Angesichts sich ausbreitender LNK-Schädlinge ist es allerhöchste Zeit sich zu schützen. Mit G Data und Sophos springen gleich zwei AV-Hersteller in die Lücke, die der ausbleibende Patch von Microsoft hinterlässt.

Microsoft empfiehlt bisher als Schutz ein so genanntes Fix-it, das die Anzeige aller Link-Icons abschaltet. Damit wird die Arbeitsumgebung aber an einigen Stellen reichlich unübersichtlich. Deshalb gehen die Tools der Antiviren-Hersteller selektiver zu Werke. Sie installieren einen eigenen Icon-Handler für LNK-Dateien, der die Anzeige nur bei gefährlichen Links blockiert.

Beim G Data LNK-Checker funktionierte dies in unseren Kurztests zuverlässig. Bei allen getesteten Demo-Exploits erschien ein Einbahnstraßenschild als Icon, während die normalen Verweise auch ganz normal funktionierten. Allerdings ist es auch weiterhin möglich, bösartige LNK-Dateien anzuklicken und den Schädling damit manuell zu starten. Das muss dann ein Virenwächter blockieren.

Das Shortcut Exploit Protection Tool von Sophos versucht ebenfalls, bösartige LNK-Dateien abzufangen und präsentiert statt dem Icon ein Warnfenster mit dem Text:

Potential exploit found in shortcut [name.lnk].
Prevented launching file [name.lnk] 

Allerdings schützt dieses Tool nur begrenzt. So springt es laut Dokumentation grundsätzlich nicht auf Dateien an, die sich auf lokalen Festplatten befinden. Dies erlaubt es weiterhin, sich etwa durch das Auspacken eines ZIP-Archivs zu infizieren. Außerdem konnte im Kurztest ein Demo-LNK-Exploit auf einem USB-Stick weiterhin Programme auf der lokalen Festplatte starten, was ebenfalls ein unnötiges Risiko darstellt. Graham Cluley von Sophos bestätigte dieses Verhalten auf Nachfragen als konzeptbedingt.

Beide Tools arbeiten unabhängig von der installierten AV-Software. Sie ließen sich reibungslos installieren und durch einen zweiten Aufruf des Installers auch wieder entfernen. Nach Einschätzung von heise Security ist damit derzeit das G-Data-Tool als Alternative zu Microsofts Fix-it klar vorzuziehen.

Dass man sich schützen sollte, machen auch die langsam bekannt werdenden Fälle mit konkreten Infektionen deutlich. So bestätigte die Pressesprecherin Helen Däuwel der Daimler AG gegenüber heise Security Berichte über Viren-Probleme im Firmennetz des Autobauers. Die Ausbreitung eines Virus namens W32.Changeup führte letzte Woche zur Abschaltung mehrerer File-Server. In wenigen Fällen – Däuwel sprach von weniger als 1 Prozent – sei dabei auch die Variante W32.Changeup.C gesichtet worden, die unter anderem die LNK-Lücke ausnutzt. Wie der Wurm ins Netz kam, wollte die Sprecherin nicht kommentieren, die Situation sei aber mittlerweile wieder unter Kontrolle. (ju)

Quelle: heise.de