Gefährliche Bilder: Kriminelle nutzen Facebook als Ransomware-Schleuder
Die ImageGate genannte Methode wird derzeit hauptsächlich in sozialen Medien angewandt. Die Angreifer nutzen dazu eine fehlerhafte Konfiguration bei Angeboten wie Facebook und LinkedIn. Damit gelingt es ihnen, dass das Bild heruntergeladen anstatt nur betrachtet wird.
Sicherheitsforscher von Checkpoint haben vermutlich eine Erklärung dafür gefunden, wieso sich die Ransomware Locky seit einigen Tagen rasant über Soziale Medien, insbesondere über Facebook, ausbreiten kann. Den Experten zufolge nutzen die Angreifer dabei eine Fehlkonfiguration in der Infrastruktur der Dienste aus. Dadurch ist es möglich, dass deren Nutzer, wenn sie ein Bild betrachten wollen, dazu gedrängt werden, dieses herunterzuladen, weil sie es online nicht sehen können.
Diese von dem Checkpoint-Experten ImageGate genannte Lücke, machen sich die Angreifer mit einer neu entwickelten Methode zunutze, Malware in Bild- und Grafikdateien einzubetten. Dadurch wird mit dem Download des Bildes auch die Malware übertragen. Checkpoint hat Facebook und LinkedIn eigenen Angaben zufolge bereits Anfang September über diese Schwachstelle informiert. Detaillierte technische Informationen zum Angriffsvektor will Checkpoint erst öffentlich bekannt machen, wenn die Schwachstelle in den wichtigsten betroffenen Webseiten behoben ist.
Nachdem die Locky-Ransomware mittels der Bilddatei übertragen und dann automatisch installiert wurde verschlüsselt sie alle Dateien auf dem Endgerät. Wie üblich wird dann die Zahlung eines Lösegelds verlangt.
“Cyberkriminelle wissen, dass diese Seiten normalerweise auf der ‘Positivliste’ stehen, und aus diesem Grund sind sie kontinuierlich auf der Suche nach neuen Techniken, mit denen sie die sozialen Medien als Hosts für ihre böswilligen Aktionen nutzen können”, erklärt Oded Vanunu, Leiter Products Vulnerability Research bei Checkpoint, in einer Pressemitteilung.
Checkpoint empfiehlt Nutzern, falls sie bei Facebook und anderen derartigen Diensten ein Bild angeklickt haben und der Browser damit beginnt, eine Datei herunterzuladen, diese auf keinen Fall zu öffnen. Wenn alles in Ordnung ist, sollten die Webseiten der sozialen Medien das Bild anzeigen, ohne das eine Datei heruntergeladen werden muss. Außerdem sollte man sich davor hüten, Bilddatei mit “ungewöhnlicher Dateinamenerweiterung” (etwa SVG, JS oder HTA) zu öffnen.
In einem Video bei Youtube zeigt Checkpoint, wie der Angriff mit der in Bildern eingebetteter Ransomware über die Schwachstelle in Facebook abläuft.
