Nieuwe exploit in Flash-player direct misbruikt -- update

Dit is geen bug, Adobe heeft Flash 'scripting' mogelijkheden behoorlijk uitgebreid.

Met een code-morpher kun je virusscanners heel gemakkelijk om de tuin leiden hoor...

Aangezien er nog maar weinig 100% goede Heuristic scanners bestaan, is het wel degelijk zeer gemakkelijk om tegenwoordig een nieuw virus te installeren. Alle bescherm methodes zijn openbaar, de virus schrijver draait dus gewoon een systeem met Kaspersky, NOD32, AVG, Trend-Micro, F-Secure, etc, etc en probeert allemaal kleine aanpassingen uit.

Vaak is een kleine aanpassing al voldoende, omdat daarmee de "virus signature" niet meer klopt waardoor de anti-virus scanner het virus al niet meer herkent. Alleen via Heuristic scannen kan de AV software "iets" doen, maar dat is verre van ideaal en wordt soms uitgeschakelt door de vele "false-positives" die het kan veroorzaken.

Maar de fout is al nu dus opgelost door Adobe, versie 9,0,124,0 kan al een tijdje worden gedownload. Waar Adobe goed aan zou doen is een automatische update inbouwen in flash, want dit is nu dus al de 3rde gevaarlijke 0-day exploit in Flash en het vereist nog steeds een aktie van de gebruiker zelf om te controleren.

Internet Explorer gebruikers hebben dan wel het voordeel dat via de <object> methode een versie nummer kan worden meegegeven om aan gebruikers van andere websites te laten zien dat ze een verouderde versie gebruiken (en dus geen apart bezoek aan adobe.com nodig is). Echter de meeste websites laten dat achterwegen of geven een zeer oude versie aan als minimale ondersteuning voor de gebruikte Flash technieken.

Zou eventueel een idee zijn voor Tweakers.net om voor IE gebruikers de allerlaatste Flash versie te forceren en wat meer actief meehelpen aan een veiliger internet. Via een simpel PHP script kan je via cURL de allerlaatste versie van Flash achterhalen van de adobe.com website en deze toevoegen aan de <object> code die door http://tweakimg.net/x/swfobject.js gegenereerd wordt via de SWFObject functie. De adobe.com scan kan dan gewoon via een cron worden gedaan elke 12 uur ofzo.

flash heeft een hole. waardoor er onopgemerkt software op je pc gezet kan worden

Als ik het verhaal goed begrepen heb, is het inderdaad flash die die software installeert. Anders heeft het ook weinig zin om door te moeten linken naar een flash op een bepaald domein.

waar malware in de vorm van Flash-scripts is geplaatst. Deze kwaadaardige code installeert vervolgens ongemerkt een keylogger.

Die foute Chinese Flash applicaties doen het smerige werk dus.

Ze maken gebruik van flash om toegang tot je systeem te krijgen waar ze eigenlijk niet bij zouden kunnen. Flash is hier dus de oorzaak, met als gevolg dat je software kunt installeren.

flash is de oorzaak en met behulp van een flash script wordt rommel geïnstalleerd...

Ik snap het ook niet helemaal. Iedere website kan toch linken (hard, deep, whatever) naar een bron van malware? En als dat zichzelf dan zonder toestemming installeert heb je geen flash-bug maar gewoon een security probleem.

[Reactie gewijzigd door blorf]

Klopt. Meeste websites die aangevallen worden zullen dus ook Content Management Systemen en forums zijn.

Het gaat niet om het hacken van de server, maar om het doorverwijzen naar een andere site zodat jouw eigen computer wordt voorzien van niet-al-te-leuke software.

Het zou, als ik het zo lees, werkt het op elke site waarvan de koppeling met SQL in Flash niet goed is geschreven. Waardoor men dus de inhoud van de site kan aanpassen, en gebruikers ongemerkt door kunnen laten sturen naar hun sites, waar via bovengenoemde versies van Flash malicious software wordt geinstalleerd.

[Reactie gewijzigd door AndriesLouw]

IMHO Moet je het anders zien.

Er word gebruik gemaakt van een SQL Injectie om een besmette flash file op een site te tonen. Vervolgens worden de bezoekers van die site besmet door die flash file.

Het zijn dus 2 op zich staande problemen. Deze flash bug heeft NIKS te maken met SQL injectie.

rechter muisknop op een flash object en dan "about adobe flash player"

een kennis van mij (een niet onervaren "beveiligings expert") kijkt uit naar de vele achterdeurtjes in silverlight die wagenwijd voor hem openstaan. In de beta toen althans nog wel . Volgens hem zou microsoft in dat geval dus liegen.

[Reactie gewijzigd door ThePiratemaster]

ghaha ik moest ook meteen aan Silverlight denken, maar dan dat dat nog 10x brakker zal zijn

Je kunt het volgende aan je hosts-file (C:\Windows\System32\drivers\etc\hosts) toevoegen om de gewraakte sites te blokkeren:

127.0.0.1 wuqing17173.cn
127.0.0.1 woai117.cn

Let op dat je hiermee niet de gewraakte sites zelf blokkeert maar alleen de DNS entries. Indien een andere naam gebruikt wordt om de site aan te roepen (of direct via IP-adres) dan kan de exploit alsnog geïnstalleerd worden.

De (meer universeel aangeduide) locatie van het hosts-bestand is: %WINDIR%\system32\drivers\etc\hosts

"For Internet Explorer users, uninstalling Flash Player is the best remedy. Adobe offers a standalone uninstaller to remove the program. According to Symantec, setting the kill bit for ClassID d27cdb6e-ae6d-11cf-96b8-444553540000 until an update is available will also help to protect from attacks. IE users can also, however, block execution of Flash objects and consign the browser to a sandbox using the c't IE Controller (German language page) which should also work for English language users."

bron: heise-online

[Reactie gewijzigd door GetaGrip]

Vista only

Waarschijnlijk wel. Probeer het zou ik zeggen

UAC bedoel je zeker
nou.. UAC houd alleen tegen dat je op onbevoegde plaatsen dingen kan aanpassen, zoals in de program files, windows, en de program data. ook in de registry kan je dan niks aanpassen in HKLM als iets niet met admin rechten is gestart, dus als het probeert te installeren in de windows map of in de program files, werkt het natuurlijk niet

als het ergens anders installeert werkt het wel, maar dan is het ook heel makkelijk te verwijderen omdat het niet diep in je systeem nestelt