Piriform, der Hersteller des beliebten Aufräum-Tools für Windows, hat heute einen Sicherheitsvorfall vermeldet. Das Unternehmen gehört seit Mitte 2017 zur tschechischen Firmengruppe AVAST Software, welche unter anderem für ihre Antivirenprogramme bekannt ist. Demnach wurde der CCleaner für rund einen Monat mit Malware ausgeliefert. Betroffen sind der CCleaner 5.33.6162 und CCleaner Cloud 1.07.3191 in der 32-Bit-Fassung für Windows. Einen ähnlichen Fall gab es im Mai 2017 bei Handbrake.
Unbefugte haben sich Zugriff auf einen Server der Firma verschafft und eine Hintertür in die Software eingebaut. Über diese Backdoor wurde anschließend eine Malware nachgeladen und personenbezogene Daten an einen Server in den USA weitergeleitet. Die manipulierte CCleaner-Version war ab dem 15. August, CCleaner Cloud ab dem 24. August an die Nutzer verteilt worden. Piriform hat den Angriff allerdings erst am 12. September entdeckt und direkt Gegenmaßnahmen eingeleitet. CCleaner Cloud wurde automatisch aktualisiert und CCleaner erschien in Version 5.34.6207, wobei das Update mangels Updatefunktion manuell erfolgen muss. Außerdem wurden der betroffene Server abgeschaltet und weitere Schutzmaßnahmen eingeleitet. So gab es z.B. auch ein Update für Avast Antivirus, welches die manipulierten Versionen des CCleaners erkennt.
User hatten keine Möglichkeit die manipulierte Version zu erkennen, da das Tool mit einem gültigen Zertifikat signiert war. Betroffene User sollten aber überlegen, ob sie ihr System nicht komplett neu aufsetzen. Ich würde das jedenfalls tun, sofern mein System kompromittiert worden wäre. Die Sicherheitsforscher von Cisco Talos raten ebenso dazu.
Heute ist der zweite Dienstag im September und das bedeutet: Microsoft Patchday. Wie jeden Monat veröffentlicht der Softwareriese eine Menge Updates, die viele kritische Sicherheitslücken beheben. Die nachfolgende Tabelle gibt einen kurzen Überblick.
Neben den obligatorischen Updates für Windows, Internet Explorer und Flash Player sind dieses Mal auch Produkte wie der SharePoint Server, Skype for Business und .NET Framework betroffen. Außerdem gibt es auch wieder ein Update für Exchange, bei denen es in der Vergangenheit öfter zu Kollateralschäden gekommen ist.
Produktfamilie
Maximaler Schweregrad
Maximale Auswirkung
Zugehörige KB-Artikel und/oder Supportwebseiten
Windows 10 und Windows Server 2016 (einschließlich Microsoft Edge)
Windows 8.1 and Windows Server 2012 R2: 4038793 (Security Only) and 4038792 (Monthly Rollup).
Windows Server 2012
Kritisch
Remotecodeausführung
Windows Server 2012: 4038786 (Security Only) and 4038799 (Monthly Rollup).
Windows RT 8.1
Kritisch
Remotecodeausführung
Windows RT 8.1: 4038792. Note: updates for Windows RT 8.1 are only available via Windows Update.
Windows 7 und Windows Server 2008 R2
Kritisch
Remotecodeausführung
Windows 7 and Windows Server 2008 R2: 4038779 (Security Only) and 4038777 (Monthly Rollup).
Windows Server 2008
Kritisch
Remotecodeausführung
Updates for Windows Server 2008 are not offered in a cumulative update or rollup. The following articles reference a version of Windows Server 2008: 4032201, 4034786, 4038874, 4039038, 4039384.
Software im Zusammenhang mit Microsoft Office
Hoch
Remotecodeausführung
The number of KB articles associated with Office for each monthly security update release varies depending on the number of CVEs and the number of affected components. There are too many articles to list in this summary. Find links to articles pertaining to Office components in the Security Update Guide.
Microsoft SharePoint Server, SharePoint Enterprise Server und SharePoint Foundation
Hoch
Remotecodeausführung
Microsoft SharePoint Server 2013: 4011113 and 3213560; Microsoft SharePoint Foundation 2013: 4011117; Microsoft SharePoint Enterprise Server 2016: 4011127.
Skype for Business, Microsoft Lync und Microsoft Live Meeting
Information from Microsoft regarding security updates for Exchange Server: 4036108.
.NET Framework
Hoch
Remotecodeausführung
There are 12 KB articles in this release covering the various versions of .NET Framework – too many to list here. Find links to these articles in the Security Update Guide.
Adobe Flash Player
Kritisch
Remotecodeausführung
Information from Microsoft regarding security updates for Adobe Flash Player: 4038806.
Beginnend mit April 2017 hat Microsoft die bisher verwendeten Sicherheitsbulletin-Webseiten durch den Leitfaden für Sicherheitsupdates ersetzt. Das neue Portal soll durch die vielfältigen Such- und Filterfunktionen einen besseren Überblick über neue Updates bieten.
Für jede Windows 10 Version veröffentlicht Microsoft ein eigenes kumulatives Update, welche die entsprechenden Windows 10 Versionen auf neue Build-Nummern hebt:
Microsoft hat den Namen und das Veröffentlichungsdatum für das nächste Windows-10-Update bekannt gegeben. Das Fall Creators Update erscheint demnach am 17. Oktober 2017.
