PowerPoint-Add-on für die Verbreitung von Malware benutzt

Cyberkriminelle benutzen derzeit ein Add-on für PowerPoint, um Schadsoftware zu verteilen. Das hat der Sicherheitsanbieter Avanan herausgefunden. Demnach verstecken Hacker in Dateien im “.ppam”-Format, das zusätzliche Befehle und Makros unterstützt, ausführbare Dateien.

Die ausführbaren Dateien wiederum sind der seit Januar laufenden Untersuchung von Avanan geeignet, den Angreifern die vollständige Kontrolle über ein System zu verschaffen. Die Angriffe selbst wiederum sollen in erster Linie per E-Mail erfolgen.

“Die an die E-Mail angehängte Datei ist eine .ppam-Datei. Bei einer .ppam-Datei handelt es sich um ein PowerPoint-Add-on, das bestimmte Funktionen erweitert und hinzufügt. Diese Datei umhüllt jedoch einen bösartigen Prozess, bei dem die Registrierungseinstellungen überschrieben werden”, sagte Jeremy Fuchs, Marketing Content Manager bei der Check-Point-Tochter Avanan. “Mit .ppam-Dateien können Hacker bösartige Dateien verpacken und somit verstecken. In diesem Fall überschreibt die Datei die Registrierungseinstellungen in Windows, so dass der Angreifer die Kontrolle über den Computer übernehmen kann und sich selbst aktiv hält, indem er sich dauerhaft im Speicher des Computers einnistet.”

Avanan zufolge erlauben es die nur selten genutzten PPAM-Dateien auch, Sicherheitsanwendungen zu umgehen. Fuchs zufolge wurde dieser Dateityp auch schon verwendet, um Ransomware zu verbreiten.

Für Aaron Turner, Vice President bei Vectra, ist die von Avanan aufgedeckte Kampagne nur eine Beispiel dafür, wie Hacker seit mehr als 20 Jahren die Office-Dateiformate von Microsoft für ihre Zwecke einsetzen. “Unternehmen, die für ihre E-Mails auf Exchange Online angewiesen sind, sollten ihre im Microsoft 365 Defender-Portal konfigurierten Anti-Malware-Richtlinien überprüfen. Wenn ein hohes Angriffsrisiko besteht, das außerhalb der Defender-Richtlinien behandelt werden muss, können bestimmte Anhangsdateitypen in einer dedizierten .ppam-Blockierungsrichtlinie als Exchange Online-Mailflow-Richtlinie blockiert werden.”

“Wenn wir unsere Sicherheitsüberprüfung für Exchange Online durchführen, überprüfen wir die konfigurierte Richtlinie und vergleichen sie mit unserer Empfehlung, über 100 verschiedene Dateitypen zu blockieren. Als Ergebnis dieser Untersuchung werden wir .ppam zu unserer Liste der zu blockierenden Dateierweiterungen hinzufügen, da diese spezielle PowerPoint-Dateierweiterung relativ unbekannt ist und kaum verwendet wird.”

Stefan Beiersmann

Stefan unterstützt seit 2006 als Freier Mitarbeiter die Redaktionen von Silicon.de und ZDNet.de. Wenn andere noch schlafen, sichtet er bereits die Nachrichtenlage, sodass die ersten News des Tages meistens von ihm stammen.

Recent Posts

Mehr Datenschutz in der Montage

Assistenzsysteme unterstützen Monteure bei der Arbeit. Zu oft zahlt man jedoch mit den eigenen Daten…

2 Tagen ago

Cyber Resilience Act: Countdown läuft

Hersteller werden stärker in die Pflicht genommen, den gesamten Lebenszyklus ihrer Produkte in den Blick…

2 Tagen ago

KI auf dem Prüfstand

LLMs besitzen einerseits innovative neue Fähigkeiten, stellen Unternehmen allerdings auch vor diverse Herausforderungen: ob EU…

3 Tagen ago

Rechenzentren: Deutschland verliert Anschluss

Server-Ausbau in den USA und China macht große Fortschritte, deutscher Weltmarktanteil sinkt. Lichtblicke in Frankfurt…

4 Tagen ago

KI steigert Nachfrage nach hybriden Workplace-Umgebungen

Der Markt für Workplace Services gerät in Bewegung. Das bestmögliche digitale Nutzererlebnis gilt als Schlüssel…

4 Tagen ago

Hagebau erreicht E-Mail-Sicherheit mit der NoSpamProxy Cloud

Schutz für 10.000 Postfächer über rund 200 Domains: Private-Stack-Variante kombiniert Vorteile einer Cloud-Lösung mit Sicherheit…

4 Tagen ago