News „SearchNightmare“: 0-Day-Exploit in der Windows-Suche nutzt Microsoft Word

[Web-Schecki]

Und wenn es mal Linux Viren gibt dann hat man das Problem dass es keine AV Guards gibt.
Und wenn ein Scanner etwas findet ist es dann genau deshalb meist schon zu spät.
Und bei Personal Firewalls sieht es auch düster aus.
Da wählt so gut wie jedes Programm nach draußen und niemand bekommt davon etwas mit.

Hier fehlen die Ironie-Tags. Oder meinst du das wirklich ernst?

 

[Oldathen]

Bei mir kam die Rückmeldung, dass Ihnen das Problem bewusst ist und man an einer Lösung arbeitet.

In dem Fall lautet die aktuelle Lösung vom Hersteller das man die Server vom Netz trennen soll bis der Patch da ist.. Ich glaube bei denen brennt seit einigen Wochen mehr als ein Baum.

 

[Cl4whammer!]

Oh cool, Windows 7 ist auch betroffen. Wird dort wohl auch nicht mehr gepatched.

Windows 7 sollte man eh nurnoch Offline verwenden, von daher irrelevant. Ist nicht die erste und letzte Sicherheitslücke die Windows 7 betrifft.

 

[ghecko]

Windows 7 sollte man eh nurnoch Offline verwenden, von daher irrelevant.

Sollte ≠ Ist.
Es gibt genug die einfach kein Bock auf Windows 10/11 haben und W7 als ihren Daily Driver auf das Netz loslassen.

 

[RedPanda]

Und wenn es mal Linux Viren gibt dann hat man das Problem dass es keine AV Guards gibt.
Und wenn ein Scanner etwas findet ist es dann genau deshalb meist schon zu spät.

Es gibt durchaus einige AV's, sowohl Open Source als auch Closed Source bzw. kostenlos oder gegen Bezahlung.
Ubuntu Community Help Wiki - Antivirus
Arch Wiki - List of applications/Security
Hab ich persönlich allerdings noch nie verwendet und bis jetzt auch noch nie einen Fall gehabt, bei dem das im nachhinein notwendig / hilfreich gewesen wäre.

Und bei Personal Firewalls sieht es auch düster aus.
Da wählt so gut wie jedes Programm nach draußen und niemand bekommt davon etwas mit.

Die Linux Distro's, welche ich bis jetzt verwendet habe, hatten alle, genauso wie Windows, eine Firewall. Nur eben keine grafische Oberfläche zum konfigurieren. Da muss man dann halt per Terminal ran und die Regeln selber definieren (-> iptables).
Wenn einem das zu umständlich ist, empfiehlt sich die Installation von 'ufw', welches das ganze massiv vereinfacht. Dazu kann man sich dann auch noch eine grafische Oberfläche installieren, falls gewünscht.

// Edit: Links hinzugefügt.

 

[NotNerdNotDau]

Ich hatte die Tage schon überlegt, ob ich nicht selbst einen Thread dazu eröffnen soll.
Schön, dass CB das Problem nun auch thematisiert hat.

Ich selbst war auf meinem System von einem Angriff betroffen und habe den Rechner deshalb neu aufsetzen müssen.

Was war passiert:
Als ich letzte Woche an einem meiner Excel-Dokumente arbeitete, öffneten sich plötzlich, wie aus dem Nichts hintereinander 6 leere Word-Dokumente.
Gesehen hatte ich die nur deshalb, weil die 6 Dateien sich nacheinander und in minimalisierter Form auf der Taskleiste präsentiert hatten.

Ich hatte die dann nacheinander geschlossen und über den Task-Manager überprüft, ob die entsprechenden Dienste auch beendet worden sind.
Waren sie nicht und das hatte mich dann doch misstrauisch werden lassen.

Dann stieß ich im Internet auf diverse Artikel, die das Problem aufgegriffen hatten. Was mich dann dazu gebracht hat, den Rechner komplett neu aufzusetzen.

Diese halbgaren Workarounds über die Registry oder GPO überzeugen mich nicht, denn es steht zu befürchten, dass sich solche Angriffe nicht verhindern lassen, nur weil man einen Schlüssel gelöscht hat.

