FireEye warnt vor neuer Zero-Day-Lücke in Internet Explorer

FireEye hat nach eigenen Angaben eine neue Zero-Day-Lücke in Internet Explorer 10 entdeckt. Wie Computerworld berichtet, wird die Schwachstelle bereits aktiv von Hackern ausgenutzt. Microsoft bestätigte demnach die Angaben des Sicherheitsunternehmens.

„Microsoft sind zielgerichtete Angriffe gegen Internet Explorer bekannt, die derzeit Kunden betreffen, die Internet Explorer 10 benutzen“, zitiert Computerworld einen Microsoft-Sprecher. „Wir haben eine Untersuchung eingeleitet und werden die notwendigen Maßnahmen ergreifen, um unsere Kunden zu schützen.“ Eine offizielle Sicherheitswarnung des Softwarekonzerns liegt bisher nicht vor.

Der Schadcode wird FireEye zufolge auf der kompromittierten Website einer US-Veteranenorganisation gehöstet. Es handele sich um einen klassischen Drive-by-Download. Dafür ist es ausreichend, dass ein Nutzer eine bestimmte Website besucht. Die Schadsoftware gelangt dann ohne weitere Interaktion auf seinen Rechner.

Der Exploit nutze die Adobe-Skriptsprache Flash ActionScript, um die in Windows implementierte Schutzfunktion Adress Space Layout Randomization (ASLR) zu umgehen, so FireEye weiter. Er werde nicht ausgeführt, wenn Microsofts Enhanced Mitigation Experience Toolkit (EMET) installiert sei. Auch ein Update auf Internet Explorer 11 verhindere, dass die Schadsoftware funktioniere.

Da die Angreifer die Website eines Veteranverbands für die Verteilung ihrer Malware benutzen, vermutet FireEye, dass sich der Angriff gegen das US-Militär richtet. Zudem stellte das Unternehmen Ähnlichkeiten mit früheren Kampagnen wie der Operation Deputy Dog fest, die unter anderem Firmen in Japan betraf.

Internet Explorer 10 läuft laut aktuellen Zahlen von Net Applications derzeit noch auf rund 9,28 Prozent aller Computer. Der Anteil der Browserversion ist aber rückläufig, da Microsoft seit November den Nachfolger Internet Explorer 11 per Windows Update auch an Nutzer von Windows 7 verteilt. Windows-8-Nutzer erhalten die neuere Version automatisch im Rahmen des Updates auf Windows 8.1.

Erst Anfang der Woche hatte Microsoft ein kumulatives Sicherheitsupdate für Internet Explorer bereitgestellt, das Fixes für insgesamt 24 Schwachstellen enthält. 15 davon betreffen laut Computerworld IE10. Es war eines von zwei Updates, die Microsoft kurzfristig nachgeschoben hatte, weil es seine Tests doch noch rechtzeitig zum Februar-Patchday abschließen konnte.

Tipp: Wie sicher sind Sie bei der Sicherheit? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de