Auf der IFA 2017 Keynote hat Microsoft das offene Geheimnis gelüftet. Offen deshalb, weil einzelne Hersteller bereits im Vorfeld diesen Tag als Marktstart für ihre neuen Mixed-Reality-Headsets auserkoren haben. Das Update auf Windows 10 Version 1709 wird kostenlos sein. Wie in der Vergangenheit soll der Rollout in Wellen verteilt werden. Upgradefreudige Nutzer müssen aber nicht so lange warten, bis sie an der Reihe sind. Sobald das Update bereit steht, soll die manuelle Installation mit dem Windows 10 Media Creation Tool angestoßen werden können. Wer eines der neuen Mixed-Reality-Headsets per HDMI und USB an den PC anschließt, soll das Update ebenfalls sofort erhalten. Dell und Lenovo werden ihre Headsets pünktlich zum 17. Oktober im Handel haben. Sie kosten inklusive Controller jeweils 449 Euro. Asus, Acer und HP haben noch keinen Veröffentlichungstermin genannt.
Der Name “Fall Creators Update” lässt es schon vermuten, Microsoft möchte die Möglichkeiten zum kreativen und produktiven Arbeiten in der neuen Windows-10-Version weiter ausbauen. Neben der Mixed-Reality-Plattform gibt es den Story Mixer (erstellt aus Videos und Fotos des Anwenders automatisch Geschichten), Fluent Design und OneDrive Files On-Demand (mit OneDrive synchronisierte Dateien müssen nicht mehr lokal liegen, sondern können auch direkt aus der Cloud bearbeitet werden). Des Weiteren hat der Edge Browser einige neue Features bekommen und der Windows Defender wurde verbessert.
Zur Abwechslung gibts heute mal wieder einen Hardware-Test auf Antary. Bei PC-Komponenten handeln viele User nach der Devise: Mehr bzw. schneller ist immer besser. Ich halte davon nicht sehr viel, denn die persönlichen Anforderungen und Wünsche sind sehr unterschiedlich und jeder sollte das für sich passende Produkt aussuchen. Außerdem sollte auch ein Blick auf das Preis-Leistungs-Verhältnis geworfen werden. Viele Hersteller lassen sich z.B. eine 10 % höhere Performance mit Preisaufschlägen von 50 % oder mehr vergüten. Ob das akzeptabel ist, muss jeder für sich entscheiden.
Jetzt bin ich aber schon abgeschweift, obwohl ich noch gar nicht zum eigentlichen Thema gekommen bin ;-) In meinem Artikel geht es um Arbeitsspeicher. Keine Angst, es wird kein langweiliger Speed-Test, bei dem drei verschiedene RAM-Kits auf ihre Overclocking-Funktionalität geprüft werden. Ebenso wenig möchte ich die Frage klären, was höhere Taktfrequenzen und knappe Timings im Alltag bringen. Nebenbei gesagt hat Computerbase diese Frage vor kurzem in einem interessanten Artikel aufgegriffen: AMD Ryzen & Intel Core i: DDR4-3200 bringt in Spielen teils mehr als eine teurere CPU
In letzter Zeit hatte ich mehrmals das Gefühl, dass mein Arbeitsspeicher in gewissen Situationen zu klein ist, obwohl ich bereits 16 GByte verbaut habe. Kurzerhand habe ich meinen RAM auf 32 GByte verdoppelt und anschließend überprüft, ob ich mit meiner Vermutung richtiglag. Diese Frage dürfte in den kommenden Jahren für immer mehr Nutzer interessant werden, weshalb ich meine Ergebnisse in diesem Artikel zusammenfasse.
Beim Arbeitsspeicher handelt es sich um den Crucial Ballistix Sport LT 32GB Kit DDR4-2666 (BLS2C16G4D26BFSE). Das Kit besteht aus zwei Modulen mit jeweils 16 GByte und ist aktuell für rund 280 Euro verfügbar. Mehr Informationen zum Arbeitsspeicher erhaltet ihr auf der Crucial-Produktseite. Der RAM wurde mir freundlicherweise von Crucial bereitgestellt. Vielen Dank dafür an Crucial!
Firefox 55 wurde bereits am 08. August 2017 veröffentlicht, hier noch kurz ein Blick auf die wichtigsten Neuerungen. Neben der Unterstützung für Virtuelle Realität (VR) bringt Version 55 außerdem ein paar Performanceverbesserungen mit sich und legt damit den Grundstein für das großen Firefox 57-Release Ende des Jahres.
