01.02.2004, 23:31
Zitat:oeffnen von gefaelschten Ordnern startet Programme unter XP
Auf der Mailingliste Full Disclosure hat ein Sicherheitsexperte mit dem Pseudonym http-equiv eine Schwachstelle in Windows XP gemeldet, mit der sich ausfuehrbare Dateien als Windows-Ordner tarnen lassen. Dazu reicht es aus, der Datei die Endung ".folder" hinzuzufuegen. Das urspruengliche Icon wechselt dann zum Ordnersysmbol. Ist dann noch im Windows Explorer die Option "Erweiterungen bei bekannten Dateien ausblenden" aktiviert, faellt die Taeuschung ueberhaupt nicht mehr auf.
Ein Doppelklick oeffnet dann nicht den Ordner, sondern fuehrt die Datei aus. Allerdings muss ein Angreifer dazu ein wenig rumtricksen, da sich normale EXE-Dateien so nicht starten lassen. Stattdessen steckt hinter dem vermeintlichen Ordner eine HTML-Datei mit etwas JavaScript, in der eine MIME-codierte EXE-Datei steckt. Die HTML-Datei fuehrt beim oeffnen die EXE mit den Rechten des Benutzers aus. Eine aehnliche Technik verwendete auch der Trojaner JS/StartPage.dr alias TrojanDropper/Mimail.b, ohne allerdings auf den Ordnertrick zurueckzugreifen.
Die Schwachstelle ist nicht nur auf die Ansicht im Windows Explorer beschraenkt. Auch in gezippten Dateien wird der gefaelschte Ordner angezeigt, sowohl beim XP-eigenen ZIP-Manager als auch mit Winzip. Der vorherige Blick in eine komprimierte Datei, um sich vor unliebsamen ueberraschungen zu schuetzen, reicht nun schon aus, um sich mit Schaedlingen und Dialern zu infizieren.
http-equiv hat ein Demo-Exploit dazu auf seiner Webseite veroeffentlicht. Eine Loesung fuer dieses Problem ist zur Zeit nicht bekannt. Anwender sollten komprimierte Dateien aus unbekannten Quellen nicht oeffnen.
Siehe dazu auch:
Posting auf Full Disclosure <a href='http://lists.netsys.com/pipermail/full-disclosure/2004-January/016115.html' target='_blank'>http://lists.netsys.com/pipermail/full-dis...ary/016115.html</a>
