordner per WebDAV infizieren können.