Comretix Blog

Einen Online-Marktplatz, auf dem insbesondere Dienste zur Umgehung von Virenschutz angeboten wurden, hat das BKA am Dienstag dieser Woche vom Netz genommen. Die Strafverfolger haben in diesem Rahmen die Wohnung des mutmaßlichen Betreibers in Speyer (Rheinland-Pfalz) durchsucht. Dabei haben sie zahlreiche Beweismittel sichergestellt, die Rede ist von mehreren PCs und Laptops, Datenträgern und Mobiltelefonen.

Anzeige

Wer den kriminellen Online-Marktplatz aufsucht, erhält nun eine Meldung über die Beschlagnahmung der Seite.

(Bild: Screenshot)

Das BKA schreibt in einer Mitteilung, dass es auf der Plattform "AegisTools.pw" vorrangig um Dienste ging, um der Erkennung durch Antivirenprogramme zu entgehen. Sogenannte Cryptoren verschlüsseln ausführbare Dateien so, dass Virenscanner nicht mehr anschlagen, die Datei aber in der Regel ausführbar bleibt. Zum Angebot gehörte auch die Dienstleistung, die erzeugten Dateien gleich zu überprüfen, ob sie wirksam verschlüsselt und nicht mehr von Antivirensoftware erkannt wurden.

In Firewalls von Palo Alto Networks klafft eine kritische Sicherheitslücke, die bereits in freier Wildbahn angegriffen wird. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnt aktuell davor und empfiehlt Admins mit Palo-Alto-Firewalls, die vom Hersteller genannten Maßnahmen zu ergreifen.

Anzeige

Das BSI warnt aktuell sogar auf X / Twitter vor der Sicherheitslücke: Es gibt noch keinen Patch, IT-Verantwortliche sollen kurzfristig handeln. In einer PDF-Datei fasst das BSI den aktuellen Stand zusammen. Demnach warnt Palo Alto Networks vor einer aktiv ausgenutzten Schwachstelle im Betriebssystem PAN-OS der Firewalls.

In der GlobalProtect-Gateway-Funktion können Angreifer eine Befehlsschmuggel-Lücke zum Unterjubeln von Befehlen missbrauchen. Das gelingt ohne vorherige Authentifizierung aus dem Internet (CVE-2024-3400, CVSS 10.0, Risiko "kritisch"). Sofern GlobalProtect Gateway und die Telemetrie-Funktion aktiviert sind, sind die Versionen vor PAN-OS 10.2.9-h1, 11.0.4-h1 respektive 11.1.2-h3 für die Attacken anfällig. Ältere PAN-OS Versionen (9.0, 9.1, 10.0 und 10.1) sowie die Cloud-Software NGFW, Panorama Appliances und Prisma Access sind demnach nicht betroffen.

Palo Alto schreiben in ihrer Sicherheitsmitteilung, dass die korrigierten Firmware-Versionen im Laufe des 14. April, also dem kommenden Sonntag, erscheinen sollen. Bis dahin sollen Administratoren und Administratorinnen, die Threat Prevention abonniert haben, die Threat-ID 95187 aktivieren. Dabei sollen sie sicherstellen, dass der Schutz für das GlobalProtect-Interface aktiviert ist.

Durch eine neu entdeckte Sicherheitslücke im Linux-Kernel können Angreifer mit Zugriff auf ein System ihre Rechte erweitern und das System übernehmen. Funktionierende Test-Exploits für die Kernels aktueller Linux-Distributionen existieren bereits – die Lücke ist derzeit noch ungepatcht.

Anzeige

In den sozialen Netzwerken kursieren bereits seit Tagen Hinweise auf eine neue Sicherheitslücke im Kernel, die eine lokale Rechteausweitung (LPE: Local Privilege Escalation) erlaube, so recht kam die öffentliche Diskussion darüber jedoch nicht in Gang. Erst nach einer Anfrage der heise-Security-Redaktion auf der Mailingliste oss-security kam am späten Donnerstagabend die Bestätigung: Wahrscheinlich handelt es sich um eine Zero-Day-Lücke, also eine nicht behobene Sicherheitslücke in allen Kernelversionen.

Der oder die Entdecker des Fehlers – zur Urheberschaft später mehr – greifen im GSM-Subsystem des Kernels eine Wettlaufsituation (Race Condition) in der Funktion gsm_dlci_config an, die mit einigem Aufwand zu einer Root-Shell führt. Bedingung: Die GSM-Funktionen des Kernels müssen ebenso wie die Unterstützung für Xen-Virtualisierung aktiviert sein – und der Angreifer muss bereits über ein Nutzerkonto auf seinem Zielsystem verfügen, etwa nach Codeeinschleusung im Webserver.

Auf einer VM mit dem aktuellen Debian 12 läuft der Exploit problemlos und verschafft dem Angreifer Root-Rechte.