https://docs.microsoft.com/archive/blogs/microsoftsicherheit/feed.xml Mehr als IT Tue, 16 Apr 2019 06:29:09 GMT de_DE hourly 1 https://docs.microsoft.com/archive/blogs/microsoftsicherheit/teamviewer-als-werkzeug-fuer-kriminelle Thu, 24 May 2018 15:22:25 GMT https://blogs.technet.microsoft.com/microsoftsicherheit/?p=905 verseucht war. CCleaner wurde von der Firma Piriform entwickelt, die im Juli 2017 von Avast übernommen worden war. Seither liefen bei Avast Untersuchungen, wie sich die Angreifer Zugriff auf die Software verschaffen konnten. In einem Blog-Beitrag klärt Ondrej Vlcek, der Executive Vice President und General Manager von Avast, über die Hintergründe auf. Demzufolge nutzten die kriminellen Hacker die deutsche Remote-Access-Software TeamViewer, um auf das Netzwerk von Piriform zuzugreifen. Der erste Angriff erfolgte bereits im März 2017, also vier Monate, bevor Avast das Unternehmen übernahm. Die Eindringlinge griffen zunächst den PC eines Entwicklers an. Dazu benötigten sie lediglich einen Einwahlversuch, was darauf hinweist, dass sie die Zugangsdaten bereits kannten. Auf dem Rechner war der TeamViewer-Client installiert, den sie in der Folge für ihre weiteren Aktionen verwendeten. Die zweite Stufe des Angriffs begann dann am nächsten Tag um 5 Uhr morgens Ortszeit, also zu einer Tageszeit, bei der sich die Angreifer weitgehend sicher sein konnten, dass der Computer nicht in Gebrauch war. Die Hacker versuchten nun, auf dem Computer zwei DLLs zu installieren, was ihnen jedoch aufgrund fehlender Admin-Berechtigungen in zwei Anläufen nicht gelang. Erst im dritten Versuch konnten sie die Dateien mittels eines VBScript platzieren. Wiederum einen Tag später ging es morgens um 4 Uhr mit einem zweiten Rechner weiter. Über die Remotedesktopverbindung von Windows übertrugen die Angreifer eine frühe Version der CCleaner-Malware, die später an insgesamt 40 Anwender ausgeliefert wurde. Das wiederholten sie zwei Tage später auf dem ersten Computer. Erst Monate später erfolgte dann die Hauptattacke. Avast nimmt an, dass die Hacker in dieser Zeit das Netzwerk infiltrierten, über den bereits installierten Keylogger Zugangsdaten ausspähten und mit der Remotedesktopverbindung unter Nutzung administrativer Berechtigungen weitere Bereiche der IT von Piriform ausspähten und unter ihre Kontrolle brachten. In dieser Zeit installierten sie auch den Backdoor-Trojaner ShadowPad, der dann am 2. August erstmals zusammen mit CCleaner an die Kunden weitergegeben wurde.]]> https://docs.microsoft.com/archive/blogs/microsoftsicherheit/malware-sucht-nach-facebook-zugangsdaten Thu, 24 May 2018 15:20:40 GMT https://blogs.technet.microsoft.com/microsoftsicherheit/?p=895 Blog eine neu entdeckte Malware namens Stresspaint, die es auf die Facebook-Accounts ihrer Opfer abgesehen hat. Ihren Namen erhielt die Software von einem scheinbar harmlosen Windows-Malprogramm namens Relieve Stress Paint, das nach jedem Mausklick die Farbe und Länge von zuvor gezeichneten Linien ändert, und eine verborgene Schadsoftware mitbringt. Damit Anwender dieses Programm auf ihre Computer laden, verschickten die Malware-Autoren vermutlich Phishing-Mails. Darin wurde auf einen Download-Server verwiesen, bei dem es sich angeblich um die Domäne aol.net handelte. Tatsächlich war es jedoch eine Unicode-Domain. Zur Erklärung: Seit 2003 ist es möglich, Domain-Namen etwa mit arabischen, chinesischen oder kyrillischen Buchstaben zu reservieren, so genannte International Domain