Sicherheitsproblem: Hacker infizieren ASUS-Rechner über WebStorage
Hacker nutzten Sicherheitslücken eines ASUS-Installers, um Trojaner gezielt auf Rechnern einzuschleusen. Sie hatten es vermutlich durch einen Man-in-the-middle-Angriff geschafft, den mangelhaft geschützten ASUS-Updater so zu manipulieren, sodass dieser mit Software-Updates einen Trojaner installiert. Als Reaktion nahm ASUS die Server seines Cloud-Speicherdienstes WebStorage vom Netz, um die Schwachstelle in dem System zu schließen. Mehrere Nutzen hatten sich allerdings bereits über den Installer mit Malware infiziert.
Die Firma Eset hatte den Angriff entdeckt und vermutet hinter der Attacke die BlackTech Group, die die eingesetzte Malware mit dem Namen Plead schon seit 2012 einsetzt. Nach neusten Erkenntnissen wurde der Angriff auf den Hardware-Hersteller aus dem öffentlichen Netz ausgeführt. Dies war nur möglich, da Asus seine WebStorage-Software nicht ausreichend gegen Man-in-the-Middle-Angriffe geschützt hatte. Die Verbindung des Installers geschah unverschlüsselt über HTTP, die Echtheit der Software-Pakete wurde nicht kontrolliert. So gelang es den Hackern die Updates abzufangen und zu infizieren, bevor sie an den Nutzer weitergeleitet wurden.
Mangelnde Integritätsprüfung
Die Hacker installierten den Trojaner über eine Datei namens „ASUS Webstorage Upate.exe“ (kein Rechtschreibfehler unsererseits), die sie dem ASUS-Update-Paket hinzufügten. „Dank“ der mangelnden Integritätsprüfung konnte die Datei problemlos installiert werden. Bislang sind rund 20 infizierte Firmenrechner bekannt, die sich unzureichend gegen Angriffe geschützt hatten. Die Hacker nisteten sich ein und warteten, bis AsusWsPanel.exe auf dem Endgerät eines Nutzers die ASUS-Server kontaktierte, um über die umgelenkte Verbindung über eine taiwanesische Regierungs-Website den Trojaner aufzuspielen. Bislang sieht es nicht so aus, als dass die ASUS-Server in Mitleidenschaft gezogen wurden. Das Problem haben sie laut eigenen Angaben bereits beseitigt, wie es dazu kommen konnte bleibt trotzdem unbegreiflich.
