[datensicherheit.de, 22.01.2021] „Wenn das Wochenende vor der Tür steht, lässt bei vielen Nutzern die Wachsamkeit deutlich nach. Das machen sich Kriminelle zunutze“, sagt Tim Berghoff, Security Evangelist bei G DATA CyberDefense.

Tim Berghoff, Security Evangelist bei G DATA CyberDefense, Foto: G DATA

Bereits Mitte der Woche zeichnete sich ab, dass eine Schadsoftware mit dem Namen Dridex wieder verstärkt aktiv ist. Dieser Schädling ist für G DATA kein unbeschriebenes Blatt – bereits 2015 haben wir über diese Malware berichtet. Wie damals versteckt sich das Schadprogramm auch in diesem Fall in einer Office-Datei, getarnt als Versandbestätigung. Heruntergeladen wird die eigentliche Malware über ein eingebettetes Makro, welches sich hinter der „Drucken“-Funktion verbirgt.

Gerade im Moment sollten Nutzer also verstärkt auf der Hut sein, wenn es um solche vermeintlichen Versandbestätigungen geht. G DATA-Kunden sind geschützt – sowohl die Office-Datei als auch das darin eingebettete Makro werden von allen G DATA Security-Lösungen erkannt.

Vorsicht bei unsignierten Makros

Um die Sicherheit noch weiter zu erhöhen, lohnt es sich, Makros vor allem in Firmennetzwerken global zu deaktivieren. Sind dennoch Makros an einigen Stellen unverzichtbar, sollten nur signierte Makros verwendet und zugelassen werden. Die entsprechenden Optionen finden sich in den Active Directory Gruppenrichtlinien.

Zurzeit scheinen Donnerstag und Freitag zu den beliebteren Tagen für den Versand von Schadsoftware zu gehören. Bereits in der vergangenen Woche haben Kriminelle mit Gootkit / Kronos diesen Zeitpunkt für ihre Angriffe gewählt. Bei näherer Betrachtung ergibt das Sinn: Wenn das Wochenende unmittelbar vor der Tür steht, lässt bei vielen Nutzern die Wachsamkeit nach.

Weitere Informationen zum Thema:

datensicherheit.de, 11.12.2020
EMA-Hack: Gezielter Cyber-Angriff auf das Herz unserer KRITIS

[datensicherheit.de, 20.04.2017] Palo Alto Networks hat nach eigenen Angaben einen bisher unbekannten Remote-Access-Trojaner (RAT) entdeckt, der seit über zwei Jahren aktiv sein soll.

Downloader verwendet schädliche Makros in Microsoft-„Excel“-Dokumenten

Diese Malware wird demnach über eine bisher „einzigartige Technik“ ausgeliefert – ein von Forschern „Carp“ genannter Downloader verwende schädliche Makros in Microsoft-„Excel“-Dokumenten, um eingebetteten „C#“-Quellcode in eine ausführbare Datei zu kompilieren. Diese wiederum werde ausgeführt, um die RAT-Malware-Familie „Cardinal“ zu implementieren.

Köder oft im finanziellen Umfeld

Hierbei setzten Kriminelle zunächst eine Reihe von verschiedenen Ködern ein, um Opfer zur Ausführung der bösartigen Excel-Dateien zu verleiten. Die Mehrheit dieser Köder sei thematisch im finanziellen Umfeld einzuordnen, darunter gefälschte Kundenlisten für verschiedene Unternehmen.
Angesichts der Ähnlichkeiten, die einige dieser Köder aufwiesen, scheine es, dass die Angreifer eine Art Vorlage verwendeten, in der sie einfach bestimmte Zellen mit den entsprechenden Bildern oder Informationen tauschten.

Bisher 27 einzigartige Samples von „Cardinal RAT“ beobachtet

Der Name „Cardinal RAT“ kommt laut Palo Alto Networks von internen Namen, die vom Malware-Autor in den beobachteten ausführbaren Dateien verwendet werden. Neben mehreren Samples des „Carp“-Downloaders seien bisher 27 einzigartige Samples von „Cardinal RAT“ beobachtet worden, die bis zu zwei Jahre zurückzudatieren seien. Wahrscheinlich sei die geringe Anzahl an „in freier Wildbahn“ beobachteter Samples teilweise dafür verantwortlich, dass diese Malware-Familie so lange „unter dem Radar“ habe bleiben können.

Weitere Informationen zum Thema:

Paloalto NETWORKS, 20.04.2017
Cardinal RAT Active for Over Two Years

datensicherheit.de, 23.03.2017
Palo Alto Networks meldet Missbrauch von Android Plugin Frameworks