Bilddateien bedrohen Windows-PCs

Schon das Surfen auf Webseiten, die mit bestimmten Grafikdateien im WMF-Format präpariert sind, soll Rechner infizieren. Experten warnen vor dem womöglich grössten Sicherheitsloch in Windows-Betriebssystemen überhaupt.

Am 28. Dezember tauchten die ersten Meldungen über Grafikdateien auf, die in der Lage sein sollen, Windows-PCs zu infizieren. Eine bis dahin unbekannte Lücke in dem Betriebssystem soll es manipulierten WMF-Dateien ermöglichen, Spyware oder Trojaner auf dem betroffenen Rechner einzunisten. Das WMF-Format, WMF steht dabei für Windows Metafile, wurde von Microsoft speziell für Vektorgrafiken entwickelt.
[M] AP; DPA; SPIEGEL ONLINE
Bild als Falle: Schon das blosse Betrachten kann zur Infektion des Rechners führen
Anfangs schien es sich um eine der vielen kleineren Sicherheitslücken zu handeln, die immer wieder bekannt werden. Doch offenbar wurde das Schadenspotential der präparierten WMF-Dateien unterschätzt. "Es ist möglicherweise die grösste bisher bekannte Sicherheitslücke", sagte Mikko Hyppönen vom Antivirenspezialisten F-Secure der Zeitung "Financial Times".

Mittlerweile sollen bereits Dutzende Exploits im Web kursieren, die die Lücke ausnutzen. "Wir haben derart Bösartiges noch nicht gesehen", sagte Hyppönen. Alle ab 1990 ausgelieferten Windows-Versionen seien betroffen.

Eines der ersten Exploits stellte eine Mail-Grusskarte "Claudia" dar, in der ein Link zu einer präparierten Seite enthalten war. Wer dem Link folgte, öffnete eine WMF-Datei, die den Rechner unter Umständen sofort infizierte, vor allem wenn mit dem Internet Explorer gesurft wurde. Obwohl seit Bekanntwerden der Lücke erst wenige Tage vergangen sind, sollen bereits Dutzende präparierte WMF-Dateien in Umlauf sein.

Ein Sicherheitsupdate der Firma Microsoft, das die Lücke schliessen könnte, ist derzeit nicht verfügbar. "Microsoft untersucht zurzeit neue öffentliche Meldungen über eine mögliche Sicherheitsanfälligkeit in Windows", heisst es lapidar auf der Sicherheitsseite des Unternehmens.

Microsoft sei bekannt, dass ein "ausführlicher Angreifercode" veröffentlicht wurde, der es dem Angreifer ermöglichen könne, "einen beliebigen Code im Sicherheitskontext des angemeldeten Benutzers auszuführen", wenn dieser eine Website mit einer speziell gestalteten WMF-Grafik besucht.

"Ein Angreifer kann Benutzer zum Besuch einer Website nicht zwingen", betont Microsoft. Der Angreifer müsse den Benutzer zu einem Besuch dieser Webseite verleiten. "Zu diesem Zweck wird der Benutzer normalerweise dazu gebracht, auf einen Link zur Site des Angreifers zu klicken", heisst es weiter. Woran man einen Link erkennt, der von einem Angreifer stammt, erklärt das Unternehmen freilich nicht. Und auch nicht, warum eine solch gefährliche Lücke nicht längst geschlossen wurde.

Der einzige Tipp, den Microsoft momentan geben kann, ist dieser: vorsichtig beim Öffnen von E-Mail-Nachrichten "aus unbekannter Quelle und beim Klicken auf darin enthaltene Links" zu sein. Zudem wird empfohlen, eine Firewall zu aktivieren, regelmässig die Software zu aktualisieren und eine Virenschutzsoftware zu installieren.

Der russische Programmierer Ilfak Guilfanov hat unterdessen das getan, was man eigentlich von Microsoft erwarten müsste: ein Sicherheitsupdate zu schreiben und zu veröffentlichen. Dieser Patch wurde mittlerweile auch vom SANS Internet Storm Center getestet und für gut befunden.