Proofpoint: bösartige JavaScript E-Mail Kampagnen im Anmarsch

sectank_artikelbilder_01

In einem neuen Blog-Post diskutieren die Experten von Proofpoint über ihre jüngste Entdeckung bezüglich einer der augenscheinlich größten und bösartigsten E-Mail-Kampagnen, die sie jemals verfolgt haben. In dieser verwenden Cyber-Kriminelle JavaScript-Anhänge, um Computer mit dem Dridex- bzw. Locky-Virus zu infizieren.

In den letzten Jahren verwendeten die kriminellen Akteure angehängte Microsoft Office-Dateien mit eingebetteten bösartigen Makros. Doch die Gefahren hinsichtlich der Ausführung angehängter .exe-Dateien (Executables) sind mittlerweile durchaus bekannt. Die Aussendung von infizierten .js-Dateien wurde hingegen in der Vergangenheit eher selten gesichtet. Nun wurden aber diese Kampagnen in noch nie dagewesenen Mengen mit Hunderten von Millionen von Nachrichten an Unternehmen weltweit gesendet.

Den vollständigen Blog-Post von Proofpoint’s Entdeckung finden Sie hier. Die wichtigsten Punkte sind:

• Die Kampagne war definitiv eine der größten in den letzten Jahren, in welcher Experten von Proofpoint massive Botnetze ausfindig machten, die riesige Mengen an schädlichen E-Mails verteilten. Diese Botnetze sind weltweit stationiert, aber Indien und Vietnam sind bei weitem die größten Quellen, die IP-Adressen hinsichtlich dieser Kampagne aussendeten.

• Der enorme Umfang der Kampagne legt nahe, dass die Akteure auf die Naivität der Opfer bezüglich dieses selten verwendeten Ansatzes setzen. Während viele der E-Mails in diesen Kampagnen die .js-Dateien ohne Modifikation verwendeten, setzten andere auf verschleierte JavaScript-Dateien mit unterschiedlichen Dateinamenserweiterungen. Oder sie verwenden komprimierte Dateien, um die bösartige Natur der angehängten Dateien für Empfänger zu verschleiern.

• Obwohl diese Angriffe zuvor mit den Ransomware-Varianten Teslacrypt und Cryptowall gestartet wurden, treten bei dieser Kampagne lediglich Locky und Dridex auf. Da Dridex landes- und bankenspezifische Opfer im Visier hat, hat Proofpoint weniger industrielle oder vertikale Angriffe verfolgt. Allerdings hat Proofpoint einige geospezifische Ziele in den USA sowie in Großbritannien und Westeuropa feststellen können. Locky dagegen hat seine Angriffsziele mehr im Rahmen eines Schrotflintenprinzips festgelegt – ohne definiertes Ziel und mit hohem Volumen.

• Der E-Mail-Köder-Mechanismus aus dieser Kampagne unterscheidet sich nicht wesentlich von denen, die mit den Standard-Microsoft Office-Dokument-Anhängen einher gingen. Das Ziel der Akteure besteht weiterhin darin, ihre Opfer zum Klicken auf die angehängten Dateien zu verleiten. Dabei müssen sie keinen weiteren zusätzlichen Schritt ausführen, um Makros zu aktivieren. Das Javascript-File wird nur ausgeführt, wenn dieses geöffnet wird – daraufhin installiert sich die Malware direkt.

Warum also .js-Dateien? Laut Bryan Burns, Vice President of Threat Research bei Proofpoint, „sind die Anwender darin geschult, keinesfalls auf angehängte exe-Files zu klicken, aber viele wissen nicht was eine js-Datei ist und dass diese gefährlich sein kann. Die Datei sieht aus wie ein ganz normales Dokument, was den Anwender verwirrt. In anderen Fällen wurde die Dateinamenserweiterung so unbenannt, dass diese wie ein legitimer Dateityp aussieht. Und diese Datei wird von Windows auch als JavaScript ausgeführt, sobald der Anwender einen Doppelklick auf das angehängt File ausführt.“

Quelle: Proofpoint