Schadcode in Bilddateien - So schützen Sie sich!

Auf der Sicherheitskonferenz RSA Security 2015 in San Francisco stellte der Sicherheitsexperte Marcus Murray eine relativ einfache Methode vor, wie Angreifer mit verstecktem Schadcode in Bilddateien ganze Webserverübernehmen können.

(PresseBox) - Bereits auf dem Stand der itWatch GmbH in der North Hall der RSA konnten sich die Besucher davon überzeugen, dass dieser Angriff von der itWatch Enterprise Security Suite sicher verhindert wird.
itWatch hat nämlich mit dem Modul XRayWatch der Enterprise Security Suite (itWESS) schon seit Längerem eine Lösung parat, die solch einem Angriff erfolgreich entgegenwirkt. Durch Inhaltskontrolle, Contentfilter, eine eigene Pattern-Definitions-Sprache und ein algorithmisches Patternmatching bietet das itWESS-Modul XRayWatch hier effektiven Schutz vor potentiellen Angriffen. Es ermöglicht mit seiner Pattern Prüfung die inhaltliche (semantische) und syntaktisch beliebig genaue Prüfung der Inhalte einer Datei und schließt damit ein weiteres Datenleck - Umbenennung von Dateien oder wie hier das Verstecken von Schadcode als Kommentar innerhalb der EXIF-Informationen bei einem ?.JPEG? ist damit zwecklos, da der Pattern Parser nicht nur die Nutzinhalte sondern auch die Kommentare überprüft.
Mit XRayWatch kontrollieren und protokollieren Sie exakt an den Angriffs- und Leckagepunkten, welche Daten in welchen Formaten importiert oder exportiert werden dürfen. Die firmeneigenen Informationen lassen sich überall vor dem Datenklau und gegen feindliche oder unerlaubte Dateninhalte, z.B. malicious Code, embedded Executables, schützen. Die inhaltliche Kontrolle gilt gleichermaßen für Netzwerkshares, USB-Medien oder im Firmennetz.
Unternehmen überprüfen zwar an den Endpunkten ankommende und ausgehende Dateien, doch häufig nur die zulässigen Dateitypen und nicht deren Inhalte. Ausführbare Programme können jedoch in Word Dokumente eingebettet oder z.B. wie durch Marcus Murray auf der RSA 2015 bewiesen in Bilddateien versteckt sein - und damit unbemerkt Schaden anrichten.


Murray versteckte bei seinem Versuch schadhaften Code als Kommentar innerhalb der EXIF-Informationen von Bilddateien (z.B. ?.jpg?, ?.tiff?). Eine serverseitige Bildvorschau führte den entsprechenden Code dann aus - in diesem Fall bot der Code Zugang zur Kommandozeile des angegriffenen Servers. Über die Kommandozeile gelang es Murray danach, Stück für Stück weitere Server und Systeme des Netzwerks unter seine Kontrolle zu bekommen. Auf diese Weise gelang es ihm u. a. sich selbst Administratorenrechte im gesamten Netzwerk einer US-Bundesbehörde zu verschaffen.
In dem von Murray gezeigten Fall (zum Artikel) schafft auch eine bessere Konfiguration des Servers Abhilfe. Die itWatch Lösung sorgt aber dafür, dass die Daten, die den Schadcode tragen gar nicht erst in das Unternehmen hereinkommen, stellen also eine sichere erste Bastion dar.
Besonderen Wert legt itWatch bei der Umsetzung der IT-Sicherheit darauf, dass IT-Sicherheit nicht als Verhinderer sondern als Business Enabler wahrgenommen wird. Dabei bedient sich itWatch eines Patentes aus dem Jahr 2000, in welchem beschrieben ist, dass die Sicherheit nicht durch das Blockieren, also das Verhindern von Funktion, entstehen sollte, sondern besser durch sichere Prozesse, die im Prinzip ?alles? erlauben, aber dafür sorgen, dass ?alles? in einer sicheren Art ausgeführt wird. Was heißt das jetzt bezogen auf den von Murray dargestellten Exploit?
Eine wichtige Rolle spielen hierbei zwei Themen:
Gegen den Ausbruch von Schadcode geschützte sichere Umgebungen
Der Anwender als Teil der technischen Sicherheitsinfrastruktur
Das Modul ReCAppS (Remote Controlled Application System) ermöglicht es dem Kunden, alle sicherheitskritischen Aktionen zuerst zu erkennen und dann so zu kapseln, dass die Aktionen ausgeführt werden können, ohne dass potentielle Bedrohungen irgendeine Auswirkung haben. Der Anwender muss also jetzt nicht alle EXIF Formate, die ausführbare Elemente enthalten, strikt abweisen, sondern kann diese in einer eigens geschützten Umgebung ausführen. Wichtig ist, dass alle Aktionen des Sicherheitssystems ohne irgendeine Veränderung des Arbeitsablaufes für den Anwender voll automatisiert ausgeführt werden. Die Sicherehit ist also unsichtbar, nahtlos in die Standardabläufe integriert. Das ist die Leistung des Moduls ReCAppS.
Das Modul AwareWatch der Enterprise Security Suite (itWESS) ermöglicht Security Awareness in Echtzeit und bindet den Mitarbeiter in die IT-Security des Unternehmens ein und schafft die Freiräume, die der Mitarbeiter und das Business brauchen. Mit AwareWatch tritt der Sicherheitsverantwortliche automatisiert direkt am Ort des Geschehens zum Zeitpunkt der kritischen Aktion in Dialog mit dem Anwender und zwar in Echtzeit. Der Mitarbeiter fühlt sich durch die direkte Ansprache mit Dialogen und Auswahlmöglichkeiten nicht gegängelt, sondern als aktiver Teil der Unternehmenssicherheit. In der Situation die Murray vorstellt, kann es im Sinne der Sicherheitsrichtlinie des Unternehmens sinnvoll sein, den Anwender, der dieses EXIF Dokument einbringt, vor der ?Ausführung? zu befragen, woher er dieses Dokument erhalten hat und wofür er es aus Sicht der Unternehmensprozesse benötigt. Die Antworten werden ? bei Bedarf anonym ? protokolliert und reichern den Life-Cycle des Objektes im Unternehmensnetzes mit sinnvollen Attributen an.