Names (IDN). Der Browser wandelt sie beim Aufruf im Hintergrund in Punycode-Namen mit Ascii-Zeichen um. Hinter aol.net steckte daher tatsächlich eine Domäne mit der Bezeichnung xn--80a2a18a.net. Sobald Relieve Stress Paint ausgeführt wird, startet im Hintergrund die Malware. Zunächst kopiert sie einige Dateien in einen Temp-Ordner und in Unterverzeichnisse des Chrome-Browsers, letztere werden nach Abschluss der Datenschnüffelei sofort wieder gelöscht. Sie legt auf dem Desktop einen Link zum Malprogramm an und ergänzt die Registry von Windows um zwei neue Schlüssel. Danach führt sie einen ersten Verbindungstest zu einem Instagram-Account aus, der eventuell für die Übermittlung von weiteren Befehlen dient. Schließlich durchsucht die Malware die Verzeichnisse mit den Cookies und Login-Daten von Chrome und kopiert die Facebook-Cookies sowie die Zugangsdaten für den Dienst verschlüsselt zu ihrem Command & Control-Server. Diese Aktionen werden bei jedem Aufruf des Malprogramms wiederholt. Sobald sie die Zugangsdaten für den Facebook-Account ausprobiert hatte, schickt die Software weitere Daten an ihre Programmierer, darunter die jeweilige Zahl der Freunde, ob für den Account eine Facebook-Seite existiert und welche Bezahlmethode der Besitzer bevorzugt. Für die Auswertung der übermittelten Daten verwendeten die Autoren ein chinesisches Content Management System, eine Open-Source-Software namens Layuicms 2.0. In den Auswertungs-Tabellen existierte neben der Sektion für die Facebook-Daten auch ein Bereich für das Management von Amazon-Konten. Offensichtlich planen oder planten die Autoren des Programms ihre Aktivitäten auf den Online-Händler auszuweiten. Laut den Daten von Radware befiel Stresspaint vor allem Computer in Vietnam, Russland und Pakistan, dort wurden jeweils mehr als 2.000 Infektionen entdeckt. Auf deutschen Computern kamen bis Mitte April 757 Infektionen zusammen, in den USA 515.]]> https://docs.microsoft.com/archive/blogs/microsoftsicherheit/wlan-neue-sicherheitsstandards-im-kommenden-wpa3 Thu, 22 Mar 2018 16:21:31 GMT https://blogs.technet.microsoft.com/microsoftsicherheit/?p=935 KRACK-Lücke in WLANs mit WPA2-Verschlüsselung hat die Hersteller-Vereinigung Wi-Fi Alliance den Standard WPA3 angekündigt, der die Sicherheit von Funknetzwerken deutlich erhöhen soll. WPA3 soll noch im Lauf dieses Jahres in einer endgültigen Version veröffentlicht werden. Viele Details, insbesondere zur Kompatibilität mit dem Vorgänger-Standard, sind noch unbekannt, einige wichtige Punkte kann man den Ankündigungen jedoch bereits entnehmen. Die KRACK-Lücke stellt vor allem für Benutzer von offenen Funknetzen an öffentlichen Hotspots eine Bedrohung ihrer Datensicherheit dar. Der Entwurf für WPA3 reagiert darauf mit einer individuellen Verschlüsselung für jede Verbindung zwischen einem Endgerät und dem Access Point. Auf diese Weise sollen auch solche Verbindungen geschützt werden, die nicht per HTTPS oder eine andere Technik verschlüsselt sind und nicht über ein VPN laufen. Hilfe bei schwachen Passwörtern Zusätzlichen Schutz soll es auch für Anwender geben, die lediglich ein kurzes oder unsicheres Passwort definiert haben. Das soll durch den Einsatz von Simultaneous Authentication of Equals (SAE) erreicht werden, eine Methode, die lediglich ein Passwort für die Authentifizierung voraussetzt und dennoch Brute-Force- und Wörterbuch-Attacken ins Leere laufen lässt. Sie eignet sich zudem für die Sicherung des Datenverkehrs in Mesh-Netzwerken, eine