Erinnern Sie sich an jenes bösartige Dokument, das eine Sicherheitslücke in Word ausnutzte, um Malware herunterzuladen, ohne Spuren zu hinterlassen? Die gute Nachricht ist, dass Microsoft seinen Patch am 11. April veröffentlicht hat und die Installation dringend empfohlen wird. Die schlechte Nachricht: Der Bug wurde im Juli 2016 entdeckt und in den folgenden neun Monaten für Angriffe in Russland, der Ukraine, Australien und Israel genutzt.
Die offizielle Bezeichnung für die Sicherheitslücke ist CVE-2017-0199. Aus technischer Sicht wurde sie bereits behoben, und wer die neuesten Builds des Office-Pakets (ab der Edition 2007 SP3) verwendet, sollte geschützt sein. Wir wissen jedoch sehr gut, dass viele Benutzer und Administratoren aus verschiedenen Gründen die Anwendung von Hotfixes verzögern. Vielleicht ist ihre Unternehmensumgebung zu streng, oder sie verwenden illegale Kopien mit Aktivierungssystemen, die über Windows Update neutralisiert werden. Aber Bugs machen keine Unterschiede, und was unter anderen Umständen ein Routine-Patch gewesen wäre, wurde zu einer neunmonatigen Odyssee.
Die Geschichte führt uns in den Juli 2016, als der Berater Ryan Hanson den 0-day entdeckte. In den folgenden drei Monaten arbeitete er an dem Bug, um seine Schwere zu bestimmen und sein Potenzial zur Kombination mit anderen Schwachstellen zu bewerten, und meldete ihn dann an Microsoft. Als sie die Ergebnisse sahen, kamen sie in Redmond zu dem Schluss, dass ein schneller Patch nicht ausreichen würde, und sie konnten auch nicht zu viele Daten preisgeben, sonst würden sie Hacker alarmieren. Damals gab es keine Hinweise auf die Offenlegung des 0-day, aber das änderte sich im Januar dieses Jahres, was uns auf den ursprünglichen Bericht von FireEye bringt. CVE-2017-0199 wurde von „mehreren Akteuren“ verwendet, um mindestens drei Arten von Malware zu verbreiten, beginnend mit FinSpy, Latentbot und Dridex. Der Fall von FinSpy ist besonders, da wir es auch als FinFisher kennen, eine Spyware, die von Dutzenden Regierungen weltweit verwendet wird.
Die ersten Opfer waren auf Russland und die Ukraine beschränkt, was ein gewisses Maß an Präzision in der Kampagne zeigte. Nachdem weitere Beweise gesammelt wurden, kontaktierte FireEye Microsoft, aber die Bestätigung durch McAfee am 7. April brachte das Fass zum Überlaufen und kündigte der ganzen Welt die Existenz des 0-day an. Zwei Tage später bot der Schwarzmarkt bereits Varianten an, die CVE-2017-0199 ausnutzten, um Dridex zu verbreiten. Die Angriffe verlagerten sich nach Australien und andere Länder, mit dem Ziel, Geld von Bankkonten zu stehlen. Die Ben-Gurion-Universität in Israel gab bekannt, dass mehrere seiner Mitarbeiter gehackt wurden „nach dem Patch“ von Angreifern, die mit der iranischen Regierung in Verbindung stehen, die offenbar die Kontrolle über ihre E-Mail-Konten übernahmen und die Verteilung bösartiger Dokumente auf über 250 Ziele ausweiteten. Die endgültige Zahl der Betroffenen und die Menge des gestohlenen Geldes sind unbekannt. Abgesehen davon, dass die Verzögerung gerechtfertigt sein mag, ist die Entwicklung einer universellen Plattform, die eine bessere Kommunikation zwischen unabhängigen Sicherheitsforschern und Unternehmen ermöglicht, unabdingbar.
