Mittelstandspresse
04.09.2024
Voldemort-Malware nutzt Google Sheets in weltweiter Kampagne
Die Voldemort-Malware breitet sich weltweit aus. Innerhalb eines Monats wurden mehr als 20.000 Phishing-Mails an über 70 Organisationen unterschiedlicher Branchen verschickt. Ziel der Kampagne ist vermutlich Cyberspionage.
Neustadt an der Weinstraße, 04.09.2024 (PresseBox) - Lord Voldemort, oder „der, dessen Name nicht genannt werden darf“, verbreitet im Harry-Potter-Universum Angst und Schrecken. Nun gibt es auch in der realen Welt einen Grund, sich vor Voldemort zu fürchten, denn eine Malware mit diesem Namen verbreitet sich derzeit weltweit in einer groß angelegten Phishing-Kampagne.
Seit dem 5. August 2024 wurden bereits mehr als 20.000 Phishing-E-Mails an über 70 Organisationen weltweit registriert, wovon allein 6.000 an nur einem einzigen Tag verschickt wurden. Die Ziele der Cyberkriminellen stammen dabei aus unterschiedlichen Branchen wie beispielsweise dem Versicherungswesen, der Luftfahrt, der Transportindustrie oder der Lehre, wie Sicherheitsforscher von Proofpoint berichten.
Die Hintermänner der Voldemort-Kampagne setzen laut Proofpoint eine komplexe Angriffskette ein, die sowohl gängige als auch eher ungewöhnliche Techniken kombiniert, wie die Verwendung von Google Sheets für Command-and-Control-Operationen (C2). Am Anfang der Attacke stehen Phishing-E-Mails, die scheinbar von legitimen Steuerbehörden stammen. Diese E-Mails enthalten Links, die den Empfänger zu einer auf InfinityFree gehosteten Landing Page oder direkt zu einer bösartigen Datei führen. Klickt das Opfer dort auf die Schaltfläche „View Document“ wird der Benutzeragent des Browsers überprüft. Handelt es sich um einen Windows-Rechner, wird der Benutzer zu einer search-ms URI umgeleitet, die den Windows Explorer unbemerkt dazu auffordert, eine Verknüpfungsdatei (LNK) oder eine als PDF getarnte ZIP-Datei anzuzeigen. Wenn das Opfer die LNK-Datei ausführt, löst dies eine Reihe von Aktionen aus, die zum Download der Voldemort-Malware führen.
Bei Voldemort handelt es sich um eine Backdoor, die in der Programmiersprache C geschrieben wurde und über fortschrittliche Funktionen zum Sammeln von Informationen verfügt. Sie nutzt CiscoCollabHost.exe, eine legitime ausführbare Datei, die jedoch für DLL-Hijacking anfällig ist, um die bösartige DLL zu laden. Die Malware kommuniziert dann mit ihrem Command-and-Control-Server (C2) über Google Sheets, wo sie Befehle wie das Herunterladen von Dateien, das Starten von Programmen und mehr ausführen kann. Voldemort verwendet außerdem eine einzigartige Methode zur Entschlüsselung von Zeichenketten und ruft dynamisch APIs auf. Diese Techniken sind auch häufig in ausgefeilteren Bedrohungen wie Cobalt Strike zu finden.
Einmal eingedrungen, ist die Malware in der Lage, Systeminformationen zu sammeln, Dateien hochzuladen und zusätzliche Befehle von einem C2-Server auszuführen. Darüber hinaus ermöglicht die Nutzung von Cloudflare-Tunneln - insbesondere der TryCloudflare-Funktion - den Angreifern die Erstellung von einmaligen Tunneln, ohne dass dafür ein Konto erforderlich ist.
Bislang ist es den Sicherheitsforschern von Proofpoint nicht gelungen, die Kampagne einer bekannten Gruppierung zuzuordnen, da die Nutzung von fortschrittlichen Spionagetechniken in Kombination mit herkömmlicheren kriminellen Vorgehensweisen die Identifikation der Angreifer erschwert. Es besteht allerdings der begründete Verdacht, dass es sich um eine Advanced-Persistent-Threat-Gruppierung (APT) handeln könnte.
Ansprechpartner
Felicitas Kraus
+49 (30) 30308089-14
Zuständigkeitsbereich: Pressereferentin
Julia Olmscheid
+49 (6321) 484460
Zuständigkeitsbereich: Head of Communications
Über 8com GmbH & Co. KG:
Das 8com Cyber Defense Center schützt die digitalen Infrastrukturen seiner Kunden effektiv vor Cyberangriffen. Dazu vereint 8com zahlreiche Managed Security Services wie Security Information and Event Management (SIEM), Endpoint Detection and Response (EDR) mit Incident Response und Vulnerability Management unter einem Dach. Verschiedene Penetrationstests und Security-Awareness-Leistungen runden das Angebot ab.
8com gehört zu den führenden Anbietern von Awareness-Leistungen und Informationssicherheit in Europa. Seit 18 Jahren ist das Ziel von 8com, Kunden bestmöglich vor Cyberangriffen zu schützen und gemeinsam ein ökonomisch sinnvolles, aber trotzdem hohes Informationssicherheitsniveau zu erzielen. Durch die einzigartige Kombination aus technischem Know-how und direkten Einblicken in die Arbeitsweisen von Cyberkriminellen können die Cyber-Security-Experten bei ihrer Arbeit auf fundierte Erfahrungswerte zurückgreifen.
- Mehr Infos zu dieser Meldung unter www.pressebox.de
- zurück zur Übersicht