Gelber Alarm für den Internet Explorer

aus heise.de

Das Internet Storm Center (ISC) erhöht zum ersten Mal seit langem die Gefahrenstufe (Threat Level) für den Internet Explorer auf gelb : Die Sicherheitsexperten hätten Anzeichen dafür, dass die vorige Tage bekannt gewordene Sicherheitslücke schon seit August für Exploits genutzt werde und dass bald ein Metasploit-Modul erscheinen werde, mit dem jedermann die Lücke leicht ausnutzen könne.

Abhilfe schafft ein Fix-it-Hotpatch von Microsoft, den Nutzer des Internet Explorer sofort einspielen sollten. Microsoft will einen vollen Patch am nächsten Patch-Day im Oktober nachliefern.

Das ZDNet schreibt dazu:

Das Sicherheitsunternehmen FireEye hat Details zu der kürzlich bekannt gewordenen Zero-Day-Lücke in Microsofts Internet Explorer veröffentlicht. Sie wurde demnach für zielgerichtete Angriffe auf Firmen in Japan ausgenutzt. Wie Computerworld berichtet, begann die Kampagne schon vor etwa einem Monat. Teile der verwendeten Schadsoftware wurden sogar schon am 19. August kompiliert, also rund vier Wochen, bevor Microsoft die Öffentlichkeit über die Anfälligkeit informierte.Die Angreifer nutzen die ungepatchte Schwachstelle in Microsofts Browser, um Schadprogramme auf betroffenen Rechnern zu installieren. Bei den Hintermännern soll es sich um dieselbe Hackergruppe handeln, die bei einem Einbruch in die Systeme von Bit9 im Februar 2013 diverse Sicherheitszertifikate erbeutete, um Malware als legitime Software auszugeben und in die Netzwerke von Bit9-Kunden einzudringen.
Die Analyse von FireEye hat das Internet Storm Center (ICS) indes zum Anlass genommen, die allgemeine Gefahrenstufe für das Internet auf “gelb” hochzusetzen, was für eine “bedeutende neue Bedrohung” steht. Es gebe immer mehr Anzeichen dafür, dass Exploits für die ungepatchte Schwachstelle im Internet Explorer im Umlauf seien, schreibt die Organisation auf ihrer Website.
Das ICS erwartet zudem, dass schon bald eine Version des Exploit-Kits Metasploit veröffentlicht wird, die Schadcode für die Zero-Day-Lücke in IE enthält. Ende vergangener Woche hatte HD Moore, Chief Security Officer von Rapid7 und Herausgeber von Metasploit, laut Computerworld erklärt, bisher sei kein Exploit-Modul für den Browserfehler zu Metasploit hinzugefügt worden.
Microsoft selbst hatte am 17. September vor der Anfälligkeit gewarnt. Betroffen sind alle Versionen des Internet Explorer, vom mehr als zwölf Jahre alten IE6 bis zum noch unveröffentlichten IE11. Da bisher kein Patch zur Verfügung steht, bietet der Softwarekonzern als Behelfslösung ein sogenanntes Fix-it-Tool an, das vor den Auswirkungen eines Angriffs schützen soll.
Der nächste reguläre Microsoft-Patchday findet am 8. Oktober statt. Nach Angaben des Unternehmens ist ein Fix bereits in Arbeit. Möglicherweise wird es das Update aber auch außer der Reihe veröffentlichten.

Wir sollten unsere Anstrengungen verstärken, den Internet Explorer verzichtbar zu machen.