PowerPoint-Add-on für die Verbreitung von Malware benutzt

Cyberkriminelle benutzen derzeit ein Add-on für PowerPoint, um Schadsoftware zu verteilen. Das hat der Sicherheitsanbieter Avanan herausgefunden. Demnach verstecken Hacker in Dateien im “.ppam”-Format, das zusätzliche Befehle und Makros unterstützt, ausführbare Dateien.

Die ausführbaren Dateien wiederum sind der seit Januar laufenden Untersuchung von Avanan geeignet, den Angreifern die vollständige Kontrolle über ein System zu verschaffen. Die Angriffe selbst wiederum sollen in erster Linie per E-Mail erfolgen.

“Die an die E-Mail angehängte Datei ist eine .ppam-Datei. Bei einer .ppam-Datei handelt es sich um ein PowerPoint-Add-on, das bestimmte Funktionen erweitert und hinzufügt. Diese Datei umhüllt jedoch einen bösartigen Prozess, bei dem die Registrierungseinstellungen überschrieben werden”, sagte Jeremy Fuchs, Marketing Content Manager bei der Check-Point-Tochter Avanan. “Mit .ppam-Dateien können Hacker bösartige Dateien verpacken und somit verstecken. In diesem Fall überschreibt die Datei die Registrierungseinstellungen in Windows, so dass der Angreifer die Kontrolle über den Computer übernehmen kann und sich selbst aktiv hält, indem er sich dauerhaft im Speicher des Computers einnistet.”

Avanan zufolge erlauben es die nur selten genutzten PPAM-Dateien auch, Sicherheitsanwendungen zu umgehen. Fuchs zufolge wurde dieser Dateityp auch schon verwendet, um Ransomware zu verbreiten.

Für Aaron Turner, Vice President bei Vectra, ist die von Avanan aufgedeckte Kampagne nur eine Beispiel dafür, wie Hacker seit mehr als 20 Jahren die Office-Dateiformate von Microsoft für ihre Zwecke einsetzen. “Unternehmen, die für ihre E-Mails auf Exchange Online angewiesen sind, sollten ihre im Microsoft 365 Defender-Portal konfigurierten Anti-Malware-Richtlinien überprüfen. Wenn ein hohes Angriffsrisiko besteht, das außerhalb der Defender-Richtlinien behandelt werden muss, können bestimmte Anhangsdateitypen in einer dedizierten .ppam-Blockierungsrichtlinie als Exchange Online-Mailflow-Richtlinie blockiert werden.”

“Wenn wir unsere Sicherheitsüberprüfung für Exchange Online durchführen, überprüfen wir die konfigurierte Richtlinie und vergleichen sie mit unserer Empfehlung, über 100 verschiedene Dateitypen zu blockieren. Als Ergebnis dieser Untersuchung werden wir .ppam zu unserer Liste der zu blockierenden Dateierweiterungen hinzufügen, da diese spezielle PowerPoint-Dateierweiterung relativ unbekannt ist und kaum verwendet wird.”

Stefan Beiersmann

Stefan unterstützt seit 2006 als Freier Mitarbeiter die Redaktionen von Silicon.de und ZDNet.de. Wenn andere noch schlafen, sichtet er bereits die Nachrichtenlage, sodass die ersten News des Tages meistens von ihm stammen.

Recent Posts

Banken und Versicherer sind KI-Großabnehmer

Ein Großteil der weltweiten KI-Gelder fließt in den Finanzsektor. 2023 wurden in der Branche 87…

20 Stunden ago

Siemens legt 10 Milliarden Dollar für Software-Spezialisten auf den Tisch

Die Übernahme des US-amerikanischen Anbieters Altair Engineering soll die Position im Markt für Computational Science…

21 Stunden ago

Standortübergreifender KI-Einsatz im OP-Saal

Ein deutsch-französisches Projekt hat hybride Operationssäle entwickelt, die durch 5G-Netz und KI neue Anwendungen ermöglichen.

22 Stunden ago

OT-Security braucht zunächst Asset-Transparenz

Unternehmen wissen oft nicht, welche Geräte in der Produktion eine IP-Adresse haben, warnt Peter Machat…

4 Tagen ago

Künstliche Intelligenz erreicht die Cloud

KPMG-Studie: 97 Prozent der Cloud-nutzenden Unternehmen verwenden KI-Dienste von Cloud-Anbietern.

5 Tagen ago

AI Act: Durchblick im Regulierungsdickicht

Bitkom veröffentlicht Online-Tool und Leitfaden zum KI-Einsatz in Unternehmen. Beide Angebote sind kostenlos.

5 Tagen ago