SICHER o INFORMIERT
Der Newsletter von www.buerger-cert.de
Ausgabe vom 04.05.2009

-----------------------------------------------------------------------

Die Themen dieses Newsletters:

1. Nicht darauf reinfallen!: Betrueger integrieren gefaelschte Antivirensoftware in das Windows-Security Center
2. Neugier wird bestraft: Kriminelle locken mit angeblicher SMS-Spionagemoeglichkeit
3. Apple-Angriff: Botnetz aus Mac OS X-Rechnern entdeckt
4. Erpresserischer Schaedling: Trojanisches Pferd fordert Loesegeld
5. Manipulierte Archive: Sicherheitsluecken in verschiedenen Antivirenprodukten
6. Neues vom Fuchs: Mozilla gibt Sicherheitsupdate heraus
7. Vertragen sich nicht: Google veroeffentlicht Update fuer Chrome
8. Schnell updaten: Aktualisierte Version fuer xpdf veroeffentlicht
9. Praeparierte Bilder: Sicherheitsluecken in Drucksystem CUPS geschlossen
10. Praeparierte PDFs: Kritische Luecke in BlackBerry beseitigt
11. Gigantisch: Botnetz mit knapp zwei Millionen Rechnern entdeckt

-----------------------------------------------------------------------

1. STOERENFRIEDE: Betrueger integrieren gefaelschte Antivirensoftware in das Windows-Security Center

Nicht darauf reinfallen!
Schon seit Laengerem versuchen Kriminelle immer wieder, Anwender zum
Kauf gefaelschter Antivirenprodukte zu bewegen. Das
IT-Sicherheitsunternehmen Sophos [http://www.sophos.com] berichtet
derzeit von einer gefaelschten Antivirussoftware, die sich in das
Windows-Security-Center integriert. Der Anwender erhaelt ueber das
Windows-Security-Center die Meldung, dass Windows eine unlizenzierte
Version von "MS AntiSpyware 2009" gefunden haette - der Rechner koenne
durch Viren gefaehrdet sein. Man wird aufgefordert, ueber einen
angegebenen Link eine Lizenz fuer das vermeintliche Schutzprogramm zu
erwerben. Bei der Software handelt es sich jedoch nicht um ein echtes
Antivirenprogramm, sondern um ein nutzloses Programm, wenn nicht gar
Schadsoftware. Anwender sollten Antivirensoftware stets nur von
serioesen Original-Herstellerwebseiten beziehen - nicht aber ueber
E-Mail-Links. Mehr Infos zum Thema gefaelschte Antivirenprodukte gibt es
auf der BSI-FUER-BUERGER-Webseite
[http://www.bsi-fuer-buerger.de/abzocker/falsche_software.htm].


2. STOERENFRIEDE: Kriminelle locken mit angeblicher SMS-Spionagemoeglichkeit

Neugier wird bestraft
Betrueger versuchen derzeit, die Neugier von Anwendern auszunutzen, um
ihnen Schadcode unterzuschieben. Ueber das Waledac-Botnetz werden
Spam-Mails verschickt, die fuer ein vermeintliches SMS-Spionagetool
werben. Dies berichtet die Online-Ausgabe der PC-Welt
[http://www.pcwelt.de]. Die Mails tragen Betreffzeilen wie "Read his
SMS" ("Lies seine SMS"). Folgt der Empfaenger dem in der Mail
angegebenen Link, wird er auf eine manipulierte Webseite geleitet. Dort
wird erklaert, dass die angebotene Software "SMS Spy" nicht auf dem
Handy des Auszuspionierenden installiert werden muesse. Es genuege ein
Computer mit Internetanschluss, um alle gewuenschten SMS lesen zu
koennen. Der Service sei ganz neu und man koenne ihn jetzt 30 Tage
kostenlos testen. Klickt der Empfaenger auf die angebliche "Testversion"
und fuehrt die angebotene Datei aus, installiert sich die Schadsoftware
auf dem Rechner. Dieser schliesst den Computer an das Waledac-Botnetz an
und missbraucht ihn zum Spam-Versand. Ausserdem sammelt die Software
Mail-Adressen, die sich auf dem PC befinden, oder spioniert Passwoerter
aus. Empfaenger der Mail sollten diese umgehend loeschen und keinesfalls
weiterleiten. Mehr Infos zu Botnetzen hat das BSI auf der
BSI-FUER-BUERGER-Seite
[http://www.bsi-fuer-buerger.de/abzocker/bot_netze.htm]
zusammengestellt.