itWatch steht für innovative IT-Sicherheitsprodukte die Ihr Unternehmen vor Datendiebstahl und Angriffen von innen und außen schützen. Die Endpoint Security Suite der itWatch vereint Lösungen für die Verschlüsselung (Encryption), Endgeräte Sicherheit (Endpoint Security), Data Loss Prevention (DLP), technische Umsetzung von Datenschutz und Sicherheitskultur durch Security Awareness in Echtzeit, Applikationskontrolle (Application Control), Inhalts-Kontrolle (Content Control) und den Schnittstellen- und Geräteschutz (Port & Device Control) wie z.B. USB-Kontrolle. Das Ziel der Automatisierung als Teil der IT-Sicherheitslösungen sind kostensenkende Mehrwerte im IT-Betrieb. Die Produkte sind an den Bedürfnissen der Großkunden, des Mittelstandes sowie der Behörden aus-gerichtet. Die patentierten Produkte haben weltweite Alleinstellungs-merkmale, welche itWatch zum führenden Anbieter im Sektor DLP/Endpoint-Security macht, der sowohl die hohen Anforderungen des Nachrichten-dienstes erfüllt als auch die Tauglichkeit in vielen mittelständischen Installationen und bei Großkunden mit weit über 100.000 Lizenzen beweist.

Unternehmensinformation / Kurzprofil:
Bereitgestellt von Benutzer: PresseBox
Datum: 28.05.2015 - 12:26 Uhr
Sprache: Deutsch
News-ID 1217698
Anzahl Zeichen: 7031

Kontakt-Informationen:
Stadt:

München

Kategorie:

New Media & Software

Diese Pressemitteilung wurde bisher 324 mal aufgerufen.

itWatch auf der AFCEA 2026: Cybersecurity für militärische IT ...
Als deutscher Software-Anbieter für IT-Sicherheitslösungen im Militärumfeld hat itWatch auf der diesjährigen AFCEA in Bonn seine Produkt-Highlights vorgestellt. Im Mittelpunkt des Messeauftritts standen Themen wie Software Defined Defence und der Schutz vor Angriffen in Lieferketten. Da moderne

Cyberresilienz und digitale Souveränität für Polizei und Feuerwehr ...
Auf rund 35 Quadratmetern präsentierte sich der IT-Security-Hersteller auf dem Europäischen Polizeikongress, der vom 6.-7. Mai 2026 in Berlin stattfand. Im Dialog mit Wirtschaft und Studierenden Im Rahmen einer Guided Tour informierten sich Vertreterinnen und Vertreter aus der Wirtschaft am Stand

itWatch auf dem it-sa Pavillion der Enforce Tac ...
Die Enforce Tac ist Deutschlands Leitmesse für Sicherheit und Verteidigung. Vom 23. bis 25. Februar 2026 fand sie in Nürnberg statt. Mit über 1.400 Ausstellern (2025: 998) aus über 45 Ländern und 26.500 Fachbesuchern (2025: 18.576) setzte die Enforce Tac Maßstäbe. In diesem Jahr gab es zum er

Weitere Mitteilungen von itWatch GmbH

AIDA ORGA auf der Sicherheitsexpo 2015 in München ...
Wenn der Schutz von Personen, Sachwerten und Daten im Focus steht, ist AIDA ORGA seit Jahrzehnten der kompetente Ansprechpartner für etablierte branchenübergreifende IT-Lösungen. Überzeugen Sie sich selbst. Auf der Sicherheitsexpo (01.-02.07.2015) in München erfahren Sie am Sta

OVK-Studie: Kein effizienter Abverkauf ohne Online-Werbung ...
Ein effizienter Offline-Abverkauf funktioniert nicht ohne Online-Werbung. Das zeigt eine aktuelle Studie des Online-Vermarkterkreises (OVK) im Bundesverband Digitale Wirtschaft (BVDW) e.V. Ziel der Studie war es, die Abverkaufseffekte und Effizienz (ROI) von Online-Werbung im Sinne einer transparen

Computertische - Online Shop vs. Lokalgeschäft ...
Wenn es um schöne Möbel geht, die in bester Qualität von einem Hersteller in Deutschland produziert werden, ist das Unternehmen Möbel Sofortkauf seit über 50 Jahren die richtige Anlaufstelle. Im Onlineshop www.moebel-sofortkauf.de werden Massivholzmöbeln sowohl im modernen-, als auch im Landh

Techpilot Lieferantenumfrage 2015 ...
Techpilot, der führende Marktplatz für die individuelle Fertigung in der Metall- und Kunststoffindustrie, hat alle Zulieferunternehmen Ende April und Anfang Mai 2015 zu ihrer Einschätzung des vergangenen Geschäftsjahres, zu ihren Erwartungen und Planungen für das laufende Geschäftsjahr und zu