Funktion, die in den vergangenen Monaten von den Herstellern in immer mehr Router integriert wurde. Gleichzeitig sollen auch der allgemeine Grad der Sicherheit erhöht und die Daten auf Basis der Empfehlungen der US Commercial National Security Algorithm Suite mit 192 Bit verschlüsselt werden. Damit entspricht die Wi-Fi Alliance den Wünschen von Unternehmen und Regierungsstellen, die ihre Kommunikation mit maximaler Sicherheit schützen wollen. Des weiteren hat die Wi-Fi Alliance eine Vereinfachung der WLAN-Konfiguration für Geräte ohne grafische Bedienoberfläche angekündigt. Das zielt vor allem auf den wachsenden Markt der per WLAN vernetzten IoT-Geräte, lässt aber auch auf eine verbesserte und sicherere WPS-Funktionalität hoffen.]]> https://docs.microsoft.com/archive/blogs/microsoftsicherheit/funktion-gegen-raubkopierer-sorgt-fuer-sicherheitsloch Thu, 22 Mar 2018 16:18:54 GMT https://blogs.technet.microsoft.com/microsoftsicherheit/?p=925 Bericht über mehrere Sicherheitslücken in der weit verbreiteten Lizenzmanagement-Lösung SafeNet Sentinel von Gemalto vorgelegt. Betroffen ist in erster Linie die Hardware-Variante Sentinel HASP HL. Sie besteht aus einem Token in Form eines USB-Sticks sowie auf Software-Seite aus einem Treiber, einer Web-Anwendung sowie einigen weiteren Komponenten. Die Lösung wird vor allem in Unternehmen eingesetzt, die auf diese Weise sicherstellen, dass bei ihnen keine nicht lizenzierte Software zum Einsatz kommt. Die Funktionsweise ist wie folgt: Der Administrator steckt den Token in einen USB-Port des Client-Rechners, auf dem die lizenzpflichtige Software installiert ist. Windows lädt daraufhin einen Treiber von der Website des Herstellers herunter, um den Token einzubinden. Für Computer ohne Internet-Anschluss gibt es auch die Möglichkeit, den Treiber in die jeweilige Anwendung zu integrieren. Die Software erkennt den Token und die darauf gespeicherten Lizenzinformationen und wird dadurch freigeschaltet. Auch in der Folge muss jedes Mal zunächst der Stick eingesteckt werden, damit der Anwender das Programm starten kann. Der Treiber hingegen verbleibt dauerhaft auf dem System. Gleichzeitig wird auch ein Dienst mit dem Dateinamen hasplms.exe heruntergeladen und installiert. Bei diesem Dienst jedoch fanden die Experten von Kaspersky gleich mehrere Sicherheitslücken. Heimliches Loch in der Firewall Am gravierendsten war, dass hasplms.exe unbemerkt von Anwender den Port 1047 zu der Liste der Ausnahmen in der Windows-Firewall hinzufügte und in der Folge eingehende Netzwerk-Verbindungen über diesen Port erlaubte. Bei der Kommunikation mit dem Gemalto-Server kam entweder HTTP oder ein proprietäres, binäres Protokoll zum Einsatz. Auf diesem Weg konnte der Anwender unter anderem Language Packs herunterladen, die sich bei der Untersuchung durch Kaspersky als anfällig für Buffer Overflows erwiesen. Insgesamt fanden die Analysten 14 verschiedene Sicherheitslücken in der Lizenzmanagement-Lösung, darunter eine offenbar undokumentierte Funktion, über die es möglich war, mit System-Berechtigungen einen versteckten Fernzugriff auf den Computer einzurichten. Kaspersky meldete die Sicherheitslücken im Juni 2017 an Gemalto. Die Firma stellte ihren Anwendern daraufhin im Juli 2017 ein Treiberupdate zur Verfügung. Es trägt die Versionsnummer 7.6 und sollte sofort installiert werden.]]