3. STOERENFRIEDE: Botnetz aus Mac OS X-Rechnern entdeckt

Apple-Angriff
Botnetz-Betreiber scheinen es nun auch auf Apple-Nutzer abgesehen zu
haben. Das IT-Sicherheitsunternehmen Symantec [http://www.symantec.com]
hat manipulierte Kopien der Apple-Programme iWork 09 und Adobe Photshop
CS4 entdeckt. Diese sind mit zwei Varianten eines Trojanischen Pferdes
infiziert, die Benutzerpasswoerter ausspionieren und die Kontrolle ueber
Mac-Computer uebernehmen. Die manipulierten Dateien werden ueber
spezielle Tauschboersen, so genannte BitTorrent-Netzwerke, verbreitet.
Werden sie von Nutzern installiert, wird der Rechner an ein Botnetz
angeschlossen. Nach Angaben der Experten sollen bereits einige Tausend
Apple-Rechner infiziert sein. Sie gehen davon aus, dass die
Botnetz-Rechner von den Betreibern bereits dazu genutzt wurden, um eine
Webseite anzugreifen. Nutzer sollten Software grundsaetzlich nur ueber
die offiziellen Herstellerwebseiten beziehen. Denn der Download ueber
Tauschboersen birgt nicht nur das Risiko einer Infektion mit
Schadsoftware , sondern kann auch rechtliche Konsequenzen nach sich
ziehen - wenn beispielsweise Urheberrechte verletzt werden. Mehr Infos
zum Thema Tauschboersen stehen auf der BSI-FUER-BUERGER-Seite
[http://www.bsi-fuer-buerger.de/brennpunkt/tauschboersen.htm] bereit.


4. STOERENFRIEDE: Trojanisches Pferd fordert Loesegeld

Erpresserischer Schaedling
Wieder versuchen Kriminelle mithilfe eines Trojanischen Pferds, Geld
von Anwendern zu erpressen. Dies meldet das russische
IT-Sicherheitsunternehmen Dr. Web [http://www.drweb.com]. Die
Schadsoftware namens "Trojan.Winlock" soll sich als Video-Codec tarnen
und per Download auf die Rechner von Nutzern gelangen. Hat er sich auf
dem Computer eingenistet, bekommt ein Windows-Anwender keinen Zugriff
mehr auf seinen Desktop. Beim Start des Rechners erscheint eine Meldung,
dass man eine SMS mit angegebenen Text an die aufgefuehrte Nummer senden
soll - dann wuerde das System wieder freigeschaltet. Bei dem angegebenen
Dienst handelt es sich um eine Premium-SMS - also eine SMS, die mit
hohen Gebuehren berechnet wird. Bislang soll sich der Schaedling nur
ueber russische Webseiten verbreiten. Dies koennte sich jedoch
zukuenftig aendern. Betroffene sollten sich auf keinen Fall erpressen
lassen, sondern einen IT-Experten zu Rate ziehen. Um sich gar nicht erst
mit einem derartigen Schaedling zu infizieren, raet das Buerger-CERT
dazu, die Antivirensoftware stets auf dem aktuellen Stand zu halten und
eine Firewall zu aktivieren. Mehr Infos zu Trojanischen Pferden gibt es
auf der BSI-FUER-BUERGER-Webseite
[http://www.bsi-fuer-buerger.de/viren/04_04.htm].


5. SCHUTZMASSNAHMEN: Sicherheitsluecken in verschiedenen Antivirenprodukten

Manipulierte Archive
Schwachstellen in mehreren Antivirenscannern ermoeglichen Angreifern
mithilfe von manipulierten Archivdateien Schadsoftware unerkannt an den
Scannern vorbei zu schleusen. Dies meldet die IT-News-Seite Heise
[http://www.heise.de]. Betroffen sind die Hersteller Bitdefender, Avast,
ESET und Fortinet. Bitdefender und ESET sollen die Fehler bereits durch
ein automatisches Update in den betroffenen Produkten behoben haben. Bei
Avast und Fortinet ist unklar, ob die Schwachstellen bereits beseitigt
wurden.


6. SCHUTZMASSNAHMEN: Mozilla gibt Sicherheitsupdate heraus

Neues vom Fuchs
Mozilla hat Version 3.0.10 seines Browsers Firefox veroeffentlicht.
Mehrere Sicherheitsluecken in den Vorversionen ermoeglichten Angreifern
Schadcode auf fremde Rechner zu laden und auszufuehren. Anwender sollten
die aktualisierte Firefox-Version 3.0.10 umgehend installieren. Dies
geschieht am einfachsten ueber die automatische Update-Funktion.
Ausserdem kann sie ueber die Mozilla-Webseite
[http://www.mozilla-europe.org/de/] bezogen werden. Auch der
E-Mail-Client Thunderbird und die Internet-Suite SeaMonkey sollen
zumindest von einigen der Schwachstellen ebenfalls betroffen sein.
Aktualisierte Versionen der Programme sollen in Kuerze veroeffentlicht
werden. Anwender sollten diese dann schnellstmoeglich installieren.


