HTML-Anhänge und Phishing in BEC-Angriffen

Originalbeitrag von Lord Alfred Remorin, Senior Threat Researcher

Angreifer gehen immer mehr dazu über, die traditionell in Business E-Mail Compromise (BEC)-Angriffen eingesetzten Keylogger für den Diebstahl von Kontoinformationen von den anvisierten Maschinen durch HTML-Seiten im Anhang zu ersetzen. Sie wirken auf den ersten Blick harmloser als Executables und sind daher wirksamer.


Bild 1. Phishing-Mail mit HTML-Anhang

Beim Öffnen des Anhangs geht ein Browser mit folgendem Inhalt auf:

Bild 2. HTML Phishing-Seite (Vergrößern durch Klicken)

Um den Nutzer weiter zu ködern, sind Logos bekannter Mail Provider in die Seite eingefügt. Gibt ein Opfer Nutzername/Kennwort – wie gefordert – ein, so werden diese Infos an ein vom Angreifer konfiguriertes PHP-Skript geschickt. Dieses wiederum sendet die Infos an ein Konto des Angreifers.

Die Untersuchung des Quellcodes des HTML-Anhangs ergab, dass er wahrscheinlich in Nigeria programmiert wurde, denn der Google-Link zeigt auf eine Version dieses Landes. Dies scheint aufgrund der Funde in nigerianischen Foren umso wahrscheinlicher. Nairaland etwa enthielt eine Werbung für Betrugsseiten. Der Verkäufer bietet verschiedene Betrugsseiten für unterschiedliche Mail-Services wie 163 Mail, Gmail, Hotmail und Yahoo Mail an.

Bild 3. Website mit Betrugsseiten für Mail Services

Keyloggers sind immer noch häufig im Einsatz, um die Konten der Opfer effizient zu stehlen. Doch die Lieferung eines Executables über Mail kann heutzutage wegen Anti-Spam-Regeln schwierig werden. Eine HTML-Seite hingegen stellt keine sofortige Bedrohung dar, es sei denn, die Datei wurde verifiziert und als Phishing-Seite erkannt.

Eine Phishing-Seite ist einfach zu codieren und zu installieren, anders als ein Keylogger, der Codierkenntnisse erfordert. Eine Phishing-Seite läuft zudem auf jeder Plattform und benötigt lediglich einen Browser.

HTML-Anhänge in Zahlen

Die Daten aus dem Trend Micro Smart Protection Network zeigen zwischen dem 1. Juli 2016 und dem 30. Juni 2017 14.867 Records und 6.664 einzigartige Hashes:

Bild 4. Zahl der BEC-bezogenen Phishing-Angriffe pro Monat

Bild 5.  BEC-bezogenen Phishing-Angriffe pro Land

Bild 6. Schlüsselwörter in BEC-bezogenen Phishing-Angriffen

Weitere Informationen zu dem Thema liefert der Originalbeitrag.

Android Backdoor kann heimlich Audio & Video aufzeichnen – und mehr

von Lenart Bermejo, Jordan Pan und Cedric Pernet

Der Informationen stehlende RETADUP Wurm, der israelische Krankenhäuser angegriffen hatte, ist Teil einer Attacke, die breitangelegt ist, als ursprünglich angenommen – zumindest bezüglich der Auswirkungen. Der Angriff wurde von einer noch gefährlicheren Bedrohung begleitet – einer Android-Schadsoftware, die ein Mobilgerät übernehmen kann. Trend Micro hat sie als ANDROIDOS_GHOSTCTRL.OPS/ANDROIDOS_GHOSTCTRL.OPSA erkannt und den Backdoor GhostCtrl genannt, weil er unbemerkt eine Reihe von Funktionen auf dem betroffenen Gerät kontrollieren kann.

Weiterlesen

OSX-Schadsoftware mit Verbindung zu Operation Emmental kapert Netzwerkverkehr

von Rubio Wu, Threats Analyst

Die OSX_DOK-Schadsoftware (Trend Micro erkennt sie als OSX_DOK. C) zielt auf Maschinen mit dem OSX-Betriebssystem von Apple und umfasst fortgeschrittene Funktionalitäten, etwa für den Missbrauch von Zertifikaten und Umgehung von Sicherheitssoftware. Die Schadsoftware zielt in erster Linie auf Banking-Nutzer in der Schweiz. Sie nutzt eine Phishing-Kampagne, um die Payload abzulegen, die dann über einen Man-in-the- Middle (MitM)-Angriff den Netzwerkverkehr eines Nutzers kapert. OSX_DOK.C scheint eine weitere Version von WERDLOD (von Trend Micro als TROJ_WERDLOD identifiziert) zu sein, eine Schadsoftware, die in den Operation Emmental-Kampagnen zum Einsatz kam – eine interessante Entwicklung.

