06. September 2006:

Peinliche Antiviren-Panne

Schutzsoftware wie Antivirenscanner und Firewalls soll den Nutzer vor ungebetenen Gästen, Angriffen aus dem Netz und bösartigen Programmen schützen. Ein fehlerhaftes Update des Antivirenscanners eTrust von der US-Firma Computer Associates (CA) sorgte kürzlich für Aufregung. Nach dem Update klassifizierte der Scanner die Windowskomponente lsass.exe als bösartiges Programm, löschte sie und brachte dadurch etliche Windows 2003 Server zum Absturz. Die Panne wurde schnell behoben, und der Kreis der Betroffenen hielt sich in engen Grenzen. Dennoch ist dieser Fehler für die gesamte Antivirenindustrie nicht nur peinlich, sondern symptomatisch. Er zeigt, wie löcherig Schutzsoftware tatsächlich ist.

Ist Windows bösartig?
„Am sichersten vor Virenbefall ist ein Server, der gar nicht läuft“, schreibt der IT-Nachrichtendienst golem.de mit unverhohlener Schadenfreude in seinem Artikel über die peinliche Panne, die den Programmierern der US-amerikanischen Sicherheitsfirma Computer Associates (CA) bei der Programmierung eines Signatur-Updates für ihr Programm eTrust unterlaufen ist. Ein Tippfehler sorgte offenbar dafür, dass die wichtige Windows-Komponente lsass.exe als gefährliches Schadprogramm eingestuft und vom Virenschutzprogramm automatisch gelöscht wurde. Das fragliche Update mit der Nummer VET 30.3.3054 wurde mitten in der Nacht ausgeliefert. Computersysteme, die mit dem Antivirenprogramm eTrust der US-amerikanischen Sicherheitsfirma CA vor Schadprogrammen geschützt werden sollten, stürzten nach dem Update und einem durchgeführtem Virenscan kurzerhand ab. Bei anderen Anwendern war nach einem Systemneustart keine Anmeldung mehr möglich.

Lsass.exe wurde rigoros gelöscht
Die Update-Programmierer verwechselten das wichtige Systemprogramm lsass.exe vermutlich mit dem Trojanischen Pferd „Lassrv.B“. Dieses Schadprogramm stürzt sich zwar tatsächlich auf die fragliche Windows-Komponente und erstellt die Systemdatei „lsasrv32.dll“, hinter der sich das Schadprogramm verbirgt. Das fehlerhafte Update sorgte jedoch dafür, dass auch eine völlig intakte Lsass-Windows-Komponente als schädlich erkannt und dementsprechend gelöscht wurde.

Vorübergehende Schwierigkeiten?
„CA hat das Problem schnell entdeckt und behoben, durch das einige Anwender vorübergehend Schwierigkeiten mit ihren Lsass.exe-Dateien hatten“, heißt es von offizieller Firmenseite. Tatsächlich hat CA das Problem mittlerweile gelöst und das fehlerhafte Update ersetzt. Sieben Stunden haben die Update-Programmierer dafür benötigt. Außerdem hat das Sicherheitsunternehmen seinen Kunden einen Leitfaden zur Verfügung gestellt, um die aufgetretenen Probleme zu beheben. Auch Microsoft zeigt in seinem SBS-Blog Wege auf, wie der Nutzer sein durch eTrust abgeschossenes System wieder anwerfen kann.

Vertrauen in die Sicherheitsbranche geschwächt
Keine Software ist fehlerfrei, und jeder Programmierer weiß: „Ist der Patch auch noch so klein, es passt immer noch ein Bug hinein!“ Trotzdem wirft diese neuerliche Panne bei einem Sicherheitsunternehmen kein besonders gutes Licht auf die Qualitätsstandards der Firma Computer Associates. Es sei bemerkenswert, meint Johannes Ulrich vom Internet Storm Center, dass es CA nicht gelungen sei, den Update-Fehler während der üblichen Qualitätstests zu entdecken, bevor das Update ausgeliefert wurde. Obwohl insgesamt keine große Anzahl von Anwendern betroffen sei, schwäche dieser Vorfall das Vertrauen in die Antivirus-Branche.

Löcherige Schutzsoftware
Ein Blick in die Statistiken des US-amerikanischen SANS-Instituts bestätigt diese Aussage. Seit dem Jahr 2000 veröffentlicht das Institut einmal im Jahr eine Liste der zwanzig schwerwiegendsten Sicherheitslücken in Anwendungssoftware. Windows und Internet Explorer belegen hier zwar seit Anbeginn vordere Plätze. Doch andere Software holt mittlerweile auf. Dazu gehören insbesondere die Produkte der Sicherheitsindustrie. Immer mehr Sicherheitslücken würden gerade in denjenigen Programmen gefunden, die eigentlich vor Netzangriffen und Schadprogrammen schützen sollen. Potenzielle Angreifer stürzen sich deshalb laut SANS-Institut immer öfter auf die Produkte der Sicherheitsindustrie. Man habe 2005 eine Welle von Angriffen beobachtet, die speziell Firewalls und Antivirensoftware im Visier gehabt und Sicherheitslücken in diesen Programmen ausgenutzt hätten.

Schlampige Arbeit
Woran liegt es, dass immer mehr Lücken und Mängel gerade in Schutzprogrammen zu finden sind? Die Experten der US-Unternehmensberatungsfirma Yankee Group haben darauf eine eindeutige Antwort. Sie attestieren den Sicherheitsfirmen schlampige Arbeit insbesondere bei den Qualitäts- und Endkontrollen. Diese seien viel zu lasch. Neue Produkte und Updates sollten erst nach intensiver Prüfung auf den Markt geworfen werden.

Zurück zur News-Übersicht