NetSupport RAT installiert sich über gefälschte Update-Benachrichtigungen

Die Security-Analysten des Zscaler-ThreatLabZ-Teams konnten zwei Kampagnen aufdecken, bei denen Cyberkriminelle ahnungslose Nutzer dazu bringen wollen, einen Remote Access Trojaner (RAT) über ein gefälschtes Flash-Player- und ein Font-Update herunterzuladen. [...]

Zscaler hat in den vergangenen drei Monaten 40.000 der beschriebenen Angriffe in der Security Cloud blockiert.
Zscaler hat in den vergangenen drei Monaten 40.000 der beschriebenen Angriffe in der Security Cloud blockiert.(c) Joachim Roy - Fotolia

RATs werden von Cyberkriminellen genutzt, um eine Hintertür im System des ZielUnternehmens zu etablieren, um dadurch aus der Ferne darauf zuzugreifen. In der heutigen digitalen Welt ist die Webseite ein wertvolles Gut, das das Unternehmen in der Öffentlichkeit präsentiert. Als solches gilt es den Auftritt vor Angriffen zu schützen, die den Geschäftsbetrieb, Mitarbeiter oder Kunden einem Risiko aussetzen können.

Ziel der eingangs erwähnten von Zscaler aufgedeckten Kampagnen ist es, bösartige Redirector-Skripte in kompromittierte Content-Management-System-(CMS)-Plattformen einzuschleusen. Die betroffenen Seiten basieren in der Regel auf beliebten Programmen, wie WordPress, Joomla, oder Drupal. Die Cyberkriminellen greifen über Schwachstellen an, die sich in Plugins, Themes und Erweiterungen verstecken. Beide untersuchte Malware-Kampagnen liefern eine Payload aus die dazu dient sensible Informationen zu stehlen. Die folgende Abbildung zeigt die Treffer gegen verschiedene Websites. Insgesamt hat das ThreatLabZ-Team in den letzten drei Monaten fast 40 000 dieser Angriffsversuche blockiert.

Die Anzahl der blockierten Attacken auf den verschiedenen CMS-Plattformen: WordPress (grün), Joomla (gold), Drupal (blau) und andere (orange). (c) Zscaler

Angriffsmethode 1: Gefälschte Flash-Player-Update-Kampagne

Bei diesem Angriff hackten Cyberkriminelle WordPress-Webseiten über die Theme-Plugin-Schwachstelle und injizierten zwei bösartige Redirect-Skripte in die betroffene Website. Durch die Verwendung eines der beiden Skripte bringen die Angreifer Malware auf der Benutzerseite aus. Das injizierte Skript leitet zur Betrugsseite weiter und lädt das Skript für die gefälschte Update-Vorlage herunter, um dem Benutzer eine gefälschte Flash Player-Update-Warnung anzuzeigen.

Eine kompromittierte WordPress-Webseite mit dem gefälschten Flash-Player-Update-Hinweis. (c) Zscaler

Angriffsmethode 2: Kampagne zur Aktualisierung gefälschter Schriftarten

Bei diesem Angriff injizieren die Cyberkriminellen das Skript der gefälschten Update-Vorlage direkt, indem sie die legitime Website ausnutzen, um der Erkennung zu entgehen. Die Template-Skriptlogik identifiziert den verwendeten Browser des Anwenders. Beim Zugriff auf die kompromittierte Website über Chrome erhält der Benutzer eine Warnung, dass die Schriftart ‚PT Sans‘ nicht gefunden wurde. 

Die kompromittierte Seite mit einer gefälschten Schriftarten-Update-Seite (Chrome). (c) Zscaler

Die gesamte Analyse des NetSupport RAT können Interessierte hier auf englisch nachlesen: www.zscaler.com/blogs/research/netsupport-rat-installed-fake-update-notices.


Mehr Artikel

Rüdiger Linhart, Vorsitzender der Berufsgruppe IT der Fachgruppe UBIT Wien. (c) WeinwurmFotografie
Interview

IT-Berufe im Fokus: Innovative Lösungen gegen den Fachkräftemangel

Angesichts des anhaltenden IT-Fachkräftemangels ist schnelles Handeln gefordert. Die Fachgruppe IT der UBIT Wien setzt in einer Kampagne genau hier an: Mit einem breiten Ansatz soll das vielfältige Berufsbild attraktiver gemacht und innovative Ausbildungswege aufgezeigt werden. IT WELT.at hat dazu mit Rüdiger Linhart, Vorsitzender der Berufsgruppe IT der Fachgruppe UBIT Wien, ein Interview geführt. […]

News

ISO/IEC 27001 erhöht Informationssicherheit bei 81 Prozent der zertifizierten Unternehmen

Eine Umfrage unter 200 Personen verschiedener Branchen und Unternehmensgrößen in Österreich hat erstmals abgefragt, inwiefern der internationale Standard für Informationssicherheits-Managementsysteme (ISO/IEC 27001) bei der Bewältigung von Security-Problemen in der Praxis unterstützt. Ergebnis: Rund 81 Prozent der zertifizierten Unternehmen gaben an, dass sich durch die ISO/IEC 27001 die Informationssicherheit in ihrem Unternehmen erhöht hat. […]

News

Public Key Infrastructure: Best Practices für einen erfolgreichen Zertifikats-Widerruf

Um die Sicherheit ihrer Public Key Infrastructure (PKI) aufrecht zu erhalten, müssen PKI-Teams, sobald bei einer Zertifizierungsstelle eine Sicherheitslücke entdeckt worden ist, sämtliche betroffenen Zertifikate widerrufen. Ein wichtiger Vorgang, der zwar nicht regelmäßig, aber doch so häufig auftritt, dass es sich lohnt, PKI-Teams einige Best Practices für einen effektiven und effizienten Zertifikatswiderruf an die Hand zu geben. […]

News

UBIT Security-Talk: Cyberkriminalität wächst unaufhaltsam

Jedes Unternehmen, das IT-Systeme nutzt, ist potenziell gefährdet Opfer von Cyberkriminalität zu werden, denn die Bedrohung und die Anzahl der Hackerangriffe in Österreich nimmt stetig zu. Die Experts Group IT-Security der Wirtschaftskammer Salzburg lädt am 11. November 2024 zum „UBIT Security-Talk Cyber Defense“ ein, um Unternehmen in Salzburg zu unterstützen, sich besser gegen diese Bedrohungen zu wappnen. […]

Be the first to comment

Leave a Reply

Your email address will not be published.


*