Nachdem bereits vergangene Woche deutsche Unternehmen Ziel eines digitalen Angriffs mit Schadsoftware wurden, attackieren hierzulande Cyberkriminelle jetzt erneut Firmen unterschiedlicher Branchen. Die Angreifer versenden dabei mit Schadsoftware infizierte Excel-Dateien als angebliche Rechnungen aus dem Hause 1&1 sowie vermeintliche Steuerrückzahlungen. Dies hat der US-amerikanische Cybersecurity-Spezialist Proofpoint nun bekanntgegeben.

Als Türöffner fungiert die Schadsoftware GuLoader, die dann im Verlauf der Infektion die Ransomware Hakbit herunterlädt, installiert und damit den Rechner des Opfers verschlüsselt. Die Angreifer weisen in ihren E-Mails darauf hin, dass der Empfänger die Nachricht auf einem PC öffnen soll, weil ein mobiles Gerät wie ein Smartphone die Datei nicht richtig darstellen könne. Dies soll den Erfolg ihrer Attacke sicherstellen, da Microsoft Office-VBA-Makros nicht auf mobilen Geräten ausgeführt werden.

Als Sendeadresse nutzen die Kriminellen eine GMX-Adresse. Nachdem GMX zur 1&1-Gruppe gehört, erhöht dies zunächst auch die Glaubwürdigkeit der eingehenden E-Mail. Die Empfänger sind in vielen Fällen in mittleren Positionen von Unternehmen tätig. Die Hakbit-Kampagne wurde an Firmen folgender Branchen versendet: Pharmazie, Recht, Finanzen, Geschäftsdienstleistungen, Einzelhandel und Gesundheitswesen. Der größte Anteil der beobachteten Hakbit-Nachrichten ging jedoch an Unternehmen aus den Branchen Informationstechnologie, Fertigung, Versicherung und Technologie.

Die Proofpoint-Sicherheitsexperten haben zudem festgestellt, dass die Mehrzahl, der in den Hakbit-Kampagnen anvisierten Positionen in irgendeiner Weise Kundenkontakt haben. Die Angreifer haben dafür öffentlich verfügbare Informationen über die Empfänger recherchiert, beispielsweise über Websites der Unternehmen sowie Anzeigen. Zum Empfängerkreis gehören Rechtsanwälte, Kundenberater, Direktoren, Versicherungsberater, Geschäftsführer und Projektmanager. Auch dies ist ein Faktor, der die Glaubwürdigkeit der E-Mails verstärkt. Gleichzeitig wird damit auch deutlich, wie gezielt Angreifer heutzutage vorgehen, um ihren potenziellen Erfolg zu maximieren.

„Bei der aktuellen Kampagne mit der Ransomware Hakbit nehmen Kriminelle Unternehmen aus Deutschland, Österreich und der Schweiz ins Visier. Sie setzen dabei auf Mails und Dokumente in deutscher Sprache,“ erklärt Michael Heuer, Vice President DACH von Proofpoint. „Bemerkenswert ist, dass es in dieser Kampagne überhaupt keinen Bezug zur aktuellen COVID-19-Pandemie gibt. Dies sollte für alle Anwender eine Warnung sein. Denn auch abseits der COVID-19 bedingten Unsicherheit, haben es Cyberkriminelle nach wie vor mit Ransomware- und anderen Cyberangriffen auf Unternehmen und private Anwender abgesehen. Während jeder bei E-Mails, deren Inhalt einen Bezug zu COVID-19 aufweist, mittlerweile Vorsicht walten lässt, sollte man sich klar machen, dass das selbstverständlich auch für alle anderen E-Mails gelten muss.“

Im Folgenden finden sich Beispiele für Köder und den Infektionsverlauf bei der Hakbit-Kampange, in der viele Nachrichten mit Betreffzeilen wie „Fwd: Steuerrückzahlung“ und „Ihre Rechnung" versandt wurden.

Dieser Köder ist auf Deutsch verfasst und missbraucht das Logo und Branding von 1&1. Die Nachricht enthält einen Microsoft Excel-Anhang namens 379710.xlsm, der bösartige Makros nutzt. Da die Makros und die Malware auf einem mobilen Gerät nicht funktionieren, wird in der Nachricht der Empfänger angewiesen, einen Computer zu verwenden, um den Anhang lesen zu können. Nach dem Öffnen des Excel-Arbeitsblatts wird der Empfänger in Deutsch und Englisch angewiesen, die Makros zu aktivieren (Abbildung 2).

