Malware modifiziert Angriffsschema in Abhängigkeit vom Betriebssystem

Sicherheitsforscher der FortiGuard Labs haben eine Malware gefunden und untersucht, die sowohl Rechner mit Windows als Mac OS X infizieren kann. Die Schadsoftware wird über eine präparierte Word-Datei verbreitet. Die wesentliche Besonderheit der Malware ist, dass sie zunächst prüft, welches Betriebssystem auf dem Rechner läuft, bevor sie dann daran angepassten Schadcode ausführt. Als weitere Besonderheit nennen die Forscher Xiaopeng Zhang und Chris Navarrete, dass jeder infizierte Client eine eindeutige ID erhält. Sie nehmen an, dass die Hintermänner damit die Effektivität ihrer Malware prüfen wollen.

Unabhängig davon, auf welcher Plattform die Malware gelandet ist, muss der Benutzer zunächst dazu verleitet werden, die Meldung zu deaktivieren, mit der Word vor der Ausführung von Makros warnt. Ist das gelungen, was aber offenbar in den vergangen Jahren immer öfter der Fall ist, kann der im Kommentar-Bereich der Word-Datei versteckte und zusätzlich verschlüsselte Code ausgeführt werden.

Die Malware prüft dann, welches Betriebssystem vorliegt. Handelt es sich um Mac OS, wird ein Python-Skript heruntergeladen und gestartet. Dabei handelt es sich den Forschern zufolge um eine Variante der von IT-Abteilungen häufig für Penetrationstests verwendeten Software “Meterpreter”. Die Funktion, einen Befehlsserver zu kontaktieren und weiteren schädlichen Code herunterzuladen sei derzeit in der Malware nicht aktiv.

Unter Windows startet die Malware den FortiLabs-Experten zufolge im Hintergrund Powershell.exe, um weiteren, in dem Word-Dokument versteckten Code auszuführen. Anschließend wird dann eine 64-Bit-DLL-Datei heruntergeladen und ausgeführt. Deren Aufgabe sei jedoch noch unklar.

Microsoft hat in seinen Office-Anwendungen die Ausführung von Makros standardmäßig deaktiviert. Da zur Ausführung des in Makros enthaltenen Codes keine Sicherheitslücken benötigt werden, wählen Hacker diesen Weg in letzter Zeit wieder häufiger. Microsoft hat darauf reagiert, indem es in dem seit Herbst 2015 verfügbaren Office 2016 seit knapp einem Jahr Firmen die Möglichkeit bietet, in den Gruppenrichtlinien szenarioabhängige Regeln festzulegen, um Makros zu sperren und eine Aktivierung durch Anwender zu verhindern.

Dennoch gibt es eine ganze Reihe von Malware-Familien, die mit Makros arbeiten. Palo Alto Networks hatte etwa im Februar auf einen neu entdeckten Loader für Microsoft Office hingewiesen, mit dessen Hilfe mehrere Malware-Familien verbreitet werden. Der Loader wurde in über 650 unterschiedlichen Samples identifiziert. Er wurde in E-Mail-Anhängen verbeitet, bei denen es sich meist um vermeintliche Aufträge, Rechnungsnummern, Produktlisten, Vertragsunterlagen oder andere Dokumente handelte, denen der Empfänger Geschäftsrelevanz unterstellt. Mit der Malware wurden in mehreren Branchen bis zum Zeitpunkt der Entdeckung bereits über 12.000 Angriffe auf Firmen durchgeführt. Am stärksten waren High-Tech-Unternehmen, Dienstleister, Rechtsanwaltskanzleien und Behörden betroffen.

Im Februar hatten dann Sicherheitsforscher von Objective See vor einer ebenfalls mittels Word-Dokumenten verbreiteten Malware gewarnt, mit der Nutzer von Mac OS angegriffen werden. Beim Öffnen des Word-Dokuments wird ebenfalls ein Python-Skript ausgeführt. In dem Fall wird damit wird geprüft, ob das Sicherheits-Tool Little Snitch auf dem Rechner läuft. Ist das nicht der Fall, wird im Hintergrund ohne Interaktion mit dem Nutzer Schadcode nachgeladen und ausgeführt.

In Deutschland sorgte die Polizei und das CERT-Bund im Dezember 2016 mit einer Warnung vor einer als “Goldeneye” bezeichneten, ebenfalls per Word-Dokumenten verteilten Malware für Aufregung. Sie wurde damals per Mail an Personalabteilungen versendet. Die als Initiativbewerbung getarnten Nachrichten brachten in einer angehängten Excel-Tabelle die Schadsoftware mit. Auch hier wurden Nutzer aufgeforderte, “die Bearbeitungsfunktion zu aktivieren” um dem Makro-Virus die erforderlichen Möglichkeiten zu verschaffen,

[mit Material von Stefan Beiersmann, ZDNet.de]

Tipp: Wie gut kennen Sie die Geschichte der Viren? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.