Spectre & Meltdown - Erste Schadsoftware-Experimente entdeckt

Schadsoftware wird wohl bald Meltdown & Spectre ausnutzen. (Bildquelle: Natascha Eibl/Public Domain)

Sicherheitsexperten finden immer mehr Beispiele für Schadsoftware, die Experimente mit den Prozessor-Sicherheitslücken Spectre und Meltdown durchführt. Mehrere Programmierer verwenden dabei laut einem Bericht von Bleeping Computer den Code, der als Beleg (Proof-of-Concept) für die beiden Sicherheitslücken veröffentlicht wurde.

Inzwischen wurden schon 119 Beispiele für solche Schadsoftware-Experimente gefunden. Die ersten Versuche wurden bei VirusTotal direkt nach der Veröffentlichung der beiden Sicherheitslücken und dem Beispielcode entdeckt und enthalten diesen Code oder Varianten davon.

Viele Beispiele stammen wohl von Forschern

Bisher scheinen die meisten der gefundenen Beispiele zwar noch von Sicherheitsforschern zu stammen, doch die steigende Anzahl deutet darauf hin, dass einige der Funde Versuche von Schadsoftware-Programmierern sind. »In freier Wildbahn«, also tatsächlich eingesetzt, wurden solche Angriffe bisher noch nicht, aber das ist laut Experten nur eine Frage der Zeit.

Schon seit Anfang Januar ist nach einer Bestätigung von Mozilla klar, dass Meltdown und Spectre durch ganz normales JavaScript auf entsprechend präparierten Webseiten ausgenutzt werden könnten. Das hätten eigene Experimente gezeigt.

Updates sind wichtig - sofern es welche gibt

Aktuelle Browser-Versionen, Betriebssystem-Updates und andere Maßnahmen machen das zwar schwerer, doch jeder Schutz gegen Sicherheitslücken setzt voraus, dass die Nutzer der Geräte entsprechende Updates auch installieren.

Das ist nicht immer der Fall, außerdem gibt es beispielsweise auch anfällige, ältere Smartphones mit ARM-CPU, die gar keine Updates mehr erhalten sollen und damit dauerhaft unsicher bleiben. Bleeping Computer geht auch davon aus, dass Meltdown und Spectre zuerst von Geheimdiensten ausgenutzt werden, bevor entsprechende Funktionen den Weg in (auch kommerziell vertriebene) Exploit-Kits und Schadsoftware-Angebote finden werden.

»Benchmarks zu Meltdown & Spectre – wie viel Performance kosten die Updates?