Über das Comeback des Trojaners Emotet hatten wir erst vor ein paar Tagen berichtet. Nun ist eine neue Masche des Schädlings bekannt geworden - er tarnt sich als Adobe-Installer für Windows, und das ist sicherlich nicht sein einziger neuer Trick.
Die Malware Emotet wird jetzt über bösartige Windows App Installer-Pakete verbreitet, die vorgeben, Adobe PDF-Software zu sein. Nutzer sollten dementsprechend sehr vorsichtig sein und Downloads nur aus bekannten und geprüften Quellen (wie unserem WinFuture-Downloadbereich) zulassen. Die Bedrohungsakteure hinter Emotet infizieren Systeme, indem sie bösartige Pakete über eine in Windows 10 und Windows 11 integrierte Funktion namens App Installer infiltrieren.
Bekannter Trick
Laut einem Bericht von Sicherheitsforschern wurde diese Methode zuvor schon bei anderen Trojanern wie der BazarLoader-Malware zur Verbreitung verwendet. Die manipulierten App-Pakete werden dazu auf Microsoft Azure gehostet und über Webseiten und Anzeigen sowie mit Spam-Kampagnen beworben.
Emotet ist eine berüchtigte Malware-Infektion, die sich bisher - so weit das bekannt war - über Phishing-E-Mails und bösartige Anhänge verbreitet. Sobald sie installiert ist, stiehlt sie die E-Mails der Opfer für andere Spam-Kampagnen und setzt Malware wie TrickBot und Qbot ein, die in der Regel zu Ransomware-Angriffen genutzt werden, also die Systeme der Opfer verschlüsseln und erst nach einer Zahlung von Lösegeld wieder freigeben.
Seine alten Tricks setzt Emotet auch weiterhin ein. Der gefälschte App-Installer wird dabei genutzt, um Sicherheitsfunktionen zu umgehen. Da viele Nutzer ihre Systeme mittlerweile vor Schwachstellen durch Makros in Excel schützen (diese wurden zuvor meist verwendet), zielt die neue Kampagne auf Nutzer, die sich den Trojaner einfach selbst herunterladen. Ihnen werden dazu Anhänge gesendet, die sich nicht öffnen lassen. Überwiegend erfolgt das mit dem Trick, dass die E-Mails vermeintlich von einem bekannten Kontakt gesendet werden.
Gleichzeitig wird in der E-Mail ein Link zu einem Adobe-PDF-Installer mitgeschickt, über den sich der Anhang dann angeblich öffnen beziehungsweise im Webbrowser gleich anschauen ließe.
Aufwendig nachgemachte Installer
Wenn der Link angeklickt wird, wird das Opfer auf eine gefälschte Google Drive-Seite weitergeleitet, die ihn auffordert, auf eine Schaltfläche zu klicken, um eine Vorschau des PDF-Dokuments anzuzeigen. Bei dieser Schaltfläche "PDF-Vorschau" handelt es sich aber in Wahrheit um eine ms-appinstaller-URL, die versucht, die manipulierte App-Installer-Datei zu öffnen.
Das schädliche Paket sieht wie eine legitime Adobe-Anwendung aus, hat ein Adobe PDF-Symbol, ein gültiges Zertifikat, das es als "vertrauenswürdige Anwendung" kennzeichnet, und gefälschte Herausgeberinformationen. Diese Art der Validierung durch Windows ist für viele Benutzer mehr als ausreichend, um der Anwendung zu vertrauen und sie zu installieren. In Wahrheit installiert sie aber Emotet, und zwar unter einem zufälligen Dateinamen, was dem Trojaner hilft, der Entdeckung zu entgehen. Nutzer sollten daher bei E-Mails weiterhin große Vorsicht walten lassen, wenn ihnen Anhänge und App-Downloadlinks zugesendet werden.
Quelle; winfuture
Du musst Regestriert sein, um das angehängte Bild zusehen.
Die Malware Emotet wird jetzt über bösartige Windows App Installer-Pakete verbreitet, die vorgeben, Adobe PDF-Software zu sein. Nutzer sollten dementsprechend sehr vorsichtig sein und Downloads nur aus bekannten und geprüften Quellen (wie unserem WinFuture-Downloadbereich) zulassen. Die Bedrohungsakteure hinter Emotet infizieren Systeme, indem sie bösartige Pakete über eine in Windows 10 und Windows 11 integrierte Funktion namens App Installer infiltrieren.
Bekannter Trick
Laut einem Bericht von Sicherheitsforschern wurde diese Methode zuvor schon bei anderen Trojanern wie der BazarLoader-Malware zur Verbreitung verwendet. Die manipulierten App-Pakete werden dazu auf Microsoft Azure gehostet und über Webseiten und Anzeigen sowie mit Spam-Kampagnen beworben.
Emotet ist eine berüchtigte Malware-Infektion, die sich bisher - so weit das bekannt war - über Phishing-E-Mails und bösartige Anhänge verbreitet. Sobald sie installiert ist, stiehlt sie die E-Mails der Opfer für andere Spam-Kampagnen und setzt Malware wie TrickBot und Qbot ein, die in der Regel zu Ransomware-Angriffen genutzt werden, also die Systeme der Opfer verschlüsseln und erst nach einer Zahlung von Lösegeld wieder freigeben.
Seine alten Tricks setzt Emotet auch weiterhin ein. Der gefälschte App-Installer wird dabei genutzt, um Sicherheitsfunktionen zu umgehen. Da viele Nutzer ihre Systeme mittlerweile vor Schwachstellen durch Makros in Excel schützen (diese wurden zuvor meist verwendet), zielt die neue Kampagne auf Nutzer, die sich den Trojaner einfach selbst herunterladen. Ihnen werden dazu Anhänge gesendet, die sich nicht öffnen lassen. Überwiegend erfolgt das mit dem Trick, dass die E-Mails vermeintlich von einem bekannten Kontakt gesendet werden.
Gleichzeitig wird in der E-Mail ein Link zu einem Adobe-PDF-Installer mitgeschickt, über den sich der Anhang dann angeblich öffnen beziehungsweise im Webbrowser gleich anschauen ließe.
Aufwendig nachgemachte Installer
Wenn der Link angeklickt wird, wird das Opfer auf eine gefälschte Google Drive-Seite weitergeleitet, die ihn auffordert, auf eine Schaltfläche zu klicken, um eine Vorschau des PDF-Dokuments anzuzeigen. Bei dieser Schaltfläche "PDF-Vorschau" handelt es sich aber in Wahrheit um eine ms-appinstaller-URL, die versucht, die manipulierte App-Installer-Datei zu öffnen.
Das schädliche Paket sieht wie eine legitime Adobe-Anwendung aus, hat ein Adobe PDF-Symbol, ein gültiges Zertifikat, das es als "vertrauenswürdige Anwendung" kennzeichnet, und gefälschte Herausgeberinformationen. Diese Art der Validierung durch Windows ist für viele Benutzer mehr als ausreichend, um der Anwendung zu vertrauen und sie zu installieren. In Wahrheit installiert sie aber Emotet, und zwar unter einem zufälligen Dateinamen, was dem Trojaner hilft, der Entdeckung zu entgehen. Nutzer sollten daher bei E-Mails weiterhin große Vorsicht walten lassen, wenn ihnen Anhänge und App-Downloadlinks zugesendet werden.
Quelle; winfuture