Unterstützung für WebVR, VR-Brille wird benötigt, hier einiges VR-Demos von Mozilla
Adobe Flash Player nicht mehr standardmäßig aktiviert, sondern im Click-to-Play-Modus (User müssen bestätigen, dass Flash aktiviert wird)
Eingebaute Screenshot-Funktion “Firefox Screenshots” kann komplette Webseite, sichtbaren Bereich oder beliebig definierbaren Bereich einer Webseite als Bild speichern (lokal oder auf Mozilla-Server)
Veränderte Adressleiste, zeigt Suchmaschinen-Vorschläge an und die Suchmaschinen aus der Suchleiste werden nun auch in der Adressleiste angezeigt
Verbesserte Performance
schnellere Sitzungswiederherstellung bei gleichzeitig geringerem Speicherverbrauch
Hardware-Beschleunigung des VP9-Codecs ab Windows 10 Anniversary Edition (Windows 10 Version 1607) soll CPU entlasten und bei Notebooks die Akkulaufzeit verbessern
Anzahl der Inhaltsprozesse für die Multiprozess-Architektur von Firefox festlegbar (maximal 7), was eine höhere Stabilität und Reaktionsfreudigkeit bringen soll
Der Stub-Installer installiert jetzt automatisch die 64-Bit Version, sofern ein 64-Bit-Betriebssystem mit mindestens 2 GByte RAM verwendet wird
Position der Sidebar (rechts oder links) kann festgelegt werden (bisher nur links)
WebRTC unterstützt nun Stereo-Mikrofone
macOS-User können nun eigene Tastaturkürzel festlegen
Fallout 4 ist vor rund sechs Wochen (10. November 2015) erschienen und hat bereits eine große Fangemeinde vereint. Nach rund vier Wochen wurde der erste Patch veröffentlicht, welcher das Spiel auf Version 1.2 hebt und diverse Speicher- sowie Performance-Probleme und Fehler behebt. Nichtsdestotrotz ist das Spiel weiterhin sehr fehlerbehaftet und in einigen Bereichen (Baumodus, Inventar, Texturauflösung, …) einfach nur schlecht.
Obwohl das Creation-Kit für Mods erst Anfang 2016 erscheinen soll, existieren zum Glück bereits eine Vielzahl an Mods. Natürlich sind hier viele verrückte oder unsinnige Mods dabei. Diese sind zwar ganz lustig anzusehen, sind der Spielatmosphäre aber nicht förderlich, im Gegenteil. Darüber hinaus gibt es aber auch Ausnahmen, welche einige Probleme bzw. Ärgernisse beheben und dadurch den Spielspaß deutlich erhöhen. Nachfolgend eine kleine Übersicht der interessantesten Mods für mehr Spielspaß. Ich habe alle erwähnten Mods ausprobiert und so gut wie alle im Einsatz. Ich muss sagen, der Spielspaß hat sich dadurch deutlich vergrößert.
Als kleiner Negativeffekt ist allerdings zu erwähnen, dass einige Mods ziemlich an Leistung fressen und dadurch die Frameraten geringer ausfallen. Vor allem die Wetter- und Textur-Mods sind relativ anspruchsvoll. Beim Einsatz von mehreren Mods solltet ihr daher also noch ein wenig Reserve bei der Grafikkarte haben. Wer aktuell schon um die 40 Frames rumdümpelt, muss hier genau schauen, welche Mods wieviel Leistung fressen. Gegebenenfalls lohnt es sich dann mit den Grafikoptionen rumzuspielen, bis ihr ein gutes Setup habt. Die Auflösung würde ich jedoch nicht anfassen und wenn möglich immer die native Auflösung des Monitors fahren.
Full Dialogue Interface Wie der Name schon sagt werden in Dialogen die vollen Antworten angezeigt, die ausgewählt werden können. Standardmäßig werden oft nur einzelne Wörter angezeigt.
Mit dem Laden des Videos akzeptieren Sie die Datenschutzerklärung von YouTube. Mehr erfahren
Heute ist Microsofts August 2017 Patchday (zweiter Dienstag im Monat). Der Softwarehersteller veröffentlicht wie jeden Monat eine Menge Updates, die viele kritische Sicherheitslücken beheben. Die nachfolgende Tabelle gibt einen kurzen Überblick.
Unter anderem werden kritische Sicherheitslücken im Windows Search Dienst (CVE-2017-8620) und unter Windows Error Reporting behoben (CVE-2017-8633), wodurch Angreifer die komplette Kontrolle über das System erlangen können.
Produktfamilie
Maximaler Schweregrad
Maximale Auswirkung
Zugehörige KB-Artikel und/oder Supportwebseiten
Windows 10 und Windows Server 2016 (einschließlich Microsoft Edge)
Windows 8.1 and Windows Server 2012 R2: 4034672 (Security Only) and 4034681 (monthly rollup).
Windows Server 2012
Kritisch
Remotecodeausführung
Windows Server 2012: 4034666 (Security Only) and 4034665 (monthly rollup).
Windows RT 8.1
Kritisch
Remotecodeausführung
Windows RT 8.1: 4034681. Note: updates for Windows RT 8.1 are only available via Windows Update.
Windows 7 und Windows Server 2008 R2
Kritisch
Remotecodeausführung
Windows 7 and Windows Server 2008 R2: 4034679 (Security Only) and 4034664 (monthly rollup).
Windows Server 2008
Kritisch
Remotecodeausführung
Updates for Windows Server 2008 are not offered in a cumulative update or rollup. There are 8 KB articles associated with August security updates for Windows Server 2008 – too many to list here for the purpose of an overview. Find links to these articles in the Security Update Guide.
Software im Zusammenhang mit Microsoft Office
Hoch
Spoofing
Security update for SharePoint Server 2010: 2956077. More guidance on updates for SharePoint Server is available here: SharePoint Updates on TechNet.