Ich halte solche Empfehlungen grundsätzlich für fragwürdig, weil die, vor allem für unerfahrene Benutzer, ein falsches Gefühl von Sicherheit suggerieren könnten.

 

[NotNerdNotDau]

Noch ein Hinweis, hatte ich oben in dem Beitrag vergessen:

Ich hatte mit dem Defender eine intensive Prüfung durchlaufen lassen und es wurden keine Bedrohungen gefunden.
Danach wollte ich einen Prüfung über den Microsoft Defender Offline durchführen lassen.
Diese Funktion scheint deaktiviert zu sein, denn nach dem Start kam der Kontext und nach dem Klick auf Ok wurde die Prüfung nicht in Gang gesetzt.

Ich dachte zu dem Zeitpunkt, dass das System wohl doch kompromittiert sein muss, doch nach dem Neuaufsetzen des BS funktioniert die Defender-Offline-Funktion auch nicht.

Noch ein Punkt:

This social engineering technique requires a user to run a malicious document and interact with a list of executables from an attacker specified network share. We recommend users practice safe computing habits and to only open files that come from trusted sources.

Microsoft

Das ist zwar nicht falsch, worauf Microsoft da hinweist, aber in dem aktuellen Fall ist die Empfehlung nicht zielführend.
Denn auch ohne dass der Benutzer aktiv eine Datei, egal aus welcher ominösen Quelle die auch stammen mag, öffnet, wird die Attacke ja offensichtlich gestartet.
Ich hatte die 6 leeren Word-Dateien ja definitiv nicht selbst gestartet.

Das muss schnell gefixt werden, ansonsten könnten vor allem die Unternehmen, die die Produkte von Microsoft einsetzen, so richtig heftige Probleme bekommen.

 

[lemba]

Die Liste der Sicherheitslücken ist aktuell unter Linux länger als bei Windows.. Das Gras ist da nicht wirklich grüner..

Quelle?

 

[KJQm8v]

Naja bei Linux ist es auch nicht immer optimal gelöst.
Einige Distris wollen das ROOT Passwort und andere wiederum das USER Passwort um Root Rechte zu bestätigen.
Und ja auch wenn man dem ROOT ein anderes Passwort vergeben hat.

Im Auge des Betrachters. Kann man sogar unter Debian aushebeln.

 

[SIR_Thomas_TMC]

Mal abgesehen davon, dass ich nie Dokumente von unbekannten Absendern öffne. Wenn ein registry Eingriff das Problem bannt (als workaround) warum zum Geier wird das nicht als hotfix über windows update ausgeliefert? Man ist doch sicher in der Lage, das zu erkennen und so einzudämmen. Wer die Funktionalität unbedingt braucht, wird sich sicher mit dem zurückändern behelfen können. Aber so nimmt man dieser Angriffsmöglichjeit schon mal die Wucht.

Ergänzung (4. Juni 2022)

Quelle?

Gefühl

 

[cbtestarossa]

Also gratis AV Guards mit GUI für Linux sind Mangelware.
Und wenn es mal was gibt dann läuft es nur mit Kernal x etc.
Commodo scheint jetzt ne Free Variante anzubieten aber kein Plan wie das Teil daherkommt.

IP-Tables selbst mit UFW ist auch nicht das was ich unter einer PFW verstehe.
Da meldet nichts von selbst oder fragt was der Nutzer im Falle einer Rauswahl für Regel möchte.
Zumindest war das noch so als ich es zuletzt mal getestet hatte.

Am Desktop herrschen eben andere Anforderungen vor.

 

[dh9]

Wer als Windows User fuer Linux Virenscanner fordert, hat den Knall nicht gehoert.

AV Scanner sind unter Windows weder empfehlenswert noch erhoehen sie die Sicherheit des Systems. Eher erhoehen sie den Angriffsvektor. Der Defender reicht hier vollkommen aus. Natuerlich sollte man sein Gehirn dabei nicht abschalten. Und wer keine Ahnung von Windows und dessen Makeln hat, sollte evtl. einfach nicht online gehen?

