Angreifer verteilen Malware über Microsofts Windows-Dienst BITS

Der Hintergrundübertragungsdienst dient Microsoft und Drittanbietern für verschiedenste Software-Updates. Wie Sicherheitsforscher von Dell SecureWorks herausfanden, lässt er sich auch für die erneute Infektion zuvor befallener Systeme nutzen. Malware-Autoren sollen den Dienst seit mindestens 2007 für ihre Zwecke missbrauchen.

Angreifern ist es gelungen, Microsofts Hintergrundübertragungsdienst BITS für die Auslieferung und Installation von Malware zu nutzen. Darauf stieß die Counter Threat Unit (CTU) von Dell SecureWorks. Die Sicherheitsforscher fanden heraus, dass über diesen Weg die erneute Infektion von Systemen erfolgen kann, nachdem eine vorherige beseitigt wurde.

Malware (Bild: Maksim Kabakou/Shutterstock)

Der Background Intelligent Transfer Service (BITS) sorgt als Softwarekomponente von Windows für die Übertragung über HTTP im Hintergrund. Er wird von Microsoft selbst für verschiedene Update-Aufgaben eingesetzt, kann aber auch durch Software von Drittanbietern angesprochen werden, um etwa Dateien für eine Aktualisierung zu übertragen.

Laut CTU haben Malware-Autoren den Dienst seit mindestens 2007 für ihre Zwecke genutzt. Eine für sie attraktive Eigenschaft von BITS ist dabei, dass sie Dateien auf Systeme befördern oder auf einen Server hochladen können mit einer Anwendung, der Firewalls vertrauen. Außerdem können sie unterbrochene Downloads später fortsetzen und Aufgaben erstellen, die auch Monate später noch ausgeführt werden. Nach Ausführung einer Aufgabe können sie außerdem den Start beliebiger Programme veranlassen.

Entdeckt wurde die Schwachstelle auf einem betroffenen Computer mit Windows 7, der in einer universitären Umgebung für Verwaltungsfunktionen genutzt wurde. Antivirus-Software hatte darauf zuvor Malware gemeldet und sie unschädlich gemacht. Dennoch gab es weiterhin Netzwerk-Benachrichtigungen, die sich auf Malware bezogen.

HIGHLIGHT

Admin-Tipps für Office 365

Office 365 ermöglicht vielfältige Einstellungsmöglichkeiten für Anwender und Administratoren. Kostenlose Zusatztools und die PowerShell helfen dabei, Office 365 optimal zu konfigurieren.

Die Sicherheitsforscher beschäftigten sich daraufhin mit Unregelmäßigkeiten im BITS-Ereignisprotokoll und stießen auf aktive Jobs für das Herunterladen und die Ausführung neuer Malware. Die „vergifteten“ BITS-Aufgaben schufen Scripts für Installation und Säuberung nach erfolgtem Download. Sie waren lediglich in der Jobs-Datenbank des Microsoft-Dienstes enthalten – das System hingegen wies keine Änderungen von Dateien oder Registry auf. Die ursprüngliche Malware hatte sogar Einträge hinterlassen, die für erneute Downloads in regelmäßigen Abständen sorgten.

Die Sicherheitsforscher legen die Durchsicht aktiver BITS-Aufgaben nahe, wenn ungewöhnliche Benachrichtigungen auffallen. In einem Blogeintrag haben sie außerdem eine Liste von Web-Domains veröffentlicht, auf die bösartige Einträge für den Download von Malware verwiesen. SecureWorks empfiehlt, Zugriffe auf diese Adressen zu blockeren.

[mit Material von Charlie Osborne, ZDNet.com]

Neueste Kommentare 

Noch keine Kommentare zu Angreifer verteilen Malware über Microsofts Windows-Dienst BITS

Kommentar hinzufügen

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind markiert *