> https://docs.microsoft.com/archive/blogs/microsoftsicherheit/wer-wars-oder-warum-taetersuche-bei-cyber-attacken-oft-ins-leere-laeuft Mon, 12 Mar 2018 16:23:02 GMT https://blogs.technet.microsoft.com/microsoftsicherheit/?p=945 Angriff auf die Server der Winterolympiade im südkoreanischen Pyeongchang. In der Folge stürzte die offizielle Website der Spiele ab, sodass es nicht mehr möglich war, dort an Informationen zu gelangen oder Tickets auszudrucken. Gleichzeitig fiel das WLAN im Olympiastadion aus, außerdem auch der TV-Empfang und der Internet-Zugang im Pressezentrum. Die Malware, die den Schaden verursachte, wurde Olympic Destroyer getauft. Soweit die Fakten. Dann begann die Spekulation: Schnell richtete sich der Verdacht gegen russische Hackergruppen, die angeblich Rache nehmen wollten für den Ausschluss eines Großteils der russischen Athleten und sämtlicher russischer Funktionäre aufgrund der Doping-Fälle in Sotchi 2014. Die Washington Post berichtete unter Berufung auf zwei ungenannte amerikanische Geheimdienst-Mitarbeiter, dass der Angriff von russischen Agenten durchgeführt wurde. Sie wollten die Attacke so aussehen lassen, als stecke Nordkorea dahinter. Nun haben die Sicherheitsforscher der Talos-Gruppe von Cisco jedoch starke Zweifel an dieser Theorie angemeldet. In einem Blog-Beitrag legen sie dar, wie schwierig es generell ist, einen eindeutigen Beweis für die Täterschaft eines Hacker-Angriffs zu finden. Es gebe lediglich Indizien, die in die eine oder andere Richtung weisen. Talos zufolge untersuchen Security-Experten bei der Analyse eines Angriffs fünf Merkmale:

• die Taktik, Technik und Vorgehensweise (Tactics, Techniques, Procedures, TTPs) beziehungweise wie der Angreifer die Attacke durchgeführt hat
• die Viktimologie (Opferforschung), also das Profil des Opfers
• die Infrastruktur, also die benutzte Plattform
• die kompromittierenden Indikatoren (Indicators of Compromise, IoC), die zurückgelassenen Spuren
• die verwendeten Malware-Samples

So suchte der Olympic Destroyer beispielsweise nach einer Datei mit der Bezeichnung evtchk.txt. Das erinnerte die Talos-Mitarbeiter daran, dass bei der Attacke auf die Zentralbank von Bangladesch im Februar 2016 über das SWIFT-Netzwerk, die mutmaßlich von der nordkoreanischen Lazarus-Gruppe durchgeführt wurde, Dateien mit den Namen evtdiag.exe, evtsys.exe and evtchk.bat verwendet wurden. Außerdem sehen sich auch die Programmcodes der beiden Malware-Samples sehr ähnlich. Fest steht, dass nichts fest steht Auf der anderen Seite entspricht der Code von Olympic Destroyer zu 18,5 Prozent dem Code eines Tools, das die vermutlich chinesische Hackergruppe APT3 verwendet. Doch dieses Programm basiert wiederum auf dem frei erhältlichen Open-Source-Tool Mimikatz. Eventuell haben die Entwickler einfach nur auf die gleiche Quelle zugegriffen. Zugleich existieren Ähnlichkeiten in der Art, wie Olympic Destroyer und eine weitere chinesische Gruppe, APT10, AES-Schlüssel erzeugen. Und schließlich gibt es Übereinstimmungen, aber auch einige Unterschiede, beim Vorgehen von Olympic Destroyer mit der Ransomware Nyetya. Echte Beweise für eine Beteiligung einer der genannten Gruppen beziehungsweise Verdächtigen sind das alles nicht. Fest steht nur, dass sich der Autor von Olympic Destroyer sehr gut mit den verschiedenen Malware-Formen auskennt und vermutlich auch in der Lage ist, mit diesem Wissen falsche Fährten zu legen. Allein aus der Untersuchung des Codes der Software lässt sich im Fall von Olympic Destroyer, aber auch bei anderen Malware-Samples, nicht exakt bestimmen, wer der Verantwortliche ist.]]