Das Erwachen der LNK-Dateien
Neuer "HP Wolf Security Report" zeigt, mit welchen neuen Techniken und Phishing-Ködern Mitarbeiter getäuscht werden
Cyber-Kriminelle setzen bei Angriffen auf Verknüpfungen
Hewlett-Packard (HP) veröffentlichte die aktuelle Ausgabe ihres quartalsweise erscheinenden Threat Insights Reports. Demnach setzen Cyber-Kriminelle, die Malware-Familien – wie QakBot, IceID, Emotet und RedLine Stealer – für ihre Angriffe nutzen, vermehrt auf Verknüpfungs-Dateien (auch LNK genannt), um die Schadprogramme zu verbreiten. Bisher wurden hauptsächlich Office-Makros als Einfallstor für Malware ins Unternehmensnetzwerk genutzt – diese werden mittlerweile allerdings standardmäßig von Office blockiert. Haben Cyber-Kriminelle Zugang auf das Unternehmensnetzwerk, sind sie in der Lage, wertvolle Daten zu stehlen oder an Ransomware-Gruppen weiterzuverkaufen. Dies wiederum führt zu weitreichenden Sicherheitsverletzungen, die den Geschäftsbetrieb zum Erliegen bringen und erhebliche Kosten für die Behebung verursachen können.
Der aktuelle globale "HP Wolf Security Threat Insights Report" analysiert reale Cyber-Attacken und zeigt einen Anstieg von elf Prozent bei mit Malware infizierten Archivdateien, darunter auch LNK-Dateien. Um E-Mail-Scanner zu umgehen, platzieren Angreifer die Verknüpfungsdateien in ZIP-E-Mail-Anhängen. Hacker-Foren bieten dazu LNK-Malware-Baukästen an: Cyber-Kriminelle sind damit in der Lage, schädliche Verknüpfungsdaten zu erstellen und damit Organisationen ins Visier zu nehmen – somit wird den Angreifern ein unkomplizierter Wechsel auf eine "makro-freie" Code-Ausführungstechnik ermöglicht.
"Makros, die aus dem Internet heruntergeladen werden, werden in Office standardmäßig blockiert – aus diesem Grund halten wir besonders Ausschau nach alternativen Ausführungsmethoden, die von Cyber-Kriminellen getestet werden. Das Öffnen einer Verknüpfung oder einer HTML-Datei mag für einen Mitarbeiter harmlos erscheinen, kann aber ein großes Risiko für die Organisation darstellen", erklärt Alex Holland, Senior Malware Analyst, HP Wolf Security Threat Research Team, HP Inc. "Unternehmen müssen schnellstmöglich Maßnahmen ergreifen, um sich gegen die von Angreifern immer beliebter werdenden Techniken zu schützen – andernfalls sind sie ihnen schutzlos ausgeliefert. Wir empfehlen, Verknüpfungsdateien, die als E-Mail-Anhänge empfangen oder aus dem Internet heruntergeladen werden, wenn möglich sofort zu blockieren."
HP Wolf Security analysiert Bedrohungen auf PCs, die nicht von Erkennungs-Tools entdeckt wurden, und erhält damit spezifische Einblicke in die neuesten Techniken der Cyber-Kriminellen.
Neben der Zunahme von LNK-Dateien liefert der Report in diesem Quartal darüber hinaus die folgenden Erkenntnisse:
>> HTML-Schmuggel erreicht kritische Masse – HP hat mehrere Phishing-Kampagnen identifiziert, bei denen E-Mails eingesetzt wurden, die vermeintlich von regionalen Postdiensten stammten. Darüber hinaus stellte der Bericht – wie von HP prognostiziert – fest, dass im Rahmen von Großveranstaltungen wie der Doha Expo 2023 vermehrt HTML-Schmuggel zur Verbreitung von Malware zum Einsatz kommt. Mithilfe dieser Technik werden gefährliche Dateitypen, die normalerweise von E-Mail-Gateways blockiert werden, in Firmen eingeschleust – die Folge ist ein Malware-Befall.
