Viele Unternehmen bieten ihren Kunden die Möglichkeit, über ein Kontaktformular auf der Webseite ihre Anliegen vorzutragen. Nun warnt jedoch das Microsoft 365 Defender Threat Intelligence Team davor, dass Kriminelle diese Art der Kontaktaufnahme derzeit ausnutzen, um den Trojaner IcedID zu verbreiten.
Das Vorgehen der Hacker ist dabei sehr geschickt, denn es kommt sowohl Social Engineering als auch eine völlig legitime Google-URL zum Einsatz. Das Opfer erhält über das Kontaktformular eine Nachricht, die mit rechtlichen Schritten wegen eines vermeintlichen Vergehens des Unternehmens droht. Ein Beispiel: Eine Fotografin will angeblich ihre urheberrechtlich geschützten Bilder auf der Webseite des angeschriebenen Unternehmens entdeckt haben und droht mit einer Klage, sollte man die Bilder nicht umgehend von der Seite nehmen. Als Nachweis schickt sie mehrere Links mit, über die man sich die Beweise ihrer Behauptungen herunterladen soll. Da es sich dabei um legitime Google-URLs handelt, dürften selbst vorsichtige Internetnutzer erst einmal keinen Verdacht schöpfen. Klickt das Opfer auf den Link, muss es sich mit seinem Google-Konto anmelden. Dieser zusätzliche Authentifizierungsschritt dient dazu, technische Sicherheitsmaßnahmen zu umgehen, die andernfalls den nun folgenden Download einer .zip-Datei mit der verborgenen Malware vielleicht blockiert hätten.
Nach dem Entpacken der .zip-Datei installiert sich mit IcedID die eigentliche Malware. Der Trojaner verbindet sich mit einem Command-and-Control-Server, um weitere Module herunterzuladen, die er benötigt, um Bankdaten und andere Informationen abzufangen und weiterzuleiten. Außerdem können weitere Schädlinge wie die Spionagesoftware Cobalt Strike nachgeladen werden, die den Angreifern die Möglichkeit geben, tiefer in das gekaperte Netzwerk vorzudringen.
Der Erfolg dieser neuen Kampagne beruht auf mehreren Faktoren: Zum einen werden Spamfilter umgangen, indem die initiale Kontaktaufnahme über das hauseigene Kontaktformular erfolgt. Zum anderen ist die E-Mail geschickt formuliert und die Drohung mit rechtlichen Schritten erzeugt Druck beim Opfer, sich die vermeintlichen Beweise anzusehen. Zuletzt ist der Gebrauch einer legitimen Google-Adresse zu nennen, bei der sich das Opfer einloggen muss, wodurch technische Sicherheitsmaßnahmen unter Umständen umgangen werden. Vor allem Mitarbeiter, die für die Bearbeitung der Nachrichten aus Kontaktformularen oder allgemeiner E-Mails an das Unternehmen zuständig sind, sollten daher auf die Gefahr hingewiesen und dafür sensibilisiert werden. Zusätzlich empfiehlt es sich, Benutzerprofile ohne Administratorrechte zu nutzen. Auf diese Art kann sich Malware im Normalfall nicht installieren.
Das Vorgehen der Hacker ist dabei sehr geschickt, denn es kommt sowohl Social Engineering als auch eine völlig legitime Google-URL zum Einsatz. Das Opfer erhält über das Kontaktformular eine Nachricht, die mit rechtlichen Schritten wegen eines vermeintlichen Vergehens des Unternehmens droht. Ein Beispiel: Eine Fotografin will angeblich ihre urheberrechtlich geschützten Bilder auf der Webseite des angeschriebenen Unternehmens entdeckt haben und droht mit einer Klage, sollte man die Bilder nicht umgehend von der Seite nehmen. Als Nachweis schickt sie mehrere Links mit, über die man sich die Beweise ihrer Behauptungen herunterladen soll. Da es sich dabei um legitime Google-URLs handelt, dürften selbst vorsichtige Internetnutzer erst einmal keinen Verdacht schöpfen. Klickt das Opfer auf den Link, muss es sich mit seinem Google-Konto anmelden. Dieser zusätzliche Authentifizierungsschritt dient dazu, technische Sicherheitsmaßnahmen zu umgehen, die andernfalls den nun folgenden Download einer .zip-Datei mit der verborgenen Malware vielleicht blockiert hätten.
Nach dem Entpacken der .zip-Datei installiert sich mit IcedID die eigentliche Malware. Der Trojaner verbindet sich mit einem Command-and-Control-Server, um weitere Module herunterzuladen, die er benötigt, um Bankdaten und andere Informationen abzufangen und weiterzuleiten. Außerdem können weitere Schädlinge wie die Spionagesoftware Cobalt Strike nachgeladen werden, die den Angreifern die Möglichkeit geben, tiefer in das gekaperte Netzwerk vorzudringen.
Der Erfolg dieser neuen Kampagne beruht auf mehreren Faktoren: Zum einen werden Spamfilter umgangen, indem die initiale Kontaktaufnahme über das hauseigene Kontaktformular erfolgt. Zum anderen ist die E-Mail geschickt formuliert und die Drohung mit rechtlichen Schritten erzeugt Druck beim Opfer, sich die vermeintlichen Beweise anzusehen. Zuletzt ist der Gebrauch einer legitimen Google-Adresse zu nennen, bei der sich das Opfer einloggen muss, wodurch technische Sicherheitsmaßnahmen unter Umständen umgangen werden. Vor allem Mitarbeiter, die für die Bearbeitung der Nachrichten aus Kontaktformularen oder allgemeiner E-Mails an das Unternehmen zuständig sind, sollten daher auf die Gefahr hingewiesen und dafür sensibilisiert werden. Zusätzlich empfiehlt es sich, Benutzerprofile ohne Administratorrechte zu nutzen. Auf diese Art kann sich Malware im Normalfall nicht installieren.