> https://docs.microsoft.com/archive/blogs/microsoftsicherheit/fiese-attacken-durch-gekaperte-wordpress-plugins-auf-dem-vormarsch Tue, 20 Feb 2018 16:23:59 GMT https://blogs.technet.microsoft.com/microsoftsicherheit/?p=955 Supply Chain Attack ist im Zusammenhang mit Software ein bereits seit längerem bekanntes Angriffsmuster, bei dem ein Krimineller das Vertrauen ausnutzt, das der Anwender zu einem bekannten oder sogar bereits installierten Programm hat. In der Praxis sieht das dann so aus: Die Kriminellen verschaffen sich Zugriff auf die Infrastruktur eines Software-Herstellers und schleusen die Malware entweder direkt in den Code der Anwendung ein oder in eines der anstehenden Updates. Die Verbreitung der Schadsoftware erfolgt anschließend über die Kanäle des Unternehmens. Ein Beispiel für eine solche Attacke war die Infektion des beliebten Tools CCleaner im vergangenen Jahr. Nun hat die kriminelle Szene WordPress-Plugins als praktische Transportmittel für ihre Malware entdeckt. In einem Blog-Beitrag führt der Security-Hersteller WordFence vier Fälle aus dem letzten halben Jahr auf, in denen Plugins für die weltweit führende Blog-Software im Rahmen einer Supply Chain Attack mit Schadsoftware infiziert wurden. Das Spektrum reicht von Hintertüren über ein Krypto-Mining-Programm bis hin zu einer Spam-Software. Im Unterschied zum Angriff auf CCleaner verschaffen sich die Malware-Produzenten jedoch nicht illegal Zugriff auf die Software, sondern kaufen sie den Autoren einfach ab und nutzten die Update-Funktion der Plugins, um ihre Schadsoftware zu verbreiten. Kriminelle bieten Support Von diesen Intentionen erfahren die Verkäufer natürlich nichts. Stattdessen bieten die Interessenten an, dass sie sich um die weitere Entwicklung und die Anpassung an neue WordPress-Versionen kümmern und auch den Support übernehmen. Für die Plugin-Autoren ist das ein verlockendes Angebot: Die große Mehrheit dieser Programme ist entweder kostenlos oder wird unter einer Open-Source-Lizenz vertrieben. Die Entwickler verdienen oftmals keinen Cent mit ihrer Arbeit. Und jetzt kommt ein vermeintlich seriöses Unternehmen und bietet ihnen Geld für ihr Produkt. Für die WordPress-Anwender ist diese Entwicklung fatal. Größere Unternehmen warten ihre Sites regelmäßig und führen Tests durch, bevor sie neue Software installieren. Bei kleineren Firmen und privaten Websites erfolgt die Wartung jedoch in vielen Fällen nur in größeren zeitlichen Abständen, auf Tests wird mangels Ressourcen meist verzichtet. Hinzu kommt, dass die WordPress-Anwender oftmals die automatische Update-Funktion aktivieren. In diesem Fall haben Angreifer ein besonders leichtes Spiel. WordFence empfiehlt, Plugins sorgfältig auszuwählen und die eigene Site regelmäßig auf Malware zu scannen. Zudem sollten Betreiber von Websites regelmäßig überprüfen, ob die eigene Site oder ihre IP-Adresse in einer der bekannten Blacklists erscheinen, die beispielsweise Spam-Versender auflisten. Besondere Vorsicht sei geboten, wenn Plugins aus dem WordPress-Verzeichnis verschwinden oder nicht mehr weiterentwickelt werden. Denn diese Programme sind für Malware-Autoren besonders interessant.]]