IT-Sicherheitsanbieter warnen vor Mouse-over-Malware

Experten der IT-Sicherheitsanbieter Malwarebytes und Trend Micro haben sich mit einer neuen Malware beschäftigt, die sich selbsttätig auf dem PC eines Opfers installieren kann. Es reicht aus, wenn der Nutzer mit dem Mauszeiger über einen entsprechend präparierten Link in einer Microsoft-Office-Datei fährt.

Offenbar werden entsprechende Dokumente per E-Mail verteilt respektive Links zu Schadcode-verseuchten Dokumenten bei Office 365 versandt. Wie so oft gaukeln die Hintermänner in Betreffzeile und dem kurzen E-Mail-Text auch hier wieder vor, es handle sich um eine Rechnung oder eine Bestellung. Sie richten sich damit offenbar gezielt an Mitarbeiter in Firmen.

Wie Trend Micro berichtet, ist es nicht erforderlich, dass der Angegriffene auf den präparierten Link klickt. Es reicht aus, wenn er den Mauszeiger über die verlinkte Textstelle oder das verlinkte Bild in einer Powerpoint-Präsentation bewegt. In den untersuchten Fällen wurde dann der Banking-Trojaner OTLARD, auch bekannt als Gootkit, heruntergeladen.

Sowohl Trend Micro als auch Malywarebytes weisen allerdings darauf hin, dass bevor die Infektion stattfinden kann, der Nutzer einige grundlegende und gravierende Fehler machen muss. So muss zum Beispiel die von Office angezeigte Warnmeldung, dass das zu öffnende Dokument Skripte enthält, einfach weggeklickt werden.

Die Experten empfehlen wie üblich, aktuelle Antivirus-Software zu nutzen und verweisen dabei auf ihre Produkte. Allerdings hilft es auch schon, die geschützte Ansicht zu verwenden und sich vor dem Download eines Dokuments zu überlegen, ob das von einer vertrauenswürdigen Quelle stammt.

Im Zweifelsfall kann auch eines der webbasierenden Werkzeuge zur Dokumentenvorschau verwendet werden, um sich über den Inhalt des Dokuments Gewissheit zu verschaffen. Wie Trend Micro erklärt, kann dazu auch der Web-Modus von Microsoft Powerpoint Online oder Office 365 herangezogen werden, da darüber der von den Hintermännern der Malware gewählte Infektionsweg nicht möglich ist.