Technischer Hintergrund

Wie kann ein 0190-Dialer ohne meine Zustimmung und ohne mein Wissen auf meinen Rechner gelangen und eine Verbindung zu Wucherpreisen aufbauen? Der Internet Explorer von Microsoft läßt mangels Sicherheit Tür und Tor für Mißbrauch offen. Hier finden Sie eine Beschreibung der Technik, die benutzt wird, um den Benutzer zu hintergehen. Dies soll keine Anleitung sein, sondern eine Argumentationshilfe gegen Talkline, Inkasso und Anwälte.

Übersicht:

• Wie wird der Dialer eingebunden?
• Standardverhalten des Browsers
• Sicherheitslücke
• Anwender und Installation von Service-Packs
• Internetexplorer-Versionen
• Mißbrauch der Sicherheitslücke
• Feedback

Wie wird der Dialer eingebunden?

Der Dialer wurde in eine Cabinet-Datei (*.cab) gepackt. Dieses Format entspricht einem ZIP-File mit bestimmten Konventionen und bestimmtem Verhalten auf dem Client. Windows weiß, daß es zur Installation dient und gewisse Dateien zur Konfiguration der Installation enthält.

Diese Cabinet-Datei wird in einer HTML-Seite in einem <object>-Tag integriert. Wird eine solche Seite aufgerufen, so weiß der Browser, daß hier eine Applikation aufzurufen bzw. zu installieren ist, wenn sie auf dem Client noch nicht verfügbar ist.

Standardverhalten des Browsers

Die Installation von Cabinet-Dateien erfordert die Bestätigung des Benutzers, sofern er seine Internetoptionen nicht entsprechend verändert hat. Die relevante Option befindet sich unter:

1. Internetoptionen
2. Sicherheitseinstellungen
3. Internet
4. ActiveX Steuerelemente initialisieren und ausführen, die nicht sicher sind
5. Auswahl "Deaktivieren" oder "Eingabeaufforderung"

Ist diese Auswahl eingestellt, so SOLLTE die CAB-Datei normalerweise nicht ohne vorherige Bestätigung des Users installiert werden.

Sicherheitslücke

Soviel zu Microsoft-Konzept und zum Soll-Verhalten des Browsers.

Es gibt jedoch eine Sicherheitslücke in einigen Explorer-Versionen, die es erlaubt, Daten auf den Rechnern der Internet-Nutzer zu manipulieren, ohne daß diese zustimmen müssen.

Diese Sicherheitslücke betrifft im Grunde so ziemlich alle Internetexplorer-Versionen, die nicht mit dem zweiten Service-Pack gepatcht wurden. D.h. die original ausgelieferten Versionen sowie die mit dem ersten Service-Pack gepatchten Versionen sind anfällig für diese Sicherheitslücke.

Anwender und Installation von Service-Packs

Von einem gewöhnichen Anwender ausgehend, der keine Probleme mit bestimmten Bugs eines Browsers hat, wird dieser nicht auf die Sicherheitslücke aufmerksam. Er weiß nichts von der Existenz der Service-Packs oder hat gar keinen Anlaß, sich die Arbeit zu machen, eins zu installieren. Daß jemand entsprechende Foren liest, kann von einem gewöhnlichen Anwender nicht erwartet werden.

Selbst wenn man sich in der Materie auskennt, stolpert man nur zufällig mal über dieses Thema. Entwickler sind darauf angewiesen, für die Programmierung von kompatiblem clientseitigen Code so viele verschiedene Versionen von Internetexplorern wie möglich auf ihre Rechner zu verteilen, weil pro Rechner nur eine Version installiert sein kann und sich die Versionen sehr unterschiedlich verhalten und Eigenheiten besitzen.

Microsoft schreibt zur Sicherheitslücke im
Microsoft Security Bulletin (MS00-042):

"Technical description:

The Active Setup Control allows .cab files to be downloaded to a user's computer as part of the installation process for software updates. However, the control has two flaws. First, it treats all Microsoft-signed .cab files as trusted, thereby allowing them to be installed without asking the user's approval. Second, it provides a method by which the caller can specify a download location on the user's hard drive. In combination, these two flaws would allow a malicious web site operator to download a Microsoft-signed .cab file as a means of overwriting a file on the user's machine. By overwriting system files, this could allow the malicious user to render the machine unusable.

It is important to note that there is no capability via this vulnerability to actually install the software that has been downloaded - the vulnerability only allows files to be overwritten, in a denial of service attack. System File Protection in Windows 2000 would prevent an attack like this one from being used to overwrite system files."