Übertragungsmethode und Infektionsablauf



Bild 1: OSX_DOK.C-Infektionsroutine für Mac-Systeme

OSX_DOK.C wird über eine Phishing-Mail verbreitet, die bestimmte Dateien enthält, entweder als .zip oder .docx. Die von den Sicherheitsforschern von Trend Micro analysierten Samples umfassten eine Nachricht, die vorgeblich von einer Polizeiinspektion in Zürich kam und behauptete, den Empfänger erfolglos kontaktiert zu haben. Zwei angehängte Dateien gaben vor, Fragen für den Nutzer zu enthalten: eine .zip-Datei ist eine gefälschte OSX-App, während die andere .docx-Datei dazu verwendet wird, dieWindows-Betriebssysteme über WERDLOD anzupeilen. Beide Samples arbeiten als Banking-Trojaner und liefern ähnliche Funktionalitäten.

Einige Beispiele von Dateien, die im Mail-Anhang eingesetzt wurden, sind die folgenden:

  • Zahlungsinformationen 01.06.2017.zip
  • Zahlungsinformationen digitec.zip
  • zip
  • Dokument 09.06.2017.zip
  • Dokument 09.06.2017.docx
  • docx
  • docx
  • 06.2017.docx

Weiterlesen

kurzfristige Webinare zur aktuellen Cyber-Attacke

Aus aktuellem Anlass führen wir kurzfristig Webinare zur aktuellen Cyber-Attacke durch:

Thursday 29. Juni 2017 at 19 Uhr CET in English
Please click here to register!

Friday 30. June 2017 at 11:00 CET in English
Please click here to register!

Freitag 30. Juni 2017 um 11 Uhr CET in deutscher Sprache
Klicken Sie hier um sich zu registrieren!

Vendredi 30. June 2017 11:00 en français
Enregistrez-vous ici!

Venerdì 30 Giugno, 2017 alle 11:00 CET in italiano
Clicca qui per registrarti!

 

Frequently Asked Questions: The Petya Ransomware Outbreak

On June 27, several organizations in Europe reported ransomware infecting their systems, modifying their master boot records (MBR) and encrypting their systems’ files. The culprit: a variant of the Petya ransomware that Trend Micro detects as RANSOM_PETYA.SMA.

The ransomware is spreading rapidly, affecting organizations, businesses, and end users, turning into an outbreak reminiscent of the one caused by WannaCry. Some questions remain: Do they work the same? Do they both have kill switches? Do they similarly use the EternalBlue vulnerability to infect systems?

Here are some of the most frequently asked questions that dispel and clarify misconceptions and comparisons about this threat:

Hier der Link zu einer aktuellen Version der „Frequently asked questions“ des aktuellen Cyber-Angriffs.

Mouseover Makros wurden in Spam-Kampagnen genutzt

Originalbeitrag von Rubio Wu und Marshall Chen, Threats Analysts

Während heutige Schadsoftware relativ neue Fähigkeiten mitbringt, nutzen die meisten ihrer Betreiber immer noch alte Übertragungstechniken. Bösartige Makros und Shortcut (LNK)-Dateien werden in Ransomware-, Banking-Trojaner– und gezielten Angriffen eingesetzt. Doch immer wieder lassen sich auch andere Techniken beobachten, so etwa der missbräuchliche Einsatz von legitimen Tools wie PowerShell oder speziell aufgesetzte Dateien, um aus der Ferne ein Gerät zu übernehmen. Nun fanden die Sicherheitsforscher von Trend Micro kürzlich eine weitere Methode, um Schadsoftware zu verbreiten – der Missbrauch der Aktion, die ausgelöst wird, wenn der Mauszeiger über eine mit einem Link unterlegtes Bild oder Text in einer PowerPoint-Präsentation fährt (Mouse Over).

Weiterlesen

Event: Cyberangriffe im Gesundheitswesen

Event am 22. Juni 2017 ab 14 Uhr in Rotkreuz

Medizinische Geräte schneiden in Sachen IT-Security oftmals schlecht ab. Erfahren Sie bei unserem Event, wo die potentiellen Gefahren liegen und wie Sie sich effektiv davor schützen können.