Sobald die Makros aktiviert sind, lädt die Datei die Schadsoftware GuLoader herunter und führt sie aus. Dabei handelt es sich um einen relativ neuen, in VB 6.0 geschriebenen Downloader. Wenn GuLoader ausgeführt wird, lädt er die Ransomware Hakbit nach und führt sie ebenfalls aus. In der Folge werden die Dateien auf dem Rechner auf Basis von AES-256 verschlüsselt.

Die Kriminellen verlangen in ihrer Lösegeldforderung die Zahlung von 250 Euro in Bitcoin, um die verschlüsselten Dateien wieder freizugeben. Die Text-Datei enthält hierzu Anweisungen, wie das Lösegeld zu zahlen ist.

Hakbit ist ein Beispiel einer besonders gut gemachten Cyberkampagne, die auf den Menschen abzielt, anstatt technische Schwachstellen auszunutzen. Sie belegt, wie zielgerichtet Cyberkriminelle ein bestimmtes Publikum, also bestimmte Personen und Positionen im Unternehmen in bestimmten Branchen, in deren Muttersprache angreifen. Je individueller und spezifischer die für die Angriffe verwendeten E-Mails gestaltet und geschrieben werden, desto höher ist ihre Glaubwürdigkeit und somit die damit verbundene Gefahr, dass Anwender dem Köder auf den Leim gehen. Es gilt daher auch bei E-Mails ohne einen Bezug zu COVID-19 stets die Augen offen zu halten und größte Vorsicht walten zu lassen.

Über Proofpoint

Proofpoint, Inc. (NASDAQ: PFPT) ist ein führendes Cybersicherheitsunternehmen. Im Fokus steht für Proofpoint dabei der Schutz der Mitarbeiter. Denn diese bedeuten für ein Unternehmen zugleich das größte Kapital aber auch das größte Risiko. Mit einer integrierten Suite von Cloud-basierten Cybersecurity-Lösungen unterstützt Proofpoint Unternehmen auf der ganzen Welt dabei, gezielte Bedrohungen zu stoppen, ihre Daten zu schützen und IT-Anwender in Unternehmen für Risiken von Cyberangriffen zu sensibilisieren. Führende Unternehmen aller Größen, darunter mehr als die Hälfte der Fortune-1000-Unternehmen, verlassen sich auf Proofpoints Sicherheits- und Compliance-Lösungen, bei denen der Mensch im Mittelpunkt steht, um ihre wichtigsten Risiken bei der Nutzung von E-Mails, der Cloud, Social Media und dem Internet zu minimieren.

Weitere Informationen finden Sie unter www.proofpoint.com/de.

Firmenkontakt und Herausgeber der Meldung:

Proofpoint
Zeppelinstr. 73
80333 München
Telefon: +49 (89) 45835-370
http://www.proofpoint.com/de

Ansprechpartner:
Matthias Uhl
iCom GmbH
Telefon: +49 (89) 80090-819
Fax: +49 (89) 80090-810
E-Mail: matthias.uhl@axicom.com
Für die oben stehende Pressemitteilung ist allein der jeweils angegebene Herausgeber (siehe Firmenkontakt oben) verantwortlich. Dieser ist in der Regel auch Urheber des Pressetextes, sowie der angehängten Bild-, Ton-, Video-, Medien- und Informationsmaterialien. Die United News Network GmbH übernimmt keine Haftung für die Korrektheit oder Vollständigkeit der dargestellten Meldung. Auch bei Übertragungsfehlern oder anderen Störungen haftet sie nur im Fall von Vorsatz oder grober Fahrlässigkeit. Die Nutzung von hier archivierten Informationen zur Eigeninformation und redaktionellen Weiterverarbeitung ist in der Regel kostenfrei. Bitte klären Sie vor einer Weiterverwendung urheberrechtliche Fragen mit dem angegebenen Herausgeber. Eine systematische Speicherung dieser Daten sowie die Verwendung auch von Teilen dieses Datenbankwerks sind nur mit schriftlicher Genehmigung durch die United News Network GmbH gestattet.

counterpixel