Ein System auf Verdacht neu aufzusetzen, das kann auch nur Windows Usern passieren. Warum nimmt man die Kiste nicht vom Netz und prueft, was genau passiert ist? Ob der Rechner wirklich infiziert ist? Hat man die 6 Worddokumente evtl. versehenlich selbst geoeffnet?
Weil man keine Ahnung hat, wo man unter Windows schauen muss? Evtl. mal etwas mit dem System vertraut machen?

Und ja, der "Fix" den Registry Wert zu loeschen hilft natuerlich, da Word dann nicht mehr weiss, wie es mit dem Handler umgehen muss. Aber dazu muss man halt das OS verstehen. Zugegeben, bei Windows mtwl. nahezu unmoeglich :-)

 

[NotNerdNotDau]

Ein System auf Verdacht neu aufzusetzen, das kann auch nur Windows Usern passieren. Warum nimmt man die Kiste nicht vom Netz und prueft, was genau passiert ist?

Warum den Aufwand? Für mich ist ein Neuaufsetzen keine große Sache.
Das mag bei Linux-Usern aufwändiger sein. Das ist halt der Vorteil, wenn man Windows verwendet.

Natuerlich sollte man sein Gehirn dabei nicht abschalten. Und wer keine Ahnung von Windows und dessen Makeln hat, sollte evtl. einfach nicht online gehen?

Sei nicht so herablassend!

Hat man die 6 Worddokumente evtl. versehenlich selbst geoeffnet?

6 Dokumente "aus Versehen" selbst geöffnet? Ist das dein ernst?
Sei nicht so herablassend!

Weil man keine Ahnung hat, wo man unter Windows schauen muss? Evtl. mal etwas mit dem System vertraut machen?

Wo nimmst du eigentlich diese Arroganz her?
Sei nicht so herablassend!

Und ja, der "Fix" den Registry Wert zu loeschen hilft natuerlich, da Word dann nicht mehr weiss, wie es mit dem Handler umgehen muss.

An dieser einen Stelle hilft das vielleicht.
Aber wenn man davon ausgeht, dass es sich bei den Angreifern nicht um irgendwelche Hacker-Kiddies, die sich nur einen üblen Scherz erlauben, handelt, sondern um Profis, dann finden solche Angriffe nicht nur an einer Stelle statt.
Dann ist ein solcher Registry-Eingriff genauso effektiv, wie ein einziges kleines Pflaster auf einen Körper mit mehreren Einschusswunden zu pappen.

Aber dazu muss man halt das OS verstehen. Zugegeben, bei Windows mtwl. nahezu unmoeglich :-)

Warum muss man das OS verstehen?
Nur weil du nichts anderes zu tun hast, als nur vor dem PC zu hocken und dann im Internet neunmalkluge Kommentare abzulassen?

Komm mal wieder runter von deinem hohen Ross. Ich halte dich nicht, nur weil du Linux nutzt, für einen Experten. Linux-Nutzer, die wirklich Ahnung haben, lassen nicht derartige dämlichen Sprüche ab und halten sich nicht für die Größten.

 

[cloudman]

Ein System auf Verdacht neu aufzusetzen, das kann auch nur Windows Usern passieren. Warum nimmt man die Kiste nicht vom Netz und prueft, was genau passiert ist? Ob der Rechner wirklich infiziert ist?

Super Ratschlag - wenn man dann etwas übersieht geht's munter weiter.
Es ist gängige Praxis bei einer Infektion denn Rechner neu zu installieren.
Ausser natürlich man ist der Superheld der immer alles findet

 

[DonSerious]

Habe die gleiche Frage vermutlich schonmal gestellt als PrintNightmare aktuelles Problem war (bzw. ist?). Ist doch bis heute ebenfalls nur über Workaround via Gruppenrichtlinie gelöst oder irre ich mich?

Jedenfalls...
Zum produktiven Arbeiten nutze ich aus diversen Gründen kein Windows mehr. Aber wenn es ums Gaming geht kommt man weitestgehend nicht dran vorbei. Sprich ich nutze meinen PC lediglich für Gaming und verwende auch keinen Browser mehr um eben genau das zu unterbinden. Programme werden natürlich darüber geladen aber mehr nicht. Ist man jetzt schon so weit dass man mit Programmen wie Steam, Origin und Uplay dennoch einfach so durch eine derartige Lücke ohne bewusstes Handeln sich etwas einfangen kann? Ich spreche hier nur vom Gaming über diese Clienten und maximal Teamspeak.

