Cyberkriminelle umgehen Sicherheitsvorkehrungen mit Powershell-Skripten

Der Sicherheitsanbieter Proofpoint hat eine neue Angriffstechnik cyberkrimineller Gruppen entdeckt. Mithilfe von Social Engineering versuchen sie, Benutzer dazu zu verleiten, schädliche PowerShell-Befehler auf ihre eigenen Systemen auszuführen. Die Methode erlaubt es den Bedrohungsakteuren zudem, klassische Sicherheitsvorkehrungen wie Antimalware-Lösungen und Firewalls zu umgehen.

Den Forschern zufolge wird die Methode unter anderem vom Initial Access Broker (IAB) TA571 eingesetzt, um Malware wie DarkGate, Matanbuchus, NetSupport und verschiedene Information Stealer zu verbreiten. Gestartet werden die Angriffe meist über Malspam oder Webbrowser-Injectrions.

Danach laufen die Angriffe jedoch meist ähnlich ab. Den Benutzern wird ein Popup-Fenster mit der Meldung angezeigt, dass ein Fehler beim Versuch aufgetreten ist, ein Dokument oder eine Webseite zu öffnen. Sie werden dann aufgefordert, ein bösartiges Skript in das PowerShell-Terminal oder das Windows-Dialogfeld „Ausführen“ zu kopieren und einzugeben, um das Skript schließlich über PowerShell auszuführen.

„Diese Art von Angriff ist besonders gefährlich, weil sie die meisten traditionellen Sicherheitsvorkehrungen wie Antimalware-Lösungen und Firewalls umgeht.“, teilte Proofpoint mit. „Da die schädlichen Aktivitäten vom Benutzer selbst initiiert werden, bleiben sie oft unentdeckt und stellen ein wirksames Werkzeug für Cyberkriminelle dar.“

Proofpoint rät, Nutzer über die neue Angriffsmethode aufzuklären. Sie müssten sich der Risiken bewusst sein, die mit dem Kopieren und Einfügen unbekannter Befehle in ihre Konsolen verbunden seien. Auch sei der Einsatz von Sicherheitslösungen ratsam, die in der Lage seien, schädliche PowerShell-Aktivitäten zu erkennen und zu blockieren.