Internet Explorer
Kritisch
Remotecodeausführung
Internet Explorer 9: 4034733; Internet Explorer 10: 4034733 (IE Cumulative) and 4034665 (monthly rollup); Internet Explorer 11: There are 7 KB articles associated with August security updates for IE11. Find links to these articles in the Security Update Guide.
Microsoft SQL Server
Hoch
Offenlegung von Informationen
There are 10 KB articles associated with August security updates for Microsoft SQL Server. Find links to these articles in the Security Update Guide. More guidance on updates for SQL Server is available here: Update Center for Microsoft SQL Server.
Adobe Flash Player
Kritisch
Remotecodeausführung
Information from Microsoft regarding security updates for Adobe Flash Player: 4034662.
Beginnend mit April 2017 hat Microsoft die bisher verwendeten Sicherheitsbulletin-Webseiten durch den Leitfaden für Sicherheitsupdates ersetzt. Das neue Portal soll durch die vielfältigen Such- und Filterfunktionen einen besseren Überblick über neue Updates bieten.
Für jede Windows 10 Version veröffentlicht Microsoft ein eigenes kumulatives Update, welche die entsprechenden Windows 10 Versionen auf neue Build-Nummern hebt:
Im Jahr 2009 hat Microsoft das Enhanced Mitigation Experience Toolkit (EMET) veröffentlicht. Die kostenfrei erhältliche Sicherheits-Software für Windows dient neben Firewall und Antivirenprogramm als zusätzlicher Schutz gegen Angriffe und Schadprogramme. Viele Schadprogramme nutzen Sicherheitslücken oder Schwachstellen (Exploits) aus, um von Antivirenprogrammen unerkannt auf das System zu gelangen bzw. dort Schaden anzurichten. EMET bietet einen Schutz gegen Exploits und auch unbekannte Exploits (Zero-Day-Exploit) bzw. erschwert die Ausnutzen von Sicherheitslücken.
Im November 2016 gab Microsoft bekannt, dass der Support für EMET 5.5x zum 31. Juli 2018 eingestellt wird und das Anti-Exploit Toolkit damit EOL ist. Als Grund für die Entscheidung gab Microsoft deutliche Verbesserungen beim Browser und Betriebssystem an. Außerdem seien viele Funktionen und Technologien von EMET mittlerweile in Windows 10 enthalten. Ende letztes Jahr stimmte diese Aussage allerdings nur bedingt, denn es fehlten noch einige Features in Windows 10, um EMET komplett zu ersetzen. Microsoft wusste damals aber schon, was in Zukunft kommt und ließ jetzt auch die Allgemeinheit daran teilhaben.
In den erweiterten Einstellungen lassen sich die einzelnen Features aktivieren und auch spezielle Einstellungen für einzelne Prozesse festlegen.
Windows 10 Exploitschutz Systemeinstellungen
Windows 10 Exploitschutz Programmeinstellungen
Eine ausführliche Dokumentation ist noch nicht verfügbar, soll aber in Kürze bei Microsoft Docs folgen. Außerdem gibt Microsoft zu bedenken, dass sich der Exploitschutz noch in Entwicklung befindet und teilweise noch nicht voll funktionsfähig ist.
Obwohl sich Microsoft nicht dazu gehäußert hat, gehe ich davon aus, dass der Exploitschutz Teil des kommenden Windows 10 Version 1709 (Fall Creators Update) sein wird.
Immer mehr Internettraffic wird verschlüsselt übertragen. Insbesondere die Zertifizierungsstelle Let’s Encrypt hat im Laufe des letzten Jahres dazu geführt, dass auch kleinere Webseiten dank des kostenlosen Zertifikates auf die verschlüsselte Kommunikation gewechselt sind. Mittlerweile wurden sogar über 100 Millionen Zertifikate von Let’s Encrypt ausgestellt. Auch ich habe meinen Blog im November 2016 auf HTTPS umgestellt.
Der eigentlich positive Effekt hin zu mehr verschlüsseltem Traffic führt aber auch dazu, dass die Analyse und das Troubleshooting deutlich erschwert werden. Wireshark und ähnliche Programme können die verschlüsselte Kommunikation standardmäßig nicht einsehen. Abhilfe würde eine SSL-Decryption bringen, welche auf dem Prinzip eines Man-in-the-Middle-Angriffs basiert. Diesen Weg gehen beispielsweise Next-Generation Firewalls von Palo Alto, Check Point Software, Cisco, Sophos und Co. Zuhause kann diese Variante unter anderem mit Tools wie “mitmproxy” oder “Burp Suite” realisiert werden. Dies dürfte aber nicht jedermanns Sache sein. Zum Glück gibt es eine einfachere Alternative: Session Key Logging.
Selbstverständlich existieren aber auch hier Einschränkungen. Das clientseitige Logging der Session Keys funktioniert nur mit bestimmter Software, beispielsweise mit den beiden Browsern Firefox und Chrome. Dabei werden nur RSA-Keys unterstützt, Diffie-Hellman und Elliptic Curve Diffie-Hellman (ECDH) nicht.