Kann ich heutzutage nicht einmal mehr das auf einem Windows PC gemütlich und unbesorgt tun?

Gruss

 

[NotNerdNotDau]

Wenn ein registry Eingriff das Problem bannt (als workaround) warum zum Geier wird das nicht als hotfix über windows update ausgeliefert?

Weil das Deaktivieren der betroffenen Funktionen nur eine Übergangslösung und keine Dauerlösung sein kann.

 

[BrollyLSSJ]

Und wie viele der aktuellen Win7 Nutzer werden das tun, so prozentual gesehen? Knacken die die 1%?

Darum ging es mir gar nicht. Ich wollte lediglich ausdrücken, dass es noch Sicherheitsupdates gibt. Für Ottonormal sind die allerdings eh nicht zugänglich. Die gibt es nur für Firmenkunden und ist mit jedem Jahr noch teurer. "Schuld" ist allerdings dann nur allgemein Microsoft, weil die diese bezahlten Updates nicht für Otto-Normal anbieten. Hier im Forum habe ich ein paar mal gelesen, dass die Leute die Updates gerne gegen Geld kaufen würden, dies aber nicht können, weil es nie angeboten wurde.

 

[DKK007]

Hat der Workaround irgendwelche Nachteile oder kann man den bedenkenlos auf allen Systemen präventiv nutzen?

Darum ging es mir gar nicht. Ich wollte lediglich ausdrücken, dass es noch Sicherheitsupdates gibt. Für Ottonormal sind die allerdings eh nicht zugänglich. Die gibt es nur für Firmenkunden und ist mit jedem Jahr noch teurer. "Schuld" ist allerdings dann nur allgemein Microsoft, weil die diese bezahlten Updates nicht für Otto-Normal anbieten. Hier im Forum habe ich ein paar mal gelesen, dass die Leute die Updates gerne gegen Geld kaufen würden, dies aber nicht können, weil es nie angeboten wurde.

Ich sage mir, ein Jahr muss der Win7 PC noch durchhalten. Dann ist er 10 Jahre alt und kann durch einen neuen mit Win11 ersetzt werden.
In der Hoffnung, dass bis dahin die Preise wieder fallen und man für 300€ einen i7 bekommt.

 

[MountWalker]

[...]
Ich sage mir, ein Jahr muss der Win7 PC noch durchhalten. Dann ist er 10 Jahre alt und kann durch einen neuen mit Win11 ersetzt werden.
[...]

Upgrade auf Windows 10 geht nicht, weil ...?

Ergänzung (5. Juni 2022)

[...] Das ist zwar nicht falsch, worauf Microsoft da hinweist, aber in dem aktuellen Fall ist die Empfehlung nicht zielführend.
Denn auch ohne dass der Benutzer aktiv eine Datei, egal aus welcher ominösen Quelle die auch stammen mag, öffnet, wird die Attacke ja offensichtlich gestartet.
[...]

Du kannst dir nur von dem, was du beobachtet hast, überhaupt nicht sicher sein, dass das nur weil iorgendwo Word-Dokumente auftauchten tatsächlich die Lücke aus der News betrifft.

P.S.
Oder klarer ausgedrückt: Wenn irgendeine Lücke in irgendeinem Programm das Laden und Öffnen irgendwelcher Dateien erlaubt, dann lassen sich so auch Word-Dateien* auf den Rechner laden - das ist nicht die Word-Lücke, sondern die Lücke in entsprechendem Programm.

*natürlich nicht nur Word-Dateien,. sondern auch Exe-Dateien, ps-"Dateien" , JPEG-Dateien, usw. usf.

 

[SIR_Thomas_TMC]

Weil das Deaktivieren der betroffenen Funktionen nur eine Übergangslösung und keine Dauerlösung sein kann.

Und deswegen lässt man die Lücke lieber ganz auf? Ist nicht wirklich logisch... Kann dann ja mit der Dauerlösung wieder rückgängig gemacht werden. Sicherheitsmäßig für mich so nicht sinnvoll.