Service von McAfee verteilte Banking-Malware

Der Sicherheitsforscher Benkow ist auf ein schädliches Word-Dokument gestoßen, das ihm über eine von McAfee gehostete Domain angeboten wurde. Die URL cp.mcafee.com gehört zum Dienst McAfee ClickProtect, den das Unternehmen mit der Aussage “schützen Sie Ihr Unternehmen vor Hacking” bewirbt.

ClickProtect ist ein Dienst, der Nutzern helfen soll, sich vor Phishing-Angriffen und Malware-Links in E-Mails zu schützen. Er soll auch verhindern, dass Nutzer gefährliche Websites besuchen. Zwar befand sich die fragliche Malware an sich auf einer Website eines Drittanbieters, dorthin gelangten Nutzer jedoch über die McAfee-Domain.

Ein McAfee-Sprecher erklärte, man untersuche den Vorfall. Der ClickProtect-Dienst arbeite jedoch wie vorgesehen. “In den frühen Stunden des 13. November war das fragliche Ziel noch nicht als Quelle einer Malware identifiziert worden. Im Lauf des Tages identifizierte McAfees Global Threat Intelligence Service die Website tatsächlich als Bedrohung und änderte ihren Bedrohungsstatus von ‘gering’ zu ‘hoch'”. Danach seien McAfee-Kunden nicht mehr in der Lage gewesen, die Seite aufzurufen.

Untersuchungen von ZDNet USA zufolge war die Seite jedoch kurz nach dem Zeitpunkt, zu dem sie laut McAfee bereits blockiert wurde, noch erreichbar. Unklar ist demnach auch, warum McAfee die Seite zwar einerseits irgendwann als gefährlich einstufte, andererseits aber noch den Download der Malware erlaubte. Mit den Widersprüchen konfrontiert ergänzte der Sprecher, der genaue zeitliche Ablauf sei noch nicht geklärt.

Bei der Malware, die über das schädliche Word-Dokument verteilt wurde, handelt es sich um den Banking-Trojaner Emotet. Auf dessen Gefährlichkeit wies Microsoft in der vergangenen Woche hin. Neue Varianten des Banking-Trojaners verfügen nämlich über Funktionen der Ransomware WannaCry: Sie können sich über eine von Microsoft bereits gepatchte Lücke im SMB-Protokoll in Unternehmensnetzwerken verbreiten.

Das Word-Dokument wieder nutzte eine bekannte Masche, um die Ausführung der Schadsoftware zu erreichen. Statt angeblich dringend benötigter Informationen, beispielsweise über eine erwartete Lieferung, erscheint nach dem Öffnen des Dokuments nur ein Sicherheitshinweis, wonach die Ausführung von Makros aktiviert werden muss, um die Inhalte anzuzeigen. Diese seien nicht zugänglich, weil das Dokument mit einer alten Version von Microsoft Office erstellt worden sei. Fällt ein Opfer auf diesen Trick herein, installiert er Emotet.

Tipp: Wie gut kennen Sie die Geschichte der Computer-Viren? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.