Browser
Für Firefox muss zunächst eine neue Umgebungsvariable mit dem Namen “SSLKEYLOGFILE” angelegt werden. Dies wird in der Systemsteuerung unter “System” gemacht. Anschließend links auf “Erweiterte Systemeinstellungen” klicken und im neu geöffneten Fenster auf “Umgebungsvariablen…”. Dort kann die neue Variable “SSLKEYLOGFILE” mit dem gewünschten Pfad angelegt werden. Im Pfad sollten keine Leerzeichen auftauchen. Ich habe mich für “C:\Temp\sslkey.log” entschieden:
Damit die neue Umgebungsvariable wirksam wird, muss der Windows-User ab- und wieder angemeldet werden, alternativ hilft auch ein Neustart.
Folgende Änderungen sind nicht mehr notwendig, da mittlerweile auch Diffie-Hellman-Cipher-Suiten zum Schlüsselaustausch unterstützt werden.
Zusätzlich sollten wir noch die Unterstützung der Diffie-Hellman-Cipher-Suiten deaktivieren, sodass der Schlüsselaustausch möglichst immer via RSA vollzogen wird. Dies funktioniert via “about:config”. Dort nach “dhe” suchen und alle gefundenen Einstellungen auf den Wert “false” ändern.
Googles Chrome ignoriert diese Umgebungsvariable seit geraumer Zeit. Stattdessen muss der Browser mit folgenden Startparametern geladen werden:
--ssl-key-log-file="C:\Temp\sslkeyChrome.log"
Ebenfalls nicht mehr notwendig.
Auch in Google Chrome lässt sich Diffie-Hellman deaktivieren, allerdings etwas umständlicher als in Firefox. Die zu deaktivierenden Cipher-Suiten müssen ebenfalls mit einem Startparameter übergeben werden:
Wireshark unterstützt das Feature erst ab Version 1.8.0. Zunächst müssen das Programm gestartet und die Einstellungen geöffnet werden. Anschließend links im Menü die Kategorie “Protocols” mit Klick auf den Pfeil aufklappen und zum Punkt “SSL” navigieren. Dort muss der Pfad zur vorher erzeugten Datei hinterlegt werden.
Das war auch schon! Wenn ihr nun ein Paket mit TLS-Daten markiert, erscheint unten ein neuer Tab “Decrypted SSL data”. Wenn ihr diesen auswählt könnt ihr die entschlüsselten Daten einsehen.
Pünktlich zum Juli 2017 Patchday (zweiter Dienstag im Monat) hat Microsoft einen Schwung an Updates veröffentlicht. Wie jeden Monat werden viele kritische Sicherheitslücken behoben. Die Tabelle gibt einen kurzen Überblick.
Erwähnenswerte Zusatzinfos gibt es bei der geschlossenen Sicherheitslücke CVE-2017-8563. Auf Domain Controllern wird ein neuer Registry-Wert eingeführt, womit die LDAP-Authentifizierung über SSL/TLS besser abgesichert werden kann. Damit dies funktioniert müssen aber auch alle Clients mit dem entsprechenden Update ausgestattet werden. Ansonsten könnten Kompatibilitätsprobleme auftreten. Detaillierte Informationen liefert KB4034879.
Produktfamilie
Maximaler Schweregrad
Maximale Auswirkung
Zugehörige KB-Artikel und/oder Supportwebseiten
Windows 10 und Windows Server 2016 (einschließlich Microsoft Edge)
Windows 8.1 und Windows Server 2012 R2: 4025333 (reines Sicherheitsupdate) und 4025336 (monatlicher Rollup).
Windows Server 2012
Kritisch
Remotecodeausführung
Windows Server 2012: 4025343 (reines Sicherheitsupdate) und 4025331 (monatlicher Rollup).
Windows RT 8.1
Kritisch
Remotecodeausführung
Windows RT 8.1: 4025336. Hinweis: Updates für Windows RT 8.1 sind nur über Windows Update verfügbar.
Windows 7 und Windows Server 2008 R2
Kritisch
Remotecodeausführung
Windows 7 und Windows Server 2008 R2: 4025337 (reines Sicherheitsupdate) und 4025341 (monatlicher Rollup).
Windows Server 2008
Kritisch
Remotecodeausführung
Updates für Windows Server 2008 werden nicht in Form eines kumulativen Updates oder Rollups angeboten. Zu Windows Server 2008 gibt es 14 KB-Artikel, die hier nicht alle in einer Übersicht aufgelistet werden können. Links zu diesen Artikeln finden Sie im Leitfaden für Sicherheitsupdates.
Informationen von Microsoft zu Sicherheitsupdates für Adobe Flash Player: 4025376.
Beginnend mit April 2017 hat Microsoft die bisher verwendeten Sicherheitsbulletin-Webseiten durch den Leitfaden für Sicherheitsupdates ersetzt. Das neue Portal soll durch die vielfältigen Such- und Filterfunktionen einen besseren Überblick über neue Updates bieten.
