Autorin : Katie Boquetti | Redaktion : Craig Taylor
Ich erinnere mich an die Anfänge der Suchmaschinen. Dogpile , Ask Jeeves , AltaVista – und dann kam Google und veränderte alles. Jahrelang funktionierte die Suche einfach. Man gab eine Frage ein und vertraute darauf, dass die Antwort weit oben angezeigt wurde.
In letzter Zeit hat dieses Vertrauen stark nachgelassen. Google blendet mittlerweile drei, vier, ja sogar fünf Werbeanzeigen über den eigentlichen Suchergebnissen ein, und ich ertappe mich dabei, wie ich den ganzen Kram überspringe und stattdessen meine bevorzugte KI frage. Nennen Sie es Nostalgie, aber ich vermisse die Zeiten, als man sich auf die oberste Seite der Google-Suchergebnisse verlassen konnte.
Der folgende Artikel erinnert daran, dass nicht die unübersichtlichen Suchergebnisse das Schlimmste sind, was einem bei Google begegnet. Kriminelle erstellen mittlerweile gefälschte Anbieterseiten, die bis ins kleinste Detail – inklusive Logo und Download-Button – kopiert werden, um Schadsoftware auf Ihren Computern zu installieren. Die Lösung besteht aus zwei Teilen: einem altbewährten und einem technischen. Der altbewährte Teil ist einfach: Vertrauen Sie nicht länger den Suchergebnissen, laden Sie Ihre Software direkt von der offiziellen Anbieterseite herunter und danken Sie Ihrem Kollegen, der vor der Installation nachfragt. Der technische Teil schützt Sie, falls Sie unachtsam sind. Entziehen Sie Ihren Mitarbeitern die üblichen Administratorrechte. Ein normales Benutzerkonto blockiert den Großteil dieser Schadsoftware, da der Angriff Administratorrechte benötigt, um Ihre Sicherheitsvorkehrungen zu deaktivieren und Updates zu verhindern. Gute Gewohnheiten sorgen dafür, dass riskante Klicks selten vorkommen, und das Prinzip der minimalen Rechtevergabe stellt sicher, dass ein einziger Fehler nicht gleich das gesamte System gefährdet.
Teilt diesen Beitrag mit all denjenigen, die immer noch einen Markennamen in die Suchleiste eingeben und auf das erste Ergebnis klicken. Sie werden es euch danken.
Und denkt daran: Lachen. Lernen. Und lasst es krachen!
Craig
Microsoft veröffentlichte Forschungsergebnisse zu einer aktiven Malware-Kampagne mit einem simplen Aufbau. Jemand sucht nach gängiger Software, klickt auf ein Suchergebnis weit oben, landet auf einer Seite, die der echten Anbieterseite täuschend ähnlich sieht, und lädt ein Installationsprogramm herunter. Die Datei wird ausgeführt. Auf dem Bildschirm scheint alles in Ordnung. Im Hintergrund deaktiviert das Installationsprogramm jedoch Windows Update, fügt Ausnahmen für Microsoft Defender hinzu und stellt eine Verbindung zum Angreifer her. Das Ergebnis ist durchweg katastrophal.
Es gibt viele gute Nachrichten. Die meisten Sicherheitstools erkennen diese Installationsprogramme, bevor sie ausgeführt werden. Sollte eines durchrutschen, blockiert ein normaler Benutzer ohne Administratorrechte den Großteil dessen, was das Installationsprogramm versucht. Und wenn Ihr Team weiß, wo es legitime Software bezieht, erreicht diese Bedrohung Ihre Rechner gar nicht erst.
Die Angreifer registrierten Domains, die realen Markennamen ähnelten und Länderkennungen wie .com.cn und .hl.cn verwendeten. Sie kopierten die Webseiten der Anbieter bis ins kleinste Detail, inklusive Layout, Logo und dem großen grünen Download-Button. Zu den nachgeahmten Marken gehörten Webbrowser, PDF-Editoren, E-Book-Reader, Mindmapping-Apps, Bildschirmrekorder, Festplatten-Dienstprogramme, Übersetzungstools und Spielekonsolen.