Microsoft erläutert die Folgen der Sicherheitslücke im folgenden Artikel (Quelle):

"MORE INFORMATION The Active Setup Control enables .cab files to be downloaded to a user's computer as part of the installation process for software updates. However, the control has the following two flaws:

• All Microsoft-signed .cab files are treated as trusted, which enables them to be installed without asking the user's approval.
• Provides a method by which the caller can specify a download location on the user's hard disk.

In combination, these two flaws could enable a malicious Web site operator to download a Microsoft-signed .cab file as a means of overwriting a file on a user's computer. By overwriting system files, this could enable the malicious user to make the computer unusable.

NOTE: There is no capability through this vulnerability to actually install the software that has been downloaded; the vulnerability only enables files to be overwritten in a denial of service attack. System File Protection in Windows 2000 would prevent an attack like this one from being used to overwrite system files."

Internetexplorer-Versionen

Laut Microsoft sind folgende Versionen davon betroffen, denn Microsoft bietet zu diesen Versionen ein Patch
(Patch Available for "Active Setup Download" Vulnerability in Internet Explorer):

• Microsoft Internet Explorer 5.5 for Windows NT 4.0
• Microsoft Internet Explorer 5.01 for Windows NT 4.0, version SP 1
• Microsoft Internet Explorer 5.0 for Windows NT 4.0
• Microsoft Internet Explorer 4.01 for Windows NT 4.0, versions SP 1, SP 2
• Microsoft Internet Explorer 4.0 for Windows NT 4.0
• Microsoft Internet Explorer 5.5 for Windows 98 Second Edition
• Microsoft Internet Explorer 5.01 for Windows 98 Second Edition, version SP 1
• Microsoft Internet Explorer 5.5 for Windows 98
• Microsoft Internet Explorer 5.01 for Windows 98, version SP 1
• Microsoft Internet Explorer 5.0 for Windows 98
• Microsoft Internet Explorer 4.01 for Windows 98, version SP 2
• Microsoft Internet Explorer 5.5 for Windows 95
• Microsoft Internet Explorer 5.01 for Windows 95, version SP 1
• Microsoft Internet Explorer 5.0 for Windows 95
• Microsoft Internet Explorer 4.01 for Windows 95, versions SP 1, SP 2
• Microsoft Internet Explorer 4.0 for Windows 95
• Microsoft Internet Explorer 5.5 for Windows 2000
• Microsoft Internet Explorer 5.01 for Windows 2000, version SP 1
• Microsoft Windows 95 OEM Service Release, version 2.5"

Für einen Test, ob ein Browser diese Sicherheitslücke aufweist, kann ich folgende Seite wärmstens empfehlen:

http://home.arcor.de/starwalker22/VBSdemo.htm

Die Broswer lassen sich über den Punkt "Info" im Menu anhand der "Product ID" identifizieren (Quelle):

Mißbrauch der Sicherheitslücke

Diese Sicherheitslücke wird von Tele Team Work ApS gezielt dazu genutzt, die Dialer auf den Rechnern der Anwender ohne deren Wissen zu installieren und auch ohne Wissen des Anwenders die bestehende Modem-Internet-Verbindung durch eine 0190-Verbindung zu ersetzen, für die später eine teure Rechnung gestellt wird.

Der User wird auf ohne es zu ahnen direkt auf eine Seite gelenkt, die den oben erläuterte <object>-Tag enthält. Bei Browsern mit der genannten Sicherheitslücke ist geschieht dann ohne irgendeine Interaktion mit dem User folgendes:

1. Die CAB-Datei wird zur Installation heruntergeladen.

2. Der Dialer (*.exe) wird in ein temporäres Verzeichnis installiert.

3. Der Dialer wird sofort ausgeführt.

4. Die bestehende Modem-Internetverbindung wird unauffällig gekappt, ohne daß der Benutzer es merkt oder möchte, und der Dialer stellt automatisch eine Verbindung zu einer 0190-Nummer her.

5. Der User ist noch damit beschäftigt, die ungewünschten Fenster alle zu schließen, und surft danach weiter im Internet. Er ahnt nicht, daß er über eine teure 0190-Nummer eingewählt ist.

6. Wenn der User Pech hat, wurde der Dialer für die Standardeinwahl ins Internet installiert. Damit wird bei jeder erneuten Einwahl eine 0190-Verbindung hergestellt. Ob dies bei Tele Team Work AsP der Fall ist, kann ich nicht sagen.