Wir beraten Sie gerne!

Hotline:
+49 40 38 90 710

E-Mail:
info@secion.de

Kontaktformular

QakBot-Malware: Warnung vor zunehmenden Angriffen

von

Lesezeit: Minuten ( Wörter)
Warnung vor steigenden Attacken mit QakBot-Malware

Akut steigende Angriffszahlen von “QakBot” registriert

Innerhalb der letzten drei Tage kam es weltweit zu einer sehr starken Häufung von erfolgreichen Kompromittierungen durch die Malware „QakBot“ (auch „QBot“ und „QuackBot“ genannt).

QakBot verbreitet sich hauptsächlich über gezielte Spear-Phishing-Angriffe, bei denen der Empfänger in dringlichem Ton aufgefordert wird, eine angehängte, maliziöse ISO-Datei (die wiederum eine LNK-Datei und den QakBot-Payload enthält) zu öffnen.

Dieser Banking-Trojaner verschafft Kriminellen Zugriff auf Online-Banking-Konten, ermöglicht die Ausleitung von Nutzerdaten und lädt Schadsoftware nach. Die Aktivitäten werden den Bedrohungsakteuren hinter der Ransomware Black Basta zugeschrieben. Auch im Rahmen unseres ACD-Monitorings haben wir die Malware bereits aktiv detektiert. Als eine Maßnahme, die wir präventiv umsetzen und auch bereits bei betroffenen Kunden durchgeführt und als wirksam verifiziert haben, empfehlen wir dringend die folgenden Anpassungen der Gruppenrichtlinienobjekte (GPO).

 

Handlungsempfehlung

Um das Öffnen und Mounten von allen Image Dateien für alle Geräte im Netzwerk zu unterbinden, empfehlen wir Systemadministratoren eine globale Änderung der Gruppenrichtlinienobjekte (GPO) vorzunehmen. Im Anhang finden Sie einen Screenshot, der die Einstellungsänderung dokumentiert.

Bitte setzen Sie exakt folgenden Wert: SCSI\CdRomMsft____Virtual_DVD-ROM_ und zusätzlich einen Haken bei: „Auch auf übereinstimmende Geräte anwenden, die bereits installiert sind“.

Aus unserer Sicht sollten Anwender so nicht in der Lage sein, ISO-Dateien zu mounten.

Allgeier secion-Kunden mit einem aktiven Managed Service Vertrag für Active Cyber Defense werden selbstverständlich separat über maliziöse Kommunikation auf ihren Systemen informiert.

Brauchen Sie Unterstützung, um Ihre IT Security für 2022 aufzurüsten? Kontaktieren Sie uns!

Update 14.11.2022 14:16 MESC

Die neusten Patchday-Updates von Microsoft beheben auch die Schwachstelle, die im Zusammenhang mit der Sicherheitsfunktion Mark-of-the-Web (MotW) steht.

Während eine heruntergeladene oder angehängte ISO-Datei das Mark of the Web enthält und beim Öffnen eine Warnung ausgibt, führte der Fehler dazu, dass das MoTW-Flag nicht an Nicht-Microsoft Office-Dateitypen weitergegeben wurde, z. B. Windows Shortcuts (LNK-Dateien).

Wenn ein Benutzer einen ISO-Anhang öffnet und auf die eingeschlossene LNK-Datei doppelklickt, wird sie daher automatisch ausgeführt, ohne dass Windows eine Sicherheitswarnung anzeigt. Nach der Installation der Sicherheitsupdates wird Windows nun das Mark-of-the-Web-Flag von der ISO-Datei auf alle Inhalte übertragen und beim Starten der LNK-Datei ordnungsgemäß eine Sicherheitswarnung anzeigen:

 

Sicherheitswarnung ISO-Datei

Quelle: BleepingComputer

Durch Klicken auf die Schaltfläche "Absenden" bestätigen Sie, unsere Richtlinien zum Datenschutz gelesen zu haben. Sie geben Ihr Einverständnis zur Verwendung Ihrer personenbezogenen Daten zu dem von Ihnen angegebenen Zweck der Kontaktaufnahme durch die Allgeier secion, Zweigniederlassung der Allgeier CyRis GmbH.

* Pflichtfeld

Zurück

Zum Thema passende Artikel

Deutscher Batteriehersteller Varta gehackt – Allgeier secion

Gefahr aus dem Inneren: Studie belegt massive IT-Sicherheitsprobleme durch Mitarbeiter

Im Februar 2024 wurde der deutsche Batteriehersteller VARTA Opfer eines ausgefeilten Cyberangriffs. Wie unter anderem die Süddeutsche Zeitung berichtete, legten Hacker die Produktion an allen fünf Standorten des Konzerns lahm. Rund vier Wochen nach dem folgenschweren Hackerangriff ist die Produktion der Batteriezellen zwar wieder angelaufen, allerdings sind die Nachwirkungen immer noch spürbar. Das Cybercrime-Zentrum Baden-Württemberg hat die Ermittlungen aufgenommen, allerdings sind derzeit noch keine näheren Angaben zu den Tätern veröffentlicht.

Gravierende Sicherheitslücke in Cisco IOS XE gefährdet Tausende von Geräten

Hacker greifen Server an

Cisco, einer der weltweit führenden Anbieter für Netzwerklösungen, hat Einzelheiten zu einer äußerst kritischen Sicherheitslücke in seinem Betriebssystem Cisco IOS XE (CVE-2023-20198) bekannt gegeben. Diese Schwachstelle wird derzeit aktiv von Angreifern ausgenutzt und stellt eine ernsthafte Bedrohung für die IT-Sicherheit von Unternehmen weltweit dar.