Für jede Windows 10 Version veröffentlicht Microsoft ein eigenes kumulatives Update, welche die entsprechenden Windows 10 Versionen auf neue Build-Nummern hebt:
Wer im Internet auf der Suche nach ISO-Dateien von Microsoft-Produkten ist, wird schnell fündig. Allerdings handelt es sich dabei oft um inoffizielle ISOs oder um unseriöse Downloadquellen. In beiden Fällen sollte man besser die Finger davon lassen. Eine gute Alternative ist das TechBench-Programm von Microsoft. Dort bietet der Softwarekonzern Vertriebspartnern den Download von ISO-Dateien diverser Microsoft-Produkte an, die mit ein wenig Aufwand auch Otto Normalverbrauchern zur Verfügung stehen.
Allerdings ist es teilweise sehr schwierig die Downloadadresse herauszufinden. Des Weiteren ändert Microsoft hier oft was ab, wodurch die Suche nach gültigen Links wieder von Neuem beginnt. Eine gute Hilfe ist die Webseite Adguard. Dort werden alle erhältlichen ISO-Dateien aufgelistet und die Links zu den Downloads aktuell gehalten. Die übersichtliche Oberfläche führt dabei schnell und bequem zu gewünschten Download. Alle Downloads liegen auf Microsoft-Servern, Adguard stellt lediglich die Links bereit und hält diese aktuell.
Neben Windows 8.1 und 10 stehem auch Office 2013 und Office 2016 zum Download bereit. Darüber hinaus sind seit Neuestem auch virtuelle Maschinen im Angebot vorhanden.
Bei SMB 1.0 (Server Message Block) handelt es sich um ein Uralt-Netzwerkprotokoll für Datei- und Druckdienste, welches nach über 30 Jahren leider immer noch Verwendung findet. Vor allem die Microsoft-Implementierung galt als fehleranfällig und sicherheitskritisch, was vor kurzem eindrucksvoll bewiesen wurde. Die im Mai 2017 aufgetauchte Ransomware WannaCry basierte auf einer Sicherheitslücke in SMB 1.0.
Schon 2014 deutete Microsoft eine Abschaltung von SMB 1.0 an, was jedoch bis heute nicht stattgefunden hat. In reinen Windows-Umgebungen dürfte Version 1.0 in der Regel nicht mehr notwendig sein, denn SMB 2.0 wird ab Windows Vista bzw. Server 2008 unterstützt. Teilweise kommen aber noch Windows XP und alte Samba-Versionen auf Linux zum Einsatz, die SMB 1.0 benötigen. Überraschenderweise setzen auch noch viele Produkte aus dem Enterprise-Umfeld auf die völlig veraltete Version.
Jetzt hat Microsoft einen neuen Vorstoß angekündigt:
For more information on why using SMB1 is unsafe, see StopUsingSMB1. SMB1 has been deprecated for years and will be removed by default from many editions and SKUs of Windows 10 and Windows Server 2016 in the RS3 release.
Demnach möchte Microsoft mit dem Erscheinen des Windows 10 Fall Creators Update (Version 1709) SMB 1.0 standardmäßig deaktivieren. Allerdings trifft dies nur auf Neuinstallationen zu, bestehende Systeme die auf Windows 10 1709 upgegradet werden, sollen davon nicht betroffen sein. Dies stellte Ned Pyle auch noch einmal gegenüber Bleeping Computer klar:
That date is now the release of Windows 10 Redstone 3, also referenced as the Fall Creators Update, scheduled for launch in October/November 2017.
After that day, every new Windows 10 or Windows Server 2016 OS you install will not have some or all of SMBv1 turned on, which is the norm right now.
This is not patching, nor upgrading. This is clean install RS3.
SMB 1.0 manuell deaktivieren
Wer keine Geräte mit SMB 1.0 mehr nutzt, kann die alte Version problemlos deaktivieren. Aus Sicherheitsgründen ist das auch stark anzuraten. Via PowerShell lässt sich leicht herausfinden, ob SMB 1.0 auf dem PC aktiviert ist oder nicht:
Die Deaktivierung bzw. Deinstallation kann ab Windows 8.1 bzw. Server 2012 R2 bequem über “Systemsteuerung” -> “Programme und Features” -> “Windows-Features aktivieren oder deaktivieren” erfolgen. Einfach den Haken bei “Unterstützung für die SMB 1.0/CIFS-Dateifreigabe” entfernen und neustarten.
Alternativ kann das Feature auch per Registry, PowerShell oder via Gruppenrichtlinien deaktiviert werden. Microsoft hat einen Artikel dazu veröffentlicht, der alle Möglichkeiten ausführlich beschreibt.
Achtung! Wenn SMB 1.0 deaktiviert wird, funktioniert der Zugriff auf das NAS der FRITZ!Box (FRITZ!NAS) nicht mehr. Dieses Problem tritt auch bei neuen FRITZ!Boxen auf, da AVM anscheinend generell nur auf SMB 1.0 setzt. Als Alternative kann via FTP oder HTTP auf das NAS zugegriffen werden.
Gestern (zweiter Dienstag im Monat) läutete Microsoft den Patchday für Juni 2017 ein. Wie immer behebt Microsoft viele kritische Sicherheitslücken. Die am Ende des Artikels aufgeführte Tabelle gibt einen kurzen Überblick.
Beginnend mit April 2017 hat Microsoft die bisher verwendeten Sicherheitsbulletin-Webseiten durch den Leitfaden für Sicherheitsupdates ersetzt. Das neue Portal soll durch die vielfältigen Such- und Filterfunktionen einen besseren Überblick über neue Updates bieten.
