Microsoft hat eine Malware-Kampagne beobachtet, bei der Angreifer VBS-Dateien (Visual Basic Script) in WhatsApp-Nachrichten versenden. F\u00fchren Opfer diese aus, l\u00f6st das eine mehrstufige Infektionskette aus, an deren Ende die Angreifer Fernzugriff erhalten und sich im System einnisten. Besonders gef\u00e4hrdet sind Nutzer und Nutzerinnen der WhatsApp-Desktop-Version unter Windows, da die b\u00f6sartigen Skripte sich dort ohne Umwege ausf\u00fchren lassen.<\/p>\n
Weiterlesen nach der Anzeige<\/p>\n
In einem Blog-Beitrag warnt das Microsoft-Defender-Securityteam<\/a> vor dieser Kampagne, die Ende Februar ihren Anfang nahm. Die Angreifer setzen dazu auf Social Engineering und sogenannte \u201eLiving-off-the-land\u201c-Techniken (auch unter dem K\u00fcrzel \u201eLOLbins\u201c bekannt), nutzen also vom Betriebssystem mitgelieferte ausf\u00fchrbare Dateien f\u00fcr den Angriff. Die am Ende installierte Malware im MSI-Format (Microsoft Installer) kommt schlie\u00dflich aus der Cloud.<\/p>\n WhatsApp als Einstiegspunkt der Angriffskette<\/p>\n Beispiele von beobachteten Nachrichten nennen die IT-Forensiker nicht, erkl\u00e4ren jedoch, dass die b\u00f6sartigen VBS-Dateien als WhatsApp-Nachrichten bei den Opfern landen und somit das Vertrauen in die bekannte Kommunikationsplattform missbraucht werde. Bei der Ausf\u00fchrung legt das Skript versteckte Ordner unter \u201eC:\\ProgramData\u201c an und speichert dort umbenannte Versionen legitimer Windows-Werkzeuge wie \u201ecurl.exe\u201c \u2013 in \u201enetapi.dll\u201c umbenannt \u2013 oder \u201ebitsadmin.exe\u201c als \u201esc.exe\u201c.<\/p>\n Beim n\u00e4chsten Schritt l\u00e4dt die Malware mit den umbenannten Bin\u00e4rdateien weitere Dropper wie \u201eauxs.vbs\u201c und \u201eWinUpdate_KB5034231.vbs\u201c aus oftmals als vertrauensw\u00fcrdig eingestuften Cloudspeichern wie AWS S3, der Tencent Cloud oder Backblaze B2 nach. Das verschleiert die b\u00f6sartigen Aktivit\u00e4ten als legitimen Netzwerkverkehr, erkl\u00e4ren die Microsoft-Mitarbeiter. <\/p>\n Nach dem Herunterladen ver\u00e4ndert die Malware Einstellungen der Benutzerkontensteuerung, um durch das Deaktivieren von UAC-Prompts die Verteidigungsmechanismen des Windows-Systems zu schw\u00e4chen. Es startet wiederholt die Eingabeaufforderung \u201ecmd.exe\u201c mit erh\u00f6hten Rechten, bis die Rechteerh\u00f6hung funktioniert hat oder der Prozess gewaltsam abgebrochen wurde. Durch Ver\u00e4nderungen von Registry-Eintr\u00e4gen unter \u201eHKLM\\Software\\Microsoft\\Win\u201c verankert sich der Schadcode und erreicht Persistenz \u00fcber Reboots hinweg.<\/p>\n Die darauffolgende letzte Stufe l\u00e4dt unsignierte MSI-Installer mit Namen wie Setup.msi, WinRAR.msi, LinkPoint.msi und AnyDesk.msi nach. Die enthalten Fernsteuerungssoftware wie AnyDesk und erm\u00f6glichen Angreifern nachhaltigen Fernzugriff zum Ausleiten von Daten, Installieren weiterer Malware oder zum Missbrauch kompromittierter Maschinen als Teil eines gr\u00f6\u00dferen Netzwerks infizierter Ger\u00e4te, f\u00fchren die Analysten aus. Insbesondere in Unternehmensumgebungen sind solche MSI-Installer f\u00fcr die Softwareverwaltung typisch und sollen so unter dem Radar bleiben.<\/p>\n Interessierte finden in der Analyse Tipps und Hinweise, wie IT-Verantwortliche ihre Netzwerke vor solchen Angriffen sch\u00fctzen k\u00f6nnen. Dazu geh\u00f6rt das Blockieren von Scripting-Hosts auf Endpoints oder die \u00dcberwachung von Cloud-Traffic, aber auch die Mitarbeitersensibilisierung.<\/p>\n Weiterlesen nach der Anzeige<\/p>\n Nutzer und Nutzerinnen von popul\u00e4ren Messengern, insbesondere herausragende Pers\u00f6nlichkeiten oder h\u00f6herrangige Beamte und Politiker, stehen in j\u00fcngerer Zeit oftmals im Visier von Angreifern. Etwa Ende vergangenen Jahres haben Cyberkriminelle mit ausgefeilten Social-Engineering-Taktiken<\/a> versucht, Zugriff auf die Messenger-Apps potenzieller Opfer zu erlangen und diese so auszusp\u00e4hen. Insbesondere bei Nachrichten von Unbekannten ist daher besondere Vorsicht angebracht.<\/p>\n