> https://docs.microsoft.com/archive/blogs/microsoftsicherheit/1-milliarde-aufrufe-zirconium-verbreitet-malware-ueber-28-fake-werbeagenturen Thu, 08 Feb 2018 16:24:56 GMT https://blogs.technet.microsoft.com/microsoftsicherheit/?p=965 Blog die wohl aufwendigste Aktion für Anzeigen-Betrug im Internet der letzten Jahre. Eine Gruppe mit dem Namen Zirconium gründete Anfang 2017 insgesamt 28 falsche Werbeagenturen, die Woche für Woche auf etwa 62 Prozent aller werbefinanzierten Websites vertreten gewesen sein sollen und schätzungsweise eine Milliarde Ad Views erreichten. Dabei gingen die unbekannten Mitglieder von Zirconium äußerst sorgfältig und professionell vor, legten individuelle Websites für ihre erfundenen Firmen an und erzeugten sogar Fake-Profile der Eigentümer bei sozialen Medien wie LinkedIn oder Twitter. Ein Beispiel ist die Firma Grandonmedia, beheimatet angeblich in Stuttgart, mit ihrem CEO Ferdinand Konrad, der Sätze twittert wie „We always have the exposure opportunity to reach new clients with advertising“. Zirconium setzt hier offensichtlich Bots ein. Eine vollständige Liste der Fake-Agenturen findet sich am Ende des Blog-Beitrags von Confiant. Nachdem aufgrund der verbesserten Browser-Sicherheit Exploit-Kits für Online-Werbung kaum noch Erfolge zeigten, griffen die Kriminellen in den vergangenen beiden Jahren zunehmend zu einem anderen Mittel, um ihre Schadsoftware zu verbreiten: Forced Redirects ein. Dabei handelt es sich um Werbung, die mit einem speziellen JavaScript-Code versehen ist und bewirkt, dass der Anwender beim Klick auf einen Link ungefragt zu einer anderen Site umgeleitet wird. Anzeige gekauft, Opfer umgeleitet Die Zirconium-Gruppe ging folgendermaßen vor: Ihre Agenturen kauften Anzeigenplatz auf diversen legalen Websites. Über einen Forced Redirect führten die Betrüger die Besucher der Seiten zu einer anderen Domain, die als Zwischenstation diente. Dort versuchten sie, die Anwender per Fingerprinting wiedererkennbar zu machen. Beim Fingerprinting werden vom Browser übermittelte Daten wie etwa der Typ des Betriebssystems, die Zahl der CPU-Cores, die eingestellte Grafikauflösung, die Spracheinstellungen und natürlich auch der Browser-Typ verwendet, um ein Profil anzulegen. Mit diesen Angaben wollten die Betrüger zum einen wohl die Ansprache der Besucher optimieren, zum anderen aber vermutlich auch Sicherheitsforscher identifizieren, die ihnen auf die Schliche gekommen waren. Von der Zwischenstation ging es für den Besucher weiter zu einer dritten Domain namens MyAdsBro, die ebenfalls von Zirconium betrieben wurde. Hier fand das eigentliche Geschäft statt, denn die Gruppe verkaufte den Traffic, den sie von diversen Websites hierher umgeleitet hatte, an die werbetreibende Wirtschaft. Besonders beliebt war sie jedoch offensichtlich in der kriminellen Hacker-Szene: Etliche Links führen von hier zu Sites, die mit Malware verseuchte Adobe-Flash-Updates, Software-Installer, angebliche Support-Angebote und andere Requisiten von Internet-Betrügern anboten. MyAdsBro ist mittlerweile nicht mehr erreichbar.   Um Forced Redirects zu unterbinden, sollten Website-Betreiber regelmäßig ihre Seiten überprüfen und unerwünschte Weiterleitungen sofort an die Anzeigennetzwerke melden. Anwender finden in den großen Browsern Funktionen, um automatische Weiterleitungen zu unterbinden.]]