Microsoft Silverlight: Kaspersky Lab warnt vor gefährlicher Zero-Day-Lücke

Aufmerksam auf die Lücke in Microsofts Silverlight, die möglicherweise aus dem Jahr 2013 stammt, wurde Kaspersky im Juli 2015. In Unterlagen, die dem Spyware-Hersteller Hacking Team gestohlen wurden, fanden sich erste Hinweise auf die Schwachstelle. Microsoft verteilt seit Dienstag einen Patch.

von Anja Schmoll-Trautmann am 14. Januar 2016, 15:30 Uhr

Die gefährlichen Zero-Day-Lücke in Microsoft Silverlight, vor der Kaspersky Lab warnt, ermöglicht einem Angreifer unter Umständen, die vollständige Kontrolle über ein betroffenes System zu erlangen. Er kann dann beispielsweise Schadcode installieren, persönliche Informationen stehlen oder die Aktivitäten eines Nutzers überwachen. Microsoft verteilt seit Dienstag einen Patch für die fragliche Anfälligkeit mit der Kennung CVE-2016-0034.

Kaspersky wurde im Juli 2015 durch einen Artikel von Ars Technica auf die Schwachstelle in Silverlight aufmerksam. Der Blog berichtet darin über Details aus den Unterlagen, die dem italienischen Spyware-Hersteller Hacking Team im vergangenen Jahr entwendet worden waren. Unter anderem zitierte Ars Technica aus einer E-Mail des russischen Hackers Witali Toropow von Oktober 2013, in der er Hacking Team einen Zero-Day-Exploit für Microsoft Silverlight anbot.

„Dieser Teil der Geschichte weckte sofort unser Interesse. Ein vor mehr als zwei Jahren geschriebener Exploit für Microsoft Silverlight, der vielleicht überlebt hat? Falls das wahr wäre, dann wäre es ein schwerwiegender Fehler mit einem hohen Potenzial, viele wichtige Ziele erfolgreich anzugreifen“, schreibt Kaspersky. Silverlight integriere sich nicht nur in Internet Explorer, sondern auch in Mozilla Firefox, was einen „ziemlich großen“ Angriffsvektor ergebe.

Um den Exploit für die unbekannte Silverlight-Lücke zu finden, analysierte Kaspersky darauf hin andere bekannte von Toropow geschriebene Exploits. Erste Anhaltspunkte hätten Kasperskys eigene Erkennungssysteme schließlich im November 2015 geliefert. Ein Muster dieses Exploits sei nur Stunden später zu einem Multiscannner-Service der Demokratischen Volksrepublik Laos hochgeladen worden, heißt es weiter in Kasperskys Blogeintrag. Die Untersuchung dieser Datei habe schließlich bestätigt, dass es sich um eine unbekannte Zero-Day-Lücke in Silverlight handele.

„Eine der größten Fragen bleibt, ob es sich um Witali Toropows Zero-Day-Lücke handelt, die er an Hacking Team verkaufen wollte. Oder ist es eine andere?“, ergänzte Kaspersky. Diese Frage lasse sich aber nicht abschließend beantworten. „Eines ist aber klar – die Welt ist nach der Entdeckung und Beseitigung dieser Lücke ein bisschen sicherer.“

Das Silverlight-Update MS16-006 verteilt Microsoft sei Dienstag. Es steht für Silverlight 5 und Silverlight 5 Developer Runtime für Windows und Mac OS X zur Verfügung. Microsoft zufolge erlaubt die Lücke CVE-2016-0034 beim Besuch einer speziell präparierten Website das Einschleusen und Ausführen von Schadcode.

[mit Material von Stefan Beiersmann, ZDNet.de]

Tipp: Was wissen sie über Microsoft? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.