Ein Detail erschwert das Blockieren von IP-Adressen. Die heruntergeladene ZIP-Datei behält zwar immer denselben Namen, ihr Inhalt ändert sich jedoch mit jeder Anfrage. Jeder Besucher erhält eine leicht abgewandelte Datei, sodass Sicherheitstools, die nach einem bekannten schädlichen Dateimuster suchen, keine Übereinstimmung finden. Die Erkennung muss sich daher auf das Verhalten nach der Installation konzentrieren.
Bestätigte Opfer arbeiten im Gesundheitswesen, in der Fertigungsindustrie, der Spielebranche, der Technologiebranche, der Logistik, im öffentlichen Dienst und im Bildungsbereich. Microsoft bringt die Aktivitäten mit mäßiger Wahrscheinlichkeit mit einer Gruppe namens Silver Fox in Verbindung, die seit mehreren Jahren für gefälschte Downloadseiten von Anbietern bekannt ist.
Das Installationsprogramm nimmt eine Reihe von unauffälligen Änderungen am Computer vor.
Microsoft Defender hat die Aktivität erkannt und eine automatische Eindämmung eingeleitet, sodass das Endziel der Kampagne unbekannt bleibt.
Das Deaktivieren von Windows Update richtet den größten langfristigen Schaden an. Ein Computer mit deaktivierten Updates funktioniert weiterhin, öffnet E-Mails und wirkt für den Benutzer einwandfrei. Jeder neue Sicherheitspatch wird jedoch nicht auf dem System installiert. Wochen später ist derselbe Computer weiterhin Sicherheitslücken ausgesetzt, die auf allen anderen Rechnern im Büro bereits behoben wurden.
Behandeln Sie Patch-Meldungen als Sicherheitssignal und nicht als lästige IT-Aufräumarbeit. Ein System, das in Ihren Update-Berichten keine Meldungen mehr anzeigt, sollte genauer untersucht werden.
Jeder der folgenden Schritte bietet drei Stufen. „Gut“ ermöglicht Ihnen, heute ohne oder mit geringem Aufwand in Bewegung zu kommen. „Besser“ bietet stärkeren Schutz mit überschaubarem Aufwand. „Am besten“ bietet Ihnen den umfassendsten Schutz, erfordert aber mehr Zeit und Geld, um dauerhaft einsatzfähig zu bleiben.
Beginnen Sie diese Woche in jeder Hinsicht mit „Gut“. Sie werden den Tag sicherer beenden, als Sie ihn begonnen haben, und Sie arbeiten sich in Ihrem eigenen Tempo zu „Besser“ und „Am besten“ vor.
Zeigt ein System diese Anzeichen, ist eine Neuinstallation besser als eine Bereinigung. Die Schadsoftware entfernt Schattenkopien, sperrt ihre eigenen Ordner und verhindert Updates. Eine unvollständige Bereinigung hinterlässt daher Probleme. Installieren Sie das System neu, ändern Sie die Passwörter und arbeiten Sie unbesorgt weiter.
Wählen Sie aus jedem der oben genannten Schritte eine sinnvolle Maßnahme und setzen Sie diese noch heute um. Informieren Sie Ihr Team über den Angriff und erläutern Sie die Schutzmaßnahmen, die Sie für sie implementieren. Bitten Sie alle, die einzige zuverlässige Erkennungsmethode – die Webadresse – zu lernen und sich vor der Installation neuer Software mit Ihnen in Verbindung zu setzen. Diese sinnvollen Schritte dauern nur wenige Minuten, nicht Nachmittage, und jeder einzelne trägt dazu bei, dass Ihr Unternehmen heute Abend sicherer ist als heute Morgen. Etablieren Sie diese Vorgehensweise als Gewohnheit, belohnen Sie Mitarbeiter, die vor der Installation nachfragen, und machen Sie weiter so!
Wie erkenne ich eine gefälschte Downloadseite, bevor ich darauf klicke?