> https://docs.microsoft.com/archive/blogs/microsoftsicherheit/kriminelles-krypto-mining-ueber-offenes-wlan Sat, 27 Jan 2018 16:27:00 GMT https://blogs.technet.microsoft.com/microsoftsicherheit/?p=975 Blog beschreibt Arnau Code eine typische Man-in-the-Middle-Attacke. Sie basiert auf einem von ihm geschriebenen Skript, das er CoffeeMiner genannt hat. Es unterbricht zunächst den Datenverkehr zwischen dem Router des Coffeeshops und den WLAN-Clients und leitet ihn um über einen virtuellen Router. Dort ist das Tool mitmproxy installiert, mit dem Arnau Code in jede HTML-Seite, welche die Kaffeehaus-Gäste aufrufen, eine zusätzliche Zeile JavaScript-Code einfügt. Mit diesem Code werden die WLAN-Clients zu einem einfachen HTML-Server verbunden, auf dem die Krypto-Miningsoftware Coinhive läuft und die Ressourcen der Gäste-Rechner zum Schürfen der Kryptowährung Monero missbraucht. Um auch Besucher von HTTPS-Seiten in das Mining einzubeziehen, setzt Arnau Code zusätzlich das Skript sslstrip ein. Krypto-Mining-Malware ist ein dickes Problem Der Clou an diesem Angriffsszenario ist, dass die Rechenpower der Kaffeehaus-Gäste verhältnismäßig lange genutzt werden kann. Normalerweise ist Coinhive in einzelne Webseiten integriert, die ein Besucher lediglich einige Sekunden lang betrachtet. Die geschilderte Attacke läuft jedoch so lange, wie der Gast über das WLAN des Kaffeehauses Seiten im World Wide Web aufruft. Malware für das Krypto-Mining gehört aktuell zu den am weitesten verbreiteten Schadsoftware-Varianten, wie der Global Thread Report für den Dezember 2017 des Sicherheitsanbieters Check Point meldet. Demnach sind in 55 Prozent aller Unternehmen weltweit entsprechende Schadprogramme zu finden. Unter den Top 100 der aktuell im Umlauf befindlichen Malware-Programme befinden sich zehn Krypto-Miner, zwei davon gehören sogar zu den drei am häufigsten gefundenen Malware-Samples überhaupt. Auch viele Websites, die Medien abspielen oder Filesharing-Services anbieten, verwenden Krypto-Miner, um die Rechenkapazitäten der Besucher abzugreifen, häufig ohne sie darüber zu informieren.]]> https://docs.microsoft.com/archive/blogs/microsoftsicherheit/auf-die-schwarze-liste-damit-e-mail-adressen-von-phishern-gesammelt Mon, 08 Jan 2018 16:36:15 GMT https://blogs.technet.microsoft.com/microsoftsicherheit/?p=995 SC Magazine hat auf GitHub eine Sammlung von mehr als 3000 E-Mail-Adressen veröffentlicht, die die Analysten im Laufe der Jahre im Code vornehmlich von Phishing-Websites gefunden haben. Bei den Empfängern hinter den Adressen handelt es sich mit hoher Wahrscheinlichkeit um die Kriminellen, die die Zugangsdaten der Website-Besucher abschöpfen. Administratoren und Security-Beauftragte, aber natürlich auch normale Anwender, können diese Adresssammlung als Anhaltspunkt verwenden, um verdächtige Websites zu identifizieren. Gleichzeitig empfiehlt es sich, die Adressen im Mailserver auf eine Blacklist zu setzen. Bei der Analyse der Daten machte das SC Magazine noch einige weitere Entdeckungen. So benutzten rund 61 Prozent der Sites, also nahezu zwei Drittel, Adressen der Domain gmail.com. Alle anderen Webmail-Dienste lagen weit dahinter. Vor dem @-Zeichen hingegen zeigten die Phisher und Malware-Autoren eine Vorliebe für das Wort result, beispielsweise in Adressen wie resultbox418@gmail.com. Insgesamt fand sich dieser Begriff in 88 Adressen. Dahinter folgte die Wortkombination customer-support, etwa in der Form customer-support@trex. Eine E-Mail-Adresse machte die Analysten neugierig. Die Kombination pagez@l33bo.website erinnerte sie an ein im April gefundenes, kommerzielles Phishing-Kit. Die Domain l33bo.website war bislang nicht vergeben, also ließ das SC Magazine sie auf sich registrieren. Anschließend konfigurierten die Analysten eine Catchall-Adresse, um sämtliche Mails an diese Domain abzufangen. In der Folge erreichten sie zahlreiche Testnachrichten von Benutzern des Kits, die meisten darunter gingen an pagez@l33bo.website und admin@l33bo.website. Sie empfingen jedoch auch eine Nachricht, die ihnen Zugang zu infizierten Websites anbot, die mit dem Konfigurationstool cPanel verwaltet werden. Außerdem wollte der Absender ihnen Web Shells verkaufen, zum Preis von 4 US-Dollar pro Stück.]]