Der Event findet in Kooperation mit der „Information Security in Healthcare Conference 2017“ und in Zusammenarbeit mit unserem Partner recretix systems AG in Rotkreuz statt. Unser Event ist kostenlos und Sie können über uns zu Spezialkonditionen (250 CHF statt 460 CHF) auch an der ganztägigen Fachveranstaltung teilnehmen. Lassen Sie sich die Keynote von Martin Darms, einem ausgewiesenen IT-Experten des Schweizer Gesundheitswesens, nicht entgehen.

Hier geht es zur Anmeldung

Mehr Informationen zur Tagesveranstaltung

 

Erpresser kassierten 2016 eine Milliarde $ Lösegeld

Originalartikel von Keith Cortez, Technical Communications

Während des Jahres 2016 nahmen die Ransomware-Akteure grössere Ziele ins Visier – kleinere und grössere Unternehmen und Organisationen – von denen sie insgesamt 1 Milliarde $ erpressten. Auch schon bevor die Ransomware WannaCry ihr Unwesen trieb, hatten Unternehmen und Einzelpersonen unter den bösen Folgen dieser Art von Bedrohung zu leiden. Der Report „Ransomware: Früher, jetzt und künftig“ fasst alle Einzelheiten dazu zusammen. Nach nur einem Jahr stieg die Anzahl der Ransomware-Familien um 752%.


Weltweites Aufkommen der Bedrohung durch Ransomware (Januar 2016 – März 2017)

Im Laufe des Jahres 2016 gab es verschiedene Veränderungen an den Ransomware-Varianten. Zu den neu hinzu gekommenen Fähigkeiten gehören aktualisierte Infektionsroutinen und die Möglichkeit, immer weitere Dateitypen zu verschlüsseln. Noch ist das Ende der Fahnenstange nicht erreicht!

Das zeigt auch der jüngste WannaCry-Angriff, wahrscheinlich der umfangreichste bislang. Der Schädling nutzte dabei die kürzlich veröffentlichte Windows Server Message Block (SMB)-Sicherheitslücke (CVE-2017-0144) aus, um nicht nur in Systeme sondern in ganze Netzwerke einzudringen und Dateien zu verschlüsseln, aber auch nach SMB-Freigaben zu scannen und sich so in den Netzwerken auszubreiten. Da WannaCry auch geschäftskritische Dateien (Datenbanken und Archive) verschlüsselt hatte, blieb Opfern möglicherweise nichts anderes übrig, als das geforderte Lösegeld zu zahlen.

Obwohl WannaCry kleinere Summen (300$) fordert als andere Varianten, kann sich der Schädling über SMB-Freigaben verbreiten. Und das bedeutet, dass das betroffene Unternehmen 300$ pro infiziertem System zu zahlen hat.

WannaCry ist nicht die erste Ransomware, die Profit aus Opferunternehmen schlägt. Cerber etwa, die bislang erfolgreichste Ransomware-Familie, brachte immer wieder Unheil über die Opfer. Die Hintermänner begannen sogar, Cerber-as-a-Service-Angebote in Untergrundforen zu offerieren und verdienten damit 200.000$ in einem einzigen Monat.

Sich ständig änderndes Ransomware-Verhalten zwingt die Opfer zu zahlen, um ihre Geschäftstätigkeiten nicht zu beschädigen. Doch die Zahlung des Lösegelds bedeutet nicht immer, dass das Opfer die Daten wiederbekommt. Daher ist bei Bedrohungen wie Ransomware Prävention die bessere Option.

Ransomware-Verteidigung und Prävention

Trend Micro empfiehlt Unternehmen einige grundlegende Vorsichtsmassnahmen zu treffen, um ihr Risiko zu verringern. Folgende Schritte sollten unternommen werden:


Es gibt auch eine Reihe von Lösungen von Trend Micro für den Schutz von Mail und Gateways, der Endpunkte, des Netzwerks und der Server, mit deren Hilfe eine Ransomware-Infektion verhindert werden kann:






Weitere Informationen und Einzelheiten zur Bedrohung durch Ransomware liefert der umfangreiche Bericht „Ransomware: Früher, jetzt und künftig.

 

Nach WannaCry – die nächste Welle rollt an!

Noch keine Woche ist seit der grossen WannaCry – Angriffswelle vergangen. Es war wirklich nur eine Frage der Zeit, bis daraus neue Malware entwickelt werden würde: die Entstehung der UIWIX-Ransomware. Trend Micro erkennt die neue Bedrohung unter RANSOM_UIWIX.A.
Lesen Sie hier das Neuste dazu auf unserem englischsprachigen TrendLabs Security Blog