Achten Sie eher auf die Webadresse als auf das Seitendesign, denn dieses ist oft eine nahezu perfekte Kopie. Ungewöhnliche Ländervorwahlen, Markennamen mit Bindestrichen und unbekannte Subdomains sind häufige Anzeichen. Am besten verlassen Sie sich nicht mehr nur auf Ihr Auge. Beziehen Sie Software von einer vertrauenswürdigen Quelle, beispielsweise einem Self-Service-Katalog oder der offiziellen Website des Anbieters, damit gefälschte Ergebnisse gar nicht erst ins Spiel kommen.
Warum ist ein sich ändernder Dateifingerabdruck von Bedeutung?
Viele Sicherheitstools identifizieren schädliche Dateien anhand eines eindeutigen Hashwerts. Da ein Server für jeden Download eine neue Kopie der Malware erstellt, erhält jedes Opfer eine einzigartige Datei. Hashbasierte Blockierung ist daher wenig zielführend. Verhaltensbasierte Erkennung spielt stattdessen eine entscheidende Rolle.
Wie riskant ist ein deaktivierter Windows Update-Dienst?
Eine einzige Sicherheitslücke führt zu einer offenen Angriffsfläche. Der Computer sieht normal aus und fühlt sich auch so an, obwohl ab diesem Zeitpunkt alle veröffentlichten Sicherheitsupdates fehlen. Rechner in diesem Zustand bieten Angreifern Monate später einen zuverlässigen Weg zurück ins System.
Schützt mich Microsoft Defender hier?
Teilweise. Defender erkannte diese Kampagne und konnte sie in den von Microsoft untersuchten Fällen eindämmen. Die Malware versucht weiterhin, mithilfe von SYSTEM-Rechten eigene Ausschlussordner hinzuzufügen. Daher ist der Schutz abhängig davon, dass der Manipulationsschutz aktiviert ist, Ausschlussänderungen überprüft werden und Mitarbeiter ohne unnötige Administratorrechte arbeiten.
Betrifft dies nur Unternehmen, die in China tätig sind?
Die Auswirkungen konzentrieren sich auf in China ansässige Unternehmen und chinesischsprachige Nutzer, da die gefälschten Seiten chinesische Inhalte verwenden. Die Methode ist weit verbreitet. Gefälschte Installationsprogramme, die auf englischsprachige Marken abzielen, tauchen regelmäßig auf, und das Verhalten nach der Installation ist auf jedem Windows-Computer identisch.
Wie verhält es sich mit Mitarbeitern, die Software zu Hause auf einem Arbeitslaptop installieren?
Gleiche Empfehlung, freundlicher formuliert. Nutzer installieren private Tools auf ihren Arbeitsgeräten, weil sie etwas erledigen wollen. Bieten Sie ihnen einen Self-Service-Katalog, über den sie zugelassene Tools mit einem Klick installieren können, eine einfache Möglichkeit, zusätzliche Tools anzufordern, und ein Standardkonto ohne Administratorrechte. So entfällt der riskante Umweg über Suchmaschinen, und ein versehentlicher Klick richtet deutlich weniger Schaden an.
Entdecken und teilen Sie die neuesten Trends, Tipps und Best Practices zur Cybersicherheit – sowie neue Bedrohungen, vor denen Sie sich in Acht nehmen sollten.
Autorin: Katie Boquetti | Redaktion: Craig Taylor Kommentar von Craig Taylor: Das wissen wir hier schon länger...
Weiterlesen
Autorin: Katie Boquetti | Redaktion: Craig Taylor | Kommentar von Craig Taylor: Ein CAPTCHA sollte prüfen, ob …
Weiterlesen
Autorin: Katie Boquetti | Redaktion: Craig Taylor Kommentar von Craig Taylor: Ich bin gesegnet, …
WeiterlesenBehalten Sie die menschlichen Risiken im Blick – mit dem positiven Ansatz, der herkömmlichen Phishing-Tests überlegen ist.
