Analysezusammenfassung

• Der Adobe Flash Player stellte 2015 acht der zehn wichtigsten Sicherheitslücke dar, die von Exploit-Kits ausgenutzt wurden.
• Auch Sicherheitslücke im Internet Explorer und Silverlight von Microsoft sind ein großes Angriffsziel.
• Angler ist derzeit das beliebteste Exploit-Kit und wird regelmäßig mit Malware wie Cryptolocker verknüpft.
• Die Identifizierung gezielter Sicherheitslücke kann die Patch-Management-Funktionen innerhalb von Organisationen besser informieren.
• Einige Sicherheitsexperten empfehlen, Adobe Flash Player zu deinstallieren. Das Aktivieren von "Click to Play" ist eine Übergangslösung.

Recorded Future Bedrohungsinformationen Analyse von über 100 Exploit-Kits (EKs) und bekannten Sicherheitslücke identifizierte Adobe Flash Player als das am häufigsten genutzte Produkt. Auch wenn die Rolle von Adobe Flash als regelmäßiger Zugang für Kriminelle und Malware für Informationssicherheitsfachleute keine Überraschung Sicherheitslücke , ist das Ausmaß erheblich.

Laut einer Webanalyse vom 1. Januar 2015 bis zum 30. September 2015 befand sich der Adobe Flash Player in acht der zehn am häufigsten von Exploit-Kits ausgenutzten Sicherheitslücke . Weitere ausgenutzte Sicherheitslücke betreffen Microsoft Internet Explorer Versionen 10 und 11 (CVE-2015-2419) sowie Microsoft-Produkte wie Silverlight (CVE-2015-1671).

Hintergrund

Exploit-Kits sind Crimeware as a Service (CaaS), bei denen Nutzer pro Installation ihrer Malware bezahlen. Nutzer müssen lediglich die Payload (Malware wie Cryptolocker) und eine Möglichkeit zur Verbreitung der generierten URL bereitstellen. Diese URL kann über Kompromiss-Seiten oder bösartige Werbung von Drittanbietern (Malvertising) verbreitet werden. Die Teams hinter diesen Exploit-Kits fügen weiterhin neue Exploits für Software hinzu, da eine erhöhte Effektivität bei der Bereitstellung der "Kunden"-Nutzlast mehr Umsatz generiert.

Opfer von Exploit-Kits laden die Kompromiss-Webseite, Malvertisement oder folgen unwissentlich einem bösartigen Link zur Landingpage des Exploit-Kits. Laut Sophos ist „die Landingpage der Ausgangspunkt für den Exploit-Kit-Code“. Mithilfe einer Kombination aus HTML und JavaScript identifiziert der EK den Browser und die Plugins des Besuchers und liefert dem Kit die notwendigen Informationen, um den Exploit auszulösen, der höchstwahrscheinlich zu einem Drive-by-Download führt.

Das Verständnis, welche Sicherheitslücke von Exploit-Kits betroffen sind, kann die Patch-Management-Funktionen innerhalb von Organisationen besser informieren.

Angler Exploit Kit im Fokus

Angler ist eines der bekanntesten und beliebtesten Exploit-Kits und wird mit mehreren hochkarätigen Malvertising- und Ransomware- Kampagne in Verbindung gebracht. Erstmals im Jahr 2013 aufgetaucht, überholte es Blackhole schnell als Favorit von Cyberkriminellen, wahrscheinlich aufgrund der rasanten Verbreitung neuer Exploits und seiner Fähigkeit, viele Antivirenprodukte zu umgehen.

Die Analyse von Webquellen Recorded Future darunter soziale Medien, Foren und technische Berichte, hob Angler-Payloads hervor, darunter die Malware Cryptowall, AlphaCrypt, Necurs und Bedep.

Klicken Sie auf das Bild für eine größere Ansicht.

