Stefan Kanthak (postmaster@[127.0.0.1]) schrieb mit dem ihm ureigenen
Mangel an digitaler Hygiene und Tischmanieren, eine seit 2009 nicht mehr
unterstützte Clientanwendung mit bekannten Remote-Code-Execution-Lücken
verwendend:
> Subject: Re: Windows Kalender
Ich mag es kaum sagen, aber in diesem Fall liegt der Sicherheitsforscher
richtig. Franz Josef Wechselberger nutzt zum "Backen" der Anwendung den
Nullsoft Installer ?3.00?, der eine dokumentierte PE-Lücke
<
https://research.nccgroup.com/2023/07/03/technical-advisory-nullsoft-
scriptable-installer-system-nsis-insecure-temporary-directory-usage/>
aufweist. Für eine Nutzung müsste man einen Wrapper um das NSIS Paket
schnüren und eine SHA-1 Kollision mit Herrn Wechselbergers Digest
berechnen, damit die Signatur keinen Fehler beim Aufruf des NSIS wirft.
Nur an der Stelle, wo ich durch mehrere Tage Hash-Inversion auf der GPU
gehe, kann ich die DLLs direkt tauschen und mir den Wrapper sparen.
Mich würde an dem Tool auch stören, dass die Sidebar-"Anwendung" im
wesentlichen ein Fly-Inn für eine HTML5 Seite ist, das ein paar
JavaScripts nutzt, womit der Edge-Browser als Renderer meine Kalender
Inhalte bearbeitet und je nach Einstellung an Copilot leitet.
Dazu ist die Kommunikation via USB nicht verschlüsselt. Womit die Ecrypted
Enclave auf dem Android gebrochen ist und jede App mit Zugriff auf die
USB-Addressbereiche mitlesen kann. Das Microsoft mit dem Smartphone-Link
besser gelöst.
Nebenbei hatte Herr Wechselberger um 2013 zunächst nicht umgehbare Drive-
By-Installer unter anderem RocketTab geladen, bis Sophos und Trendmicro
seine Installer als PUA (Possible Unwanted Application) blockierten und
wäre damit ganz tief in meiner Nono-Liste.
Falk