Die fiesesten Tricks der Virenschreiber
Lotterie-Betrugsversuche mittels PDF – und ...
Betrugsversuche per PDF mit der «Google-Gewinner»-Lüge
Die am zweitstärksten registrierte Betrugs-Kampagne, bei der ein PDF-Dateianhang verwendet wurde, ist ein «Lotteriegewinn»-Betrug mit Google als vermeintlichem Absender:
Auch Googles Name und Logo wird für Betrügereien missbraucht: Hier eine PDF-Datei, in der fürs Abholen eines angeblichen Lotteriegewinns vielerlei persönliche Daten fällig gewesen wären
Das Fake-Gewinnerschreiben fordert das Opfer auf, personenbezogene Daten anzugeben, wie vollständigen Namen, Adresse, Land, Nationalität, Telefonnummer, Handynummer, Beruf, Alter, Geschlecht und private E-Mail-Adresse. Solche Daten sind für den Angreifer Gold wert, denn damit kann der Kriminelle künftige Betrugs-, Phishing- und Schädlings-Mails an das Opfer noch persönlicher gestalten. Das erhöht die Chancen, dass das Opfer (erneut) darauf hereinfällt.
Die «Neuen» in der Inbox: .iso- und .img-Dateien
.iso- und .img-Dateien, bekannt als Abbild-Dateien von CDs und DVDs, sind bei Spam-Kampagnen noch nicht als verwendete Dateitypen in der Spitzengruppe zu finden. Allerdings registriert F-Secure seit Juli 2018 einen gewissen Trend beim Einsatz dieser Dateitypen als Malware-Transportmittel. Bei den meisten bekannten Kampagnen, die solche Dateiformate mit sich führten, wurden die Angreifer AgentTesla InfoStealer und NanoCore RAT eingesetzt.
In letzter Zeit sind sogar Image-Dateien (.iso und .img) benutzt worden, die sonst als Datenträger-Abbilder verwendet werden
In einer erst vor Kurzem aufgespürten Spam-Kampagne hat F-Secures Lab zwei Arten von Anhängen gesichtet: Ein böswilliges Office-Dokument und eine ISO-Image-Datei – beide installieren einen AgentTesla-Infostealer.
In dieser Mail lässt der Angreifer dem Nutzer die «Wahl», ob er den Schädling aus einer Word- oder .iso-Datei installieren will (Tipp: lieber gar nicht; solche Anhänge nicht öffnen!)
Das böswillige Dokument führt nach dem Öffnen ein Makro aus, um die eigentlich schädlichen Komponenten (in der Fachsprache als «Payload» bezeichnet) herunterzuladen und auszuführen.
Das Makro im Word-Dokument lädt den eigentlichen Schadcode (den «AgentTesla»-Infostealer) aus dem Netz und führt ihn aus
Die .iso-Datei enthält eine ausführbare Binärdatei, die ebenfalls den AgentTesla-Infostealer installiert
Über die Autorin: Patricia ist Bedrohungsforscherin im Virenlabor des finnischen Antivirenherstellers F-Secure. Dort hat sie viele Zahlen, technische Details und Screenshots darüber zusammengetragen, mit welchen Tricks und Dateitypen die Schädlingsverbreiter und Online-Erpresser derzeit arbeiten. In ihrem Blog-Beitrag, den wir mit freundlicher Genehmigung F-Secures übernehmen dürfen, macht sie uns viele der spannenden Erkenntnisse zugänglich.
29.05.2019
02.06.2019