Hacker nutzen derzeit eine kürzlich geschlossene Sicherheitslücke in Microsoft Office aus, um Schadsoftware zu verteilen. Die Zyklon genannte Malware ist in der Lage, Anmeldedaten zu stehlen, Cryptowährungen zu schürfen, Denial-of-Service-Angriffe auszuführen und weitere schädliche Software zu installieren. In Untergrundforen wird sie für lediglich 75 Dollar zum Kauf angeboten.
Laut FireEye wird eine neue Variante der seit 2016 aktiven Malware nun per E-Mail vor allem an Telekommunikationsfirmen, Versicherungen und den Finanzsektor verschickt. Der Inhalt der elektronischen Nachrichten sei auf die jeweiligen Empfänger zugeschnitten und ermutige sie, die angehängte ZIP-Datei mit einem Office-Dokument zu öffnen. Wird auf das Dokument zugegriffen, startet ein PowerShell basiertes Skript und infiziert den Rechner des Opfers mit der eigentlichen Schadsoftware.
Unter anderem nutzen die Hintermänner der Kampagne die Schwachstelle mit der Kennung CVE-2017-11882 aus, die im Dezember 2017 enthüllt wurde. Sie erlaubt es, mithilfe eines speziell präparierten Office-Dokuments eine beliebige Datei herunterzuladen – in dem Fall besagtes PowerShell-Skript.
Sie haben es aber auch auf die im September 2017 gepatchte .NET-Lücke CVE-2017-8759 abgesehen. Ein Fehler in der Funktion Object Linking and Embedding (OLE) erlaubt es auch hier, eine beliebige Datei herunterzuladen, sprich das PowerShell-Skript auszuführen.
FireEye weist auch darauf hin, dass die Schadsoftware das Anonymisierungsnetzwerk Tor verwendet, um ihre Spuren zu verwischen. Per Plug-in können die Hacker zudem den Funktionsumfang der Malware erweitern und praktisch auf jegliche gespeicherte Daten zugreifen. Außerdem stiehlt Zyklon Passwörter aus Browsern und von FTP-Anwendungen sowie E-Mail-Konten. Die Malware hat es aber auch auf den Inhalt von Geldbörsen für virtuelle Währungen und Lizenzschlüssel von mehr als 200 häufig genutzten Anwendungen abgesehen, darunter Microsoft Office, SQL-Server sowie Software von Adobe und Nero.
Die Hacker können einen infizierten Rechner aber auch zu einem Botnetz hinzufügen. Das wiederum erlaubt DDoS-Angriffe auf beliebige Ziele und das Schürfen von Kryptowährungen.
Die FireEye-Forscher Swapnil Patil und Yogesh Londhe betonen in einem Blogeintrag die Bedeutung zeitnaher Softwareupdates. „Diese Art von Bedrohung zeigt, warum es sehr wichtig ist sicherzustellen, dass jegliche Software vollständig aktualisiert ist.“ „Die Sicherheitsupdates wurden im vergangenen Jahr veröffentlicht und Kunden, die sie eingespielt oder automatische Updates aktiviert haben, sind geschützt“, ergänzte ein Microsoft-Sprecher.
Report: State of Digital Transformation EMEA 2019
Zu den größten Hürden der digitalen Transformation zählen der mobile Zugriff auf Unternehmensdaten und Anwendungen, die Nutzung unsicherer Netzwerke und nicht verwalteter Geräte. Das geht aus dem Report „State of Digital Transformation EMEA 2019“ von Zscaler hervor. Jetzt den vollständigen Report herunterladen!
[mit Material von Danny Palmer, ZDNet.com]
Tipp: Wie gut kennen Sie die Geschichte der Computer-Viren? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.
Neueste Kommentare
2 Kommentare zu FireEye warnt vor Malware für kürzlich gepatchte Office-Lücken
Kommentar hinzufügenVielen Dank für Ihren Kommentar.
Ihr Kommentar wurde gespeichert und wartet auf Moderation.
Nutzt die Schadsoftware nur die ungepatchten Lücken aus, oder sind in den zur Verfügung gestellten Patches weiterhin Lücken? Das ist etwas unklar formuliert.
Wenn der Angriff nur VOR dem Patchen möglich ist, dann ist das Ganze ja tiefenentspannt zu sehen (wenn man sich um die Updates gekümmert hat).
„Hacker nutzen derzeit eine kürzlich geschlossene Sicherheitslücke in Microsoft Office aus, um Schadsoftware zu verteilen.“ Wenn alle Updates eingespielt wurden, besteht diese Angriffsmöglichkeit nicht mehr.