Für jede Windows 10 Version veröffentlicht Microsoft ein eigenes kumulatives Update, welche die entsprechenden Windows 10 Versionen auf neue Build-Nummern hebt:
Windows 10 Version 1703 Build 15063.413
Windows 10 Version 1607 Build 14393.1358
Windows 10 Version 1511 Build 10586.962
Windows 10 Version 1507 (RTM) Build 10240.17443
Produktfamilie
Maximaler Schweregrad Maximale Auswirkung
Neustart erforderlich?
Zugehörige KB-Artikel und/oder Supportwebseiten
Windows 10 und Windows Server 2016 (einschließlich Microsoft Edge)
MSI-Dateien sind Installationspakete für den Windows Installer. Die Abkürzung MSI stammt noch von der ursprünglichen Bezeichnung des Programms: Microsoft Installer. Der Windows Installer ist eine Laufzeitumgebung für Installationsroutinen unter Windows. Mit Hilfe von MSI-Paketen können Programme installiert, repariert und auch wieder deinstalliert werden.
Es gibt sehr viele unterschiedliche Möglichkeiten, um MSI-Pakete zu deinstallieren. Nachfolgend ein kleiner Überblick.
Ursprüngliche MSI-Datei Falls noch die ursprüngliche MSI-Datei vorhanden ist, funktioniert eine Deinstallation schnell und einfach. Ein Rechtsklick auf die Datei öffnet das Kontextmenü und dort könnt ihr den Punkt “Deinstallieren” auswählen.
Programme und Features Öffnet den Ausführen-Dialog (Windows-Taste + R) und gebt dort “appwiz.cpl” ein. Jetzt öffnet sich das Fenster “Programme und Features” der Systemsteuerung. Dort einfach die gewünschte Software heraussuchen und mit Klick auf den Button “Deinstallieren” entfernen.
msiexec.exe via Kommandozeile Die Deinstallation kann auch via “msiexec.exe” erfolgen. Dazu einfach eine Eingabeaufforderung öffnen, msiexec.exe aufrufen und entweder den Pfad der originalen MSI-Datei angeben oder die GUID. Die GUID erhaltet ihr am schnellsten via PowerShell:
get-wmiobject Win32_Product | Format-Table IdentifyingNumber, Name
Falls die ursprüngliche MSI-Datei vorhanden ist sieht die Deinstallation folgendermaßen aus:
msiexec.exe /x "c:\filename.msi" /q
Alternativ kann auch via GUID deinstalliert werden:
Cached MSI-Datei Wenn die ursprüngliche MSI-Datei nicht mehr vorhanden ist, könnte man immer noch über die zwischengespeicherte MSI-Datei erfolgreich sein. Das funktioniert wie unter dem 1. Punkt beschrieben. Ab Windows 7 werden alle installierten MSI-Pakete unter “%SystemRoot%\Installer” gecached. Leider wird der ursprüngliche Namen nicht beibehalten, sondern die Dateien werden unter einem zufälligen Namen im Hex-Format abgelegt. Es existieren zwei Möglichkeiten, wie ihr die richtige MSI-Datei finden könnt. Im Windows Explorer müsst ihr euch die Spalte “Kommentare” einblenden lassen, dort seht ihr, um welche MSI-Datei es sich handelt: Alternativ wieder via PowerShell:
PowerShell Mit Hilfe des genauen Namens könnt ihr die Software auch direkt per PowerShell deinstallieren. In der zweiten Zeile müsst ihr lediglich “NAME” mit dem richtigen Namen austauschen.
Third-Party-Tools (z.B. CCleaner) In manchen Fällen sind Third-Party-Tools eine gute Alternative. Erwähnen möchte ich hier lediglich CCleaner (Download), welchen ich schon seit zig Jahren immer wieder benutze.
Weitere Details und noch ein paar zusätzliche Methoden könnt ihr bei Stackoverflow. einsehen.
Es gibt sehr viele Methoden, wie die Benutzerkontensteuerung (englisch User Account Control, kurz UAC) ausgehebelt werden kann. Einige der populärsten Methoden werden im Tool UACMe, welches bei Github erhältlich ist, zusammengefasst und zum Download angeboten. Die neueste UAC-Bypass-Methode bedient sich der “fodhelper.exe”. Weiter unten beschreibe ich die genaue Funktionsweise.
Zunächst jedoch ein paar allgemeine Informationen zur Funktionsweise und Problematik der Windows-Benutzerkontensteuerung.
Funktionsweise der UAC
Die Benutzerkontensteuerung wurde unter Windows Vista eingeführt. Das Ziel war die Sicherheit unter Windows zu erhöhen, da unter Windows XP fast alle Benutzer als Administratoren arbeiteten und damit eine hohe Anfälligkeit für Viren und andere Schädlinge bestand. Bei aktiver UAC arbeiten sowohl Administrator-Konten als auch Standard-Benutzerkonten mit normalen Benutzerrechten. Wenn für eine Aufgabe erhöhte Berechtigungen notwendig sind, fordert der Prozess administrative Berechtigungen von Windows an. Windows-Funktionen, die administrative Berechtigungen erfordern, sind mit einem Symbol markiert (siehe Screenshot).
