Neue QakBot(Qbot)-Angriffswelle: E-Mails mit schädlichem PDF-Anhang führen zur Installation von Malware
von Tina Siering
Conversation Hijacking-Taktik
Erst im November letzten Jahres haben wir vor aggressiven Phishing-Angriffen mit der Malware Qakbot (auch QBot genannt) gewarnt. Damals wurde eine maliziöse ISO-Datei verwendet, die wiederum eine LNK-Datei und den QakBot-Payload enthielt. Nun ist der Banking Trojaner mit einer anderen Angriffsmethode wieder stark aktiv!
Gelingt es ihm in Unternehmensnetzwerke einzudringen, platziert er zusätzliche Payloads wie Cobalt Strike, Brute Ratel und weitere Malware, die wiederum potentiellen Angreifern den Zugriff auf das kompromittierte Gerät ermöglichen.
Die Folge: Cyberkriminelle bewegen sich unerkannt lateral im Netzwerk, stehlen Daten und nutzen schließlich Ransomware für Erpressungsangriffe.
Im April 2023 ist erneut eine hohe Qakbot-Aktivität zu beobachten: Windows-Nutzer in Unternehmen stehen im Fokus. Die Verbreitung erfolgt gezielt als Spear-Phishing-E-Mail, diesmal mit bösartigen PDF-Anhängen, die beim Öffnen von Windows Skriptdateien von einem Remote-Server herunterladen.
Die Verbreitung des Banking-Trojaners erfolgt über die echte Geschäftskorrespondenz des potenziellen Opfers, die von den Cyberkriminellen erbeutet wird. Dabei wird die so genannte „Conversation Hijacking“-Taktik eingesetzt: Unter Angabe eines plausiblen Grundes wird der Betroffene aufgefordert, den schädlichen PDF-Anhang zu öffnen (z.B. verbunden mit einer Bitte, eine vereinbarte Auftragssumme anhand der im Anhang geschätzten Kosten zu berechnen). Dadurch kann die Phishing-E-Mail weniger verdächtig erscheinen.
Die Phishing-E-Mails werden in verschiedenen Sprachen versendet werden – darunter auch in Deutsch. Beim Öffnen der geschützten PDF-Datei wird eine Zip-Datei heruntergeladen, die eine Windows-Skript-Datei (wsf) enthält und schließlich ein PowerShell-Skript auf dem infizierten Rechner ausführt. Das PowerShell-Skript versucht, eine DLL von einer Liste von URLs herunterzuladen, solange bis die Datei erfolgreich in den Ordner %TEMP% ausgeführt wurde.
Quelle: bleepingcomputer.com
Wenn die QBot-DLL ausgeführt wird, führt sie den PING-Befehl aus, um festzustellen, ob eine Internetverbindung besteht. Die Malware fügt sich dann in das legitime Windows-Programm wermgr.exe (Windows Error Manager) ein, wo sie unbemerkt im Hintergrund ausgeführt wird.
Quelle: bleepingcomputer.com
Bleiben Sie wachsam und bedenken Sie, dass Cyberkriminelle ihre Taktiken immer weiter entwickeln - und wie in diesem Fall - zusätzliche, überzeugende Social-Engineering-Elemente integrieren. Achten Sie daher auf die korrekte Schreibweise der E-Mail-Adresse des Absenders, merkwürdige Anhänge oder grammatikalische Fehler.
Sollte ein Gerät mit QBot infiziert sein, ist es wichtig, das System so schnell wie möglich offline zu nehmen und das Netzwerk vollständig auf ungewöhnliches Verhalten zu überprüfen.
Allgeier secion-Kunden mit einem aktiven Managed Service Vertrag für Active Cyber Defense werden selbstverständlich über maliziöse Kommunikation auf ihren Systemen gesondert informiert.
Brauchen Sie Unterstützung, um Ihre IT Security für 2023 aufzurüsten? Kontaktieren Sie uns!
Zum Thema passende Artikel
Damit Ihre Geschäftsprozesse reibungslos ablaufen können, müssen Ihre digitalen Unternehmensdaten jederzeit verfügbar sein. Schnell kann es jedoch passieren, dass Ihre Daten in die Hände von Hackern gelangen oder von Mitarbeitern versehentlich gelöscht werden. Damit Sie in solchen Fällen keine langen Ausfallzeiten und Umsatzverluste fürchten müssen, sollten Sie jederzeit eine lückenlose Sicherungskopie in der Hinterhand haben, mit der Sie Ihren Datenbestand schnell wiederherstellen können. Wir verraten Ihnen, mit welchen Backup-Methoden und Speichermedien Sie für den Ernstfall gerüstet sind.
Weiterlesen … Zuverlässige Backups: So gelingt die lückenlose Datensicherung
1972 wagte ein kanadischer IT-Berater namens Ian Sharp eine Prognose, die als eine der größten Fehleinschätzungen der Computertechnologie eingehen sollte. Herr Sharp war damals felsenfest überzeugt, dass die „E-Mail ein total unverkäufliches Produkt“ sei. Heute, 50 Jahre später, ist die elektronische Post zum wichtigsten digitalen Kommunikationsmittel überhaupt geworden. Mehr als 200 Milliarden E-Mails werden 2022 verschickt – und das pro Tag. Doch nicht nur für die Kommunikation zwischen Privatpersonen oder Unternehmen ist die E-Mail unverzichtbar geworden, auch als Marketinginstrument wird die Mail gerne und häufig eingesetzt. Rund zwei Milliarden Euro investiert die deutsche Wirtschaft jährlich in E-Mail-Werbung. Trotz oder gerade wegen der langen Geschichte ranken sich um die E-Mail immer noch Sicherheits-Mythen. Die fünf größten Sicherheits-Irrtümer im Umgang mit E-Mails haben wir in diesem Beitrag für Sie kompakt zusammengefasst. Es überrascht dabei nicht, dass die E-Mail nach wie vor eines der Haupteinfallstore für Cyber-Angriffe auf Unternehmen darstellt.
Weiterlesen … E-Mails: Die fünf größten Sicherheits-Irrtümer
Aufgrund des Krieges in der Ukraine gibt secion eine Einschätzung der Bedrohungslage für Unternehmen ab und beleuchtet die Frage, ob verstärkt russische Angriffe auf Unternehmen in Deutschland, Österreich sowie der Schweiz zu erkennen sind. Es liegen dabei derzeit keine Erkenntnisse über eine akut gesteigerte Gefährdung durch staatliche russische Akteure in Westeuropa vor, jedoch eine erhöhte Aufmerksamkeit in der Öffentlichkeit, mit der diese Cyberattacken aktuell wahrgenommen werden. Zudem sorgen „Dritt-Akteure“ für eine neue Dynamik.