7. SCHUTZMASSNAHMEN: Google veroeffentlicht Update fuer Chrome

Vertragen sich nicht
Google berichtet von einem Problem seines Browser Chrome, das auftritt,
wenn bestimmte URLs mit dem Internet Explorer aufgerufen werden. Ueber
den Fehler ist es Angreifern beispielsweise moeglich, Phishing-Angriffe
durchzufuehren. Google hat das Update 1.0.154.59 fuer Chrome
veroeffentlicht, das den Fehler beseitigen soll. Nutzer sollten dieses
schnellstmoeglich einspielen. Waehlen Sie dazu das
Schraubenschluessel-Symbol im Menue und dann den Punkt "Info zu
Google-Chrome".


8. SCHUTZMASSNAHMEN: Aktualisierte Version fuer xpdf veroeffentlicht

Schnell updaten
Schwachstellen im freien PDF-Betrachter xpdf ermoeglichen Angreifern
unter anderem Schadcode auf fremde Rechner zu schleusen und
auszufuehren. Dies meldet der Linux-Distributor Red Hat
[http://www.redhat.com] in seinem Fehlerbericht. Dazu genuegte etwa das
Oeffnen eines manipulierten pdf-Dokumentes. Betroffen ist xpdf 3.x. Da
auch Anwendungen wie KOffice oder poppler Teile des xpdf-Codes nutzen,
sind diese ebenfalls von den Schwachstellen betroffen. Der Hersteller
Foolab bietet die fehlerbereinigte Version xpdf 3.02pl3 auf seiner
Webseite [http://www.foolabs.com/xpdf/download.html] zum Download an.
Auch die Linux-Distributoren stellen aktualisierte Pakete fuer xpdf,
kpdf und poppler zur Installation bereit.


9. SCHUTZMASSNAHMEN: Sicherheitsluecken in Drucksystem CUPS geschlossen

Praeparierte Bilder
Apple hat verschiedene Schwachstellen in seinem Drucksystem CUPS
beseitigt. Ueber die Sicherheitsluecken war es Angreifern beispielsweise
moeglich, ein System mithilfe von praeparierten TIFF-Dateien
anzugreifen. In Version 1.3.10 sind die Fehler beseitigt. Anwender
sollten die aktualisierte Fassung umgehend installieren. Sie steht auf
der CUPS-Webseite [http://www.cups.org/software.php] zum Download
bereit.


10. SCHUTZMASSNAHMEN: Kritische Luecke in BlackBerry beseitigt

Praeparierte PDFs
Mithilfe von praeparierten PDF-Dokumenten ist es Angreifern moeglich,
Schadcode auf einen BlackBerry-Server zu schleusen und zu starten. Dies
meldet der Blackberry-Hersteller RIM. Die Angreifer nutzen dazu eine
Schwachstelle im PDF-Distiller des Attachment-Dienstes. Dieser bereitet
PDF-Dokumente in E-Mail-Anhaengen so auf, dass sie auf einem BlackBerry
angezeigt werden koennen. Betroffen sind BlackBerry Enterprise Server
4.1.3 bis 4.1.6 sowie BlackBerry Professional Software 4.1.4. Der
Hersteller hat ein Update veroeffentlicht, das den Fehler beseitigt. Es
steht auf der BlackBerry-Webseite
[https://www.blackberry.com/Downloads/entry.do?code=7B66B4FD401A271A1C7224027CE111BC].
Anwender sollten die aktualisierte Software schnellstmoeglich
einspielen.


11. PRISMA: Botnetz mit knapp zwei Millionen Rechnern entdeckt

Gigantisch
Das IT-Sicherheitsunternehmen Finjan [http://www.finjan.com] hat ein
Botnetz entdeckt, an das insgesamt ueber 1,9 Millionen Rechner
angeschlossen sein sollen. Der Server des bislang groessten entdeckten
Botnetzes liegt nach Angaben der Experten in der Ukraine. Die
infizierten PCs sollen weltweit verteilt sein, wobei sich der Grossteil
(45 Prozent) in den USA befindet. Vier Prozent der an das Botnetz
angeschlossenen Computer stehen in Deutschland. Ist ein Rechner
infiziert, laedt er weiteren Schadcode nach. Die Schadsoftware ist unter
anderem in der Lage, E-Mail-Adressen und andere Daten auszuspionieren.



-----------------------------------------------------------------------

Dieser Newsletter ist ein kostenloses Service-Angebot des Buerger-CERT.
Er erscheint im Abstand von 14 Tagen. Die Informationen werden vom
Bundesamt fuer Sicherheit in der Informationstechnik,
http://www.bsi.bund.de, mit groesster Sorgfalt recherchiert und
aufbereitet. Dennoch kann eine Gewaehr oder Haftung fuer die
Vollstaendigkeit und Richtigkeit nicht uebernommen werden.

Unter http://www.buerger-cert.de haben Sie die Moeglichkeit, den
Newsletter zu abonnieren oder abzubestellen. Fragen und Anregungen an
die Redaktion bitte an: info@buerger-cert.de .