Anschließend erscheint eine Anfrage der Benutzerkontensteuerung, die der Benutzer bestätigen muss. Dadurch soll eine ungewollte Vergabe von Administratorberechtigungen verhindert werden. Die UAC-Abfrage muss entweder nur mit “Ja” bestätigt (bei Verwendung eines Administrator-Accounts) oder explizit mit dem Administrator-Kennwort autorisiert werden (bei Verwendung eines Standard-Benutzerkontos).
UAC-Bypassing kurz erklärt
Viele User arbeiten unter Windows 7, 8 oder 10 immer noch mit Accounts, die Mitglied in der Administratoren-Gruppe sind. Genau diese Tatsache ist problematisch, egal ob dies unwissentlich oder bewusst geschieht. Einige Leser fragen sich jetzt bestimmt warum? Die UAC sollte doch immer einschreiten, sobald administrative Berechtigungen angefordert werden!? Prinzipiell schon, aber es existieren einige Ausnahmen.
Ab Windows 7 steht die Benutzerkontensteuerung standardmäßig auf der zweiten Stufe von oben:
Diese Stufe bewirkt, dass bei Änderungen an Windows-Einstellungen keine UAC aufpoppt, sofern man unter einem Account arbeitet, der Mitglied in der Administratoren-Gruppe ist. Dies wird durch die Auto-Elevation von allen Windows-Executables bewerkstelligt. Wenn man also mit einem Administratorkonto arbeitet und Windows-Einstellungen anpasst, erscheint kein UAC-Dialog. Microsoft hat dieses Verhalten mit Windows 7 eingeführt, um den Komfort für die Benutzer zu erhöhen. Unter Windows Vista wurden nämlich die extrem häufigen UAC-Abfragen stark kritisiert.
Genau hier setzt das UAC-Bypassing an. Anschaulich erklärt kann sich Schadsoftware beispielsweise an eine Windows-EXE hängen, die per Auto-Elevation mit administrativen Berechtigungen gestartet wird. Die potenzielle Malware oder Ransomware kann also administrative Berechtigungen erlangen, ohne dass die UAC anschlägt. Da dies vollautomatisch im Hintergrund abläuft bekommt natürlich auch der Benutzer nichts mit.
Die Umgehung der UAC kann auf zwei Wege unterbunden werden. Entweder arbeitet man unter einem Standard-Benutzerkonto oder man setzt die UAC auf die höchste Stufe “Immer benachrichtigen”. Bei der ersten Variante poppt die UAC in solchen Fällen immer auf, da das Admin-Passwort benötigt wird. Die zweite Lösung wird von vielen Nutzern ungern gesehen, denn dann meldet sich die UAC deutlich häufiger als auf dem Standard-Level und man ist quasi wieder auf dem Niveau von Windows Vista.
UAC-Bypass via “fodhelper.exe”
Der deutsche Student Christian B. hat im Rahmen seiner Masterarbeit eine neue UAC-Bypass-Methode für Windows 10 entdeckt. Neben einem ausführlichen Blogartikel hat er zudem einen Proof of Concept bei GitHub veröffentlicht.
Die Methode setzt auf die “fodhelper.exe”. Diese Microsoft-Datei wird gestartet, wenn man in den Einstellungen unter Windows 10 auf den Link “Optionale Features verwalten” klickt (siehe Screenshot).
Wie oben beschrieben wird auch diese EXE via Auto-Elevation mit administrativen Berechtigungen gestartet. Christian B. hat nun herausgefunden, dass die EXE beim Start in der Registry nach weiteren Befehlen sucht. Der betroffene Pfad lautet:
Da es sich um “HKEY_CURRENT_USER” handelt, können die entsprechenden Einträge ohne spezielle Rechte bearbeitet werden. So ist es beispielsweise möglich, eine Kommandozeile oder eine PowerShell mit Administratorrechten und ohne UAC-Abfrage zu starten.
Diese Lücke ist relativ gefährlich und könnte schon bald von diversen Schädlingen ausgenutzt werden. Besonders kritisch ist der Umstand, dass dafür keine Datei auf der Festplatte liegen muss und kein DLL-Hijacking stattfindet. Außerdem findet keine verdächtige Aktion statt, denn der UAC-Bypass ist ja by design in Windows 10 implementiert.
Bis Microsoft diese Lücke schließt, könnten Monate vergehen. Ein Schutz dagegen existiert nicht wirklich. Lediglich die bereits oben erwähnten Tipps, entweder die Benutzerkontensteuerung auf die höchste Stufe zu stellen oder unter einem Standard-Benutzerkonto zu arbeiten. Aber auch in diesen Fällen ist keine wirkliche Sicherheit geboten. Es erscheint dann lediglich die UAC-Meldung für die “fodhelper.exe”. Dass diese bei Bestätigung der UAC im Hintergrund dann den Registryschlüssel auswertet und weitere Programme mit Adminrechten nachlädt, kann nicht verhindert werden. Hier hilft nur der gesunde Menschenverstand weiter: Wurde der UAC-Dialog durch meine Tätigkeit geöffnet oder erschien er aus “heiterem Himmel”? Falls der zweite Fall zutrifft sollte man den Dialog auf keinen Fall bestätigen.
Neueste Kommentare