{"id":225783,"date":"2019-12-07T01:52:00","date_gmt":"2019-12-06T23:52:00","guid":{"rendered":"https:\/\/www.borncity.com\/blog\/?p=225783"},"modified":"2023-08-16T17:12:32","modified_gmt":"2023-08-16T15:12:32","slug":"dll-hijacking-in-autodesk-trend-micro-kaspersky","status":"publish","type":"post","link":"https:\/\/borncity.com\/blog\/2019\/12\/07\/dll-hijacking-in-autodesk-trend-micro-kaspersky\/","title":{"rendered":"DLL-Hijacking in Autodesk, Trend Micro, Kaspersky"},"content":{"rendered":"

Altes Thema neu aufgew\u00e4rmt: Sicherheitsforscher haben mal wieder kritische Schwachstellen in Produkten von Autodesk, Trend Micro und Kaspersky aufgedeckt. Diese laufen unter der Rubrik: Schwachstellen, die ein DLL-Hijacking erm\u00f6glichen. <\/p>\n

<\/p>\n

DLL-Hijacking, was ist das?<\/h2>\n

\"\"DLL-Hijacking<\/a> ist ein Angriffsmechanismus, der das Laden von Bibliotheksdateien (DLLs) aus einem vom Programm-Entwickler nicht vorgesehen Pfad bezeichnet. Verwendet der Entwickler keine vollst\u00e4ndige Pfadangabe zu der DLL, greift in Windows ein Standard-Mechnismus. Windows sucht dann die DLL standardm\u00e4\u00dfig zuerst in dem Ordner, aus dem das die DLL aufrufende Programm selbst gestartet wurde. <\/p>\n

DLL-Hijacking er\u00f6ffnet Malware die M\u00f6glichkeit, eigene DLLs in einem Pfad f\u00fcr eine Anwendung abzulegen. Diese DLLs wird dann durch die Anwendung geladen (und falls die keine Signaturen \u00fcberpr\u00fcft, auch ausgef\u00fchrt). Das ist dann vor allem bei Installern ein Problem, wenn diese aus einem Download-Ordner oder einem tempor\u00e4ren Ordner aufgerufen werden, wo jeder Schreibberechtigung hat. Da Installer anschlie\u00dfend mit Administrator-Berechtigungen ausgef\u00fchrt werden, erhalten geladene DLLs ebenfalls diese Berechtigungen. <\/p>\n

Unter Sicherheitsaspekten ist dieses Verhalten als Sicherheitsl\u00fccke zu betragen. Bei vielen Windows-Programmen ist dieser Mechanismus zu finden, und einer Anwendung kann per DLL-Hijacking leicht Schadcode in Form einer pr\u00e4parierten DLL-Datei untergeschoben werden \u2013 es sei denn, der Programmcode verhindert dies. <\/p>\n

\"Sicherheitsalarm <\/p>\n

Ich habe hier ein Test-Bett unter Windows, in dem ich pr\u00fcfen kann, ob ein Programm anf\u00e4llig f\u00fcr DLL Hijacking oder Sicherheitsprobleme ist. In dieser Testumgebung finden sich Module von Stefan Kanthak, die ggf. Alarm schlagen, wenn was nicht sauber programmiert ist (siehe auch mein Beitrag hier<\/a>). Leider sind extrem viele Programme anf\u00e4llig f\u00fcr DLL-Hijacking.<\/p>\n

Neue F\u00e4lle: Autodesk, Trend Micro, Kaspersky<\/h2>\n

Hier im Blog habe ich daher eine Reihe solcher F\u00e4lle bei verschiedenen Programmen thematisiert. Nun ist mir wieder ein solcher Fall unter die Augen gekommen, der gleich drei Produkte von Autodesk, Trend Micro und Kaspersky betrifft. Betroffen sind:<\/p>\n