Im Oktober behauptete Cisco, Angler einen schweren Schlag versetzt zu haben, indem sie eine große Anzahl von Angler-Proxy-Servern entdeckten, die für bis zu 50 Prozent der Aktivitäten des Exploit-Kits verantwortlich waren. Diese Infrastruktur zielte Berichten zufolge auf bis zu 90.000 Opfer pro Tag ab und generierte jährlich über 30 Millionen Dollar.

Methodik

Recorded Future analysierte Tausende von Quellen aus dem Web, darunter .onion Seite, kriminelle Foren und soziale Medien. Die Analyse konzentrierte sich auf Exploit-Kit und Sicherheitslücke Diskussion vom 1. Januar 2015 bis zum 30. September 2015. Im Rahmen dieser Forschung verwendete Recorded Future eine Liste von 108 Exploit-Kits, zu denen bekannte EKs wie Angler, Neutrino, Nuclear Pack usw. gehörten. Die von Top EK ausgenutzten Sicherheitslücke wurden nach der Anzahl der Webreferenzen bewertet, die sie mit einem Exploit-Kit verknüpften.

Recorded Future hat keine der in dieser Analyse erwähnten Malware-Dateien per Reverse Engineering analysiert, sondern eine Metaanalyse verfügbarer Informationen aus Informationssicherheitsblogs, Forenbeiträgen usw. durchgeführt. Exploits für Dutzende anderer Sicherheitslücke werden derzeit von Exploit-Kits eingesetzt, und dieser Artikel soll die wichtigsten Ziele gängiger Exploit-Kits hervorheben.

Resultate

Mit dieser Methodik identifizierte Recorded Future die besten Sicherheitslücke von Exploit-Kits verwendet. Adobe Flash Player dominierte Sicherheitslücke diese Liste mit Tausenden von Referenzen.

Das Top- Sicherheitslücke CVE 2015-0313 – das Flash Player 16.0.0.296 betrat und von Adobe als kritisch identifiziert wurde – wurde am 2. Februar 2015 gepatcht und bereits im Dezember 2014 als Zero-Day-Exploit eingestuft. Recorded Future beobachtete 2015 410 Referenzen von CVE-2015-0313, die mit einem Exploit-Kit verknüpft sind. Diese Sicherheitslücke wurde kürzlich bei den EKs Hanjuan, Angler und Fiesta festgestellt.

Exploits, die mit der dritt- und fünfthäufigsten Sicherheitslücke (CVE-2015-5119, CVE-2015-5122) in Verbindung stehen, wurden sofort in EKs wie Angler aufgenommen, nachdem sie im Juli 2015 im Rahmen des Hacking Team Leaks als Adobe Flash Zero-Days bekannt wurden.

Klicken Sie auf das Bild für eine größere Ansicht.

Auswirkungen

Adobe Flash Player erfreut sich aufgrund seiner Kompatibilität mit verschiedenen Browsern und Betriebssystemen großer Beliebtheit. Die jüngste Reihe von Sicherheitslücke und die Popularität bei APT-Gruppen wie Pawn Storm stellen jedoch den Platz von Flash in einer sicheren Betriebsumgebung in Frage.

Flash-Versionen älter als 19.0.0.226 (oder 18.0.0.255 auf älteren Rechnern) sind nun aktiv daran gehindert, auf Apple OS X zu laufen. Brian Krebs schrieb kürzlich darüber, einen Monat ohne Flash auszukommen. Im Juli sprach WIRED über die Occupy Flash-Bewegung und schilderte deren lange Themenreihe.

Klicken Sie auf das Bild für eine größere Ansicht.

Abschluss

Jede Organisation muss selbst entscheiden, ob die Installation der ständigen Adobe Flash-Updates machbar ist; es können jedoch Maßnahmen ergriffen werden, um Adobe-Sicherheitslücken vorübergehend zu schließen. Dies beinhaltet die Aktivierung von „Click to Play“ , wodurch die Verwendung des Adobe Flash Players in einer unbekannten Umgebung überprüft wird.