> https://docs.microsoft.com/archive/blogs/microsoftsicherheit/erweiterung-fuer-google-chrome-klaut-anwenderdaten Tue, 05 Dec 2017 16:36:59 GMT https://blogs.technet.microsoft.com/microsoftsicherheit/?p=1005 Blog-Beitrag von Duo Security meldet. Das genaue Vorgehen der Malware beschreibt ein Beitrag im Internet Storm Center: Die Entwickler der Schadsoftware verwendeten für die Verbreitung eine Phishing-Mail mit Links zu Fotos, die am vergangenen Wochenende angeblich per WhatsApp versandt wurden. Sobald ein Anwender auf die Verknüpfungen klickte, wurde eine EXE-Datei heruntergeladen, die zunächst als Tarnung ein gefälschtes Installationsfenster des Adobe Acrobat Reader anzeigte. Gleichzeitig wurde im Hintergrund ein CAB-Archiv geladen und entpackt. Aus dem Archiv entstanden zwei Dateien mit einer Größe von rund 200 MByte, wobei allerdings nur etwa drei Prozent ihres Codes tatsächlich nutzbar war. Offensichtlich waren diese Files auf diese Größe aufgeblasen worden, um sie vor der Prüfung durch Antiviren-Scanner auszunehmen. Die Schutzprogramme lassen umfangreiche Dateien häufig unberücksichtigt, um ihre Erkennungsroutinen nicht zu überlasten. Rabiate Installation Die eine Datei versuchte anschließend, die Firewall von Windows zu deaktivieren und beendete zudem sämtliche laufenden Prozesse von Google Chrome. Danach extrahierte sie aus sich selbst eine neue Chrome-Extension und modifizierte den Launcher des Browsers, so dass die Erweiterung beim Start automatisch geladen wurde. Außerdem wurden drei Sicherheitsfeatures außer Kraft gesetzt, so dass Chrome anschließend auch Erweiterungen ohne Autorisierung starten und ohne Nachfrage das Einfügen von Skripts in URLs erlauben würde. Zudem deaktivierte die Malware die Safe-Browsing-Funktion von Chrome. Danach war es dann ein Leichtes, die auf Webseiten eingegebenen Anwenderdaten abzugreifen und an ihren Command & Control-Server zu übermitteln. Catch-All ist kein Einzelfall. In den vergangenen Wochen und Monaten wurden mehrere Angriffe bekannt, die über Chrome-Erweiterungen ausgeführt wurden und teilweise sogar im Chrome Web Store landeten. Am meisten Aufsehen erregte dabei der gefälschte Werbeblocker AdBlock Plus, der im Oktober von mehr als 37000 Anwendern heruntergeladen wurde. Die Software öffnete selbstständig immer neue Tabs mit Werbeinhalten. Vorsicht hilft – leider nicht immer Eine andere Extension stahl die Tokens für den Zugang zu Social-Media-Diensten und konnte auf diese Weise den Facebook-Account des Anwenders übernehmen. Und bereits im September wurde eine Erweiterung entdeckt, die sich als Blocker für Werbenetzwerke ausgab, tatsächlich jedoch im Hintergrund eine Mining-Software für Krypto-Währungen installierte. Auch wenn der folgende Tipp die von Catch-All installierte, bösartige Erweiterung nicht verhindert hätte, so gilt dennoch: Vor der Installation von Browser-Erweiterung gilt die gleiche Vorsicht, die auch bei der Installation von Apps gilt: Je mehr Downloads einer Erweiterung und je mehr werthaltige Bewertungen, desto unwahrscheinlicher, dass es sich um Malware handelt. Dieses Vorgehen verhindert zumindest die offensichtlichsten Betrugsversuche durch Erweiterungen.]]>