Speziell präparierte PDF-Dateien, die eine Zero-Day-Lücke im Google-Browser Chrome ausnutzen, wurden von dem Sicherheitsanbieter EdgeSpot entdeckt. Daten von Nutzern, die die fragliche PDF-Datei mit dem in Chrome integrierten PDF-Viewer öffnen, können durch die Anfälligkeit gesammelt werden.

Die schädlichen Dokumente rufen unter anderem Daten wie IP-Adresse, OS-Version, Browserversion und den Speicherpfad der PDF-Datei ab. Anschließend werden die Informationen an einen Server im Internet übertragen. Diese kann von Hackern ausgenutzt werden, um zielgerichtete Angriffe zu planen und auszuführen.

Die Forscher entdeckten die Zero-Day-Lücke, weil das PDF-Dokument dieses Verhalten nicht zeigte, nachdem es in einer PDF-Desktopanwendung geöffnet wurde. Das Problem trat stattdessen nur in Chrome auf. Zudem stellten die Forscher bei ihren Untersuchungen fest, dass bereits zwei Versionen der schädlichen PDF-Dateien in Umlauf gebracht wurden. Im Oktober 2017 begann die erste Kampagne, die zweite im September 2018. Jedoch kamen bei beiden Angriffswellen unterschiedliche Befehlsserver im Internet zum Einsatz.

Ende Dezember 2018 wurde den Forschern zufolge Google über das Problem informiert – kurz nachdem sie die schädlichen PDF-Dokumente gefunden hatten. Das Chrome-Team habe den Bug bestätigt und einen Fix für Ende April angekündigt.

„Wir haben uns entschieden, unsere Ergebnisse vor dem Patch zu veröffentlichen, weil wir es für besser halten, den betroffenen Benutzern eine Chance zu geben, über das potenzielle Risiko informiert zu werden, da die aktiven Exploits/Samples in Umlauf sind, während der Patch noch in weiter Ferne liegt“, schreiben die Forscher in einem Blogbeitrag. Sie beschreiben darin auch, wie Nutzer erkennen können, ob sie bereits Opfer einer schädlichen PDF-Datei wurden.

EdgeSpot rät, solange es keinen Patch gibt PDF-Dateien grundsätzlich mit einer Desktop-Anwendung und nicht mit Chromes PDF-Viewer zu öffnen. Nutzer sollen andernfalls vor dem Öffnen einer PDF-Datei in Chrome die Internetverbindung trennen.

Weiterhin ist das PDF-Format ein beliebtes Ziel von Cyberkriminellen, da es praktisch auf allen Betriebssystemen zum Einsatz kommt. Dass sich die digitalen Signaturen von PDF-Dateien fälschen lassen, war Anfang der Woche bekannt geworden. Die meisten Desktop-Anwendungen sowie Online-Dienste für das Signieren von PDF-Dateien sind davon betroffen.

(jf, hannover)

(siehe auch zdnet.de:)

Hannover · EDV-Beratung · Linux · Novell · Microsoft · Seminar · IT-Consult · Netzwerk · LPIC · CLE