Angriff per Zip-Datei14. Jan 2004 10:21 Aus komprimierten Dateien lassen sich Gigabyte-große «Programmbomben» erstellen, warnt eine IT-Sicherheitsfirma. Virenscanner sind nur schlecht vorbereitet.
Aerasec, eine IT-Security-Spezialfirma aus Hohenbrunn, hat auf ein neues Sicherheitsrisiko hingewiesen, das die in Zeiten von Trojanern und Würmern so wichtigen Virenscanner ausschalten könnte. So genannte «Programmbomben», die aus komprimierten Dateien bestehen, können demnach für einige Schutzprogramme von Kaspersky, Trend Mico, McAfee sowie womöglich weiteren Anbietern gefährlich werden.
Einfacher Trick
Der Trick ist recht simpel: Der Angreifer verpackt eine sehr große Datei, die aus sich immer wieder wiederholenden Strukturen besteht, in ein Kompressionsformat. Damit wird aus einer beispielsweise zwei Gigabyte großen Datei ein nur wenige Hundert Kilobyte großes Dokument, dass sich problemlos per E-Mail verschicken lässt. Packt nun ein Anti-Viren-Programm diese Datei in ihrer vollen Gigabyte-Größe aus, um sie nach Schädlingen zu durchsuchen, hat sie viel zu tun: Hundertfach abgeschickt, können die «Programmbomben» ein Scannersystem schnell überlasten - so läuft womöglich die interne Festplatte voll.
Aus klein wird groß
Betroffen ist derzeit vor allem die Linux-Kompression «bzip2», aber auch reguläre Zip-Dateien sollen durch nachträgliches Bearbeiten für «Programmbomben» nutzbar sein. Das Problem: «bzip2» gibt vorab nicht an, wie groß die komprimierte Datei ausgepackt tatsächlich ist. Virenscanner müssen sie dekomprimieren. Die von Aerasec überprüften Programme hörten mit dem Auspacken aber selbst dann nicht auf, als die Datei sich als besonders groß erwies - die Systeme wurden überlastet.
Firmennetze betroffen Zip-Dateien enthalten zwar Größeninformationen, aus denen ein Virenscanner schließen kann, dass eine Datei sehr groß und damit gefährlich ist (sie wird dann isoliert) - doch diese Informationen sollen sich vorab fälschen lassen. Wird ein Virenscanner zum Überprüfen des Maileinganges in einem Firmennetz genutzt, kann bei Überlastung schnell die Postzustellung zusammenbrechen. Virenscanner-Hersteller sind von Aerasec über das «Programmbomben»-Problem informiert worden.
Für das Web ediert von Ben Schwan |
Berlin 18°
Hamburg 17°
Frankfurt 19°