>> Angreifer nutzen das durch die Zero-Day-Schwachstelle Follina (CVE-2022-30190) entstandene Defizit aus – Nach Bekanntgabe der aktuellen Zero-Day-Schwachstelle im Microsoft Support Diagnostic Tool (MSDT) – genannt "Follina" – nutzten zahlreiche Bedrohungsakteure diese aus, um QakBot, Agent Tesla und den Remcos RAT (Remote Access Trojan) noch vor der Verfügbarkeit eines Patches zu verbreiten. Das Defizit gibt Angreifern die Möglichkeit, beliebigen Code auszuführen, um Malware zu verbreiten. Darüber hinaus ist kaum Interaktion mit dem Anwender notwendig, um Schadprogramme auf den Zielcomputern zu installieren – dies macht das Defizit besonders gefährlich.
>> Neuartige Ausführungsmethode: In Dokumenten versteckter Shellcode verbreitet SVCReady-Malware – HP hat eine Kampagne aufgedeckt, die eine neue Malware-Familie namens SVCReady über in Office-Dokumenten versteckten Shellcode verbreitet. Die Malware sammelt Systeminformationen und lädt im Anschluss sekundäre Malware-Nutzlasten auf infizierte PCs. Das Schadprogramm befindet sich noch in einem frühen Entwicklungsstadium und wurde in den vergangenen Monaten mehrfach aktualisiert.
Die Ergebnisse basieren auf Daten von Millionen von Endgeräten, auf denen HP Wolf Security läuft. HP Wolf Security führt riskante Aufgaben wie das Öffnen von E-Mail-Anhängen, das Herunterladen von Dateien und das Klicken auf Links in isolierten, mikro-virtuellen Maschinen (Micro-VMs) aus, um Anwender zu schützen – darüber hinaus werden detaillierte Spuren von Infektionsversuchen erfasst. Die HP Technologie zur Anwendungsisolierung entschärft Bedrohungen, die anderen Security-Tools entgehen können. Ebenso bietet sie einzigartige Einblicke in neuartige Intrusionstechniken sowie in das Verhalten von Bedrohungsakteuren. Bis heute haben HP Kunden mehr als 18 Milliarden E-Mail-Anhänge, Webseiten und heruntergeladene Dateien angeklickt, ohne dass ein Sicherheitsverstoß gemeldet wurde.
Weitere Erkenntnisse umfassen:
>> 14 Prozent der von HP Wolf Security erfassten E-Mail-Malware konnte mindestens einen E-Mail-Gateway-Scanner umgehen.
>> Bedrohungsakteure nutzten 593 unterschiedliche Malware-Familien bei ihren Versuchen, Unternehmen zu infizieren. Zum Vergleich: Im vorherigen Quartal lag die Anzahl noch bei 545.
>> Tabellenkalkulationen sind nach wie vor der wichtigste schädliche Dateityp. Darüber hinaus verzeichnete das Bedrohungsforschungsteam einen 11-prozentigen Anstieg bei Archivdateien.
>> 69 Prozent der entdeckten Malware wurde per E-Mail verbreitet, dabei wurde 17 Prozent der Malware aus dem Internet heruntergeladen.
>> Die häufigsten Phishing-Köder waren Geschäftsvorgänge wie "Bestellung", "Zahlung", "Kauf", "Anfrage" und "Rechnung".
"Angreifer testen immer wieder neue schädliche Dateiformate, um deren Erkennung zu umgehen – Unternehmen müssen also auf das Unerwartete vorbereitet sein. Das bedeutet, dass ein architektonischer Ansatz für die Endgerätesicherheit gewählt werden muss. Dieser sollte die häufigsten Angriffsvektoren wie E-Mail, Browser und Downloads umfassen, so dass Bedrohungen – unabhängig davon, ob sie entdeckt werden – isoliert werden können", kommentiert Dr. Ian Pratt, Global Head of Security for Personal Systems, HP Inc. "Dies minimiert die Angriffsfläche für ganze Bedrohungskategorien. Gleichzeitig haben Organisationen mehr Zeit, um Patch-Zyklen sicher und ohne Unterbrechungen zu koordinieren."
Über die Methodik
Die Daten wurden von April bis Juni 2022 anonym in virtuellen Maschinen von HP Wolf Security-Kunden gesammelt.
(Hewlett-Packard: ra)
eingetragen: 17.08.22
Newsletterlauf: 04.10.22
Hewlett-Packard: Kontakt und Steckbrief
Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.
