Wie Cyberkriminelle per SFX-Archive heimlich Hintertüren einbauen
von Tina Siering
Raffinierter Angriffsvektor umgeht herkömmliche Antivirensoftware
Cyberkriminelle missbrauchen SFX-Archive (Self-Extracting Archives), um unerkannt eine Hintertür in der Opferumgebung zu installieren und PowerShell auszuführen.
SFX-Archive (Self-Extracting Archive) ist ein Datenarchiv, das als ausführbare Datei ausgelegt ist und zu diesem Zweck einen sogenannten Dekompressor-Stub (einen kurzen Programmcode) enthält. Es wird daher keine spezielle Software, wie z. B. WinRAR oder 7-ZIP, um die komprimierte Datei zu entpacken. Häufig dienen sie zur Programminstallation.
Bei einer Analyse entdeckte das Sicherheitsteam von CrowdStrike eine passwortgeschützte SFX-Datei, die von Angreifern auf dem System eines Opfers platziert wurde. Sie enthielt keinen Schadcode, sondern lediglich eine leere Textdatei. Ihre eigentliche Funktion bestand darin, über integrierte SFX-Skriptbefehle die Setup-Optionen von WinRAR zu missbrauchen.
In der Folge wurden PowerShell, Windows Eingabeaufforderung (cmd.exe) und der Task-Manager (mit Systemprivilegien) ausführt und die Datei automatisch extrahiert, ohne dass ein Dialogfeld oder Fenster angezeigt wurde.
Quelle: bleepingcomputer.com
Obwohl das Archiv keine Malware enthielt, war es dem Angreifer gelungen, durch hinzugefügte Befehle im Setup-Menü ein SFX-Archive zu erstellen, welches eine Backdoor im angegriffenen System installierte.
Abbildung Angriffskette
Quelle: bleepingcomputer
Diese Art von Angriff wird durch herkömmliche Antivirensoftware in der Regeln nicht erkannt, da diese auf das Auffinden von Schadcode in Archiven fokussiert ist, nicht aber auf das Verhalten eines SFX-Archiv-Dekompressor-Stubs.
Handlungsempfehlungen:
- Um sich zu schützen, sollten Benutzer bei SFX-Archiven immer besondere Vorsicht walten lassen und spezielle Software verwenden, um den Inhalt des Archivs auf ausführbare Skripte oder Befehle zu überprüfen.
WinRAR bietet z.B. eine Reihe erweiterter SFX-Optionen, die es ermöglichen, eine Liste von automatisch ausführbaren Dateien hinzuzufügen, bspw. um vorhandene Dateien im Zielordner zu überschreiben, wenn Einträge mit dem gleichen Namen vorhanden sind. - Überprüfen Sie nicht nur Content eines SFX-Archives, sondern auch die vom SFX-Archiv-Dekompressor-Stub bereitgestellten Funktionen, um ggf. versteckte Befehle frühzeitig zu erkennen.
- Sollten Sie ein SFX-Archive erhalten, das eine Null-Byte-Datei enthält so ist besonderes Vorsicht geboten. Überprüfen sie es auf zusätzliche Funktionen und verwenden Sie Packprogramme zur Dekompression.
Brauchen Sie Unterstützung, um Ihre IT Security für 2023 aufzurüsten? Kontaktieren Sie uns!
Zum Thema passende Artikel
Damit Ihre Geschäftsprozesse reibungslos ablaufen können, müssen Ihre digitalen Unternehmensdaten jederzeit verfügbar sein. Schnell kann es jedoch passieren, dass Ihre Daten in die Hände von Hackern gelangen oder von Mitarbeitern versehentlich gelöscht werden. Damit Sie in solchen Fällen keine langen Ausfallzeiten und Umsatzverluste fürchten müssen, sollten Sie jederzeit eine lückenlose Sicherungskopie in der Hinterhand haben, mit der Sie Ihren Datenbestand schnell wiederherstellen können. Wir verraten Ihnen, mit welchen Backup-Methoden und Speichermedien Sie für den Ernstfall gerüstet sind.
Weiterlesen … Zuverlässige Backups: So gelingt die lückenlose Datensicherung
1972 wagte ein kanadischer IT-Berater namens Ian Sharp eine Prognose, die als eine der größten Fehleinschätzungen der Computertechnologie eingehen sollte. Herr Sharp war damals felsenfest überzeugt, dass die „E-Mail ein total unverkäufliches Produkt“ sei. Heute, 50 Jahre später, ist die elektronische Post zum wichtigsten digitalen Kommunikationsmittel überhaupt geworden. Mehr als 200 Milliarden E-Mails werden 2022 verschickt – und das pro Tag. Doch nicht nur für die Kommunikation zwischen Privatpersonen oder Unternehmen ist die E-Mail unverzichtbar geworden, auch als Marketinginstrument wird die Mail gerne und häufig eingesetzt. Rund zwei Milliarden Euro investiert die deutsche Wirtschaft jährlich in E-Mail-Werbung. Trotz oder gerade wegen der langen Geschichte ranken sich um die E-Mail immer noch Sicherheits-Mythen. Die fünf größten Sicherheits-Irrtümer im Umgang mit E-Mails haben wir in diesem Beitrag für Sie kompakt zusammengefasst. Es überrascht dabei nicht, dass die E-Mail nach wie vor eines der Haupteinfallstore für Cyber-Angriffe auf Unternehmen darstellt.
Weiterlesen … E-Mails: Die fünf größten Sicherheits-Irrtümer
Aufgrund des Krieges in der Ukraine gibt secion eine Einschätzung der Bedrohungslage für Unternehmen ab und beleuchtet die Frage, ob verstärkt russische Angriffe auf Unternehmen in Deutschland, Österreich sowie der Schweiz zu erkennen sind. Es liegen dabei derzeit keine Erkenntnisse über eine akut gesteigerte Gefährdung durch staatliche russische Akteure in Westeuropa vor, jedoch eine erhöhte Aufmerksamkeit in der Öffentlichkeit, mit der diese Cyberattacken aktuell wahrgenommen werden. Zudem sorgen „Dritt-Akteure“ für eine neue Dynamik.