Geniale neue Angriffstechnik nutzt Windows Store zur Installation von Malware

Gerade als Sie dachten, dass Bedrohungsakteure keinen anderen Weg finden könnten, einen Dropper zu starten, ist eine neue Methode aufgetaucht, die die native Funktionalität von Windows 10 nutzt.

Wenn Sie phishing-Angriffe in den letzten Jahren überhaupt verfolgt haben, sind Sie sich der Bedrohungsakteure bewusst, die Methoden wie Office-App-Makros verwenden, um einen Malware-Dropper oder ein Installationsprogramm zu starten, oder eine PDF-Datei zum Ausführen eines Skripts usw. nutzen.

Aber eine neue Technik wurde von Sicherheitsforschern bei Sophos identifiziert, die den Windows App Installer aus Windows 10 heraus aufruft, um der Katalysator für die Infektion eines Computers mit Malware zu sein.

Laut Sophos zielte die E-Mail auf Sophos-Mitarbeiter ab, die angeblich von einem anderen Sophos-Mitarbeiter stammten, verlinkte auf ein PDF in der E-Mail mit der Frage „Warum haben Sie uns nicht über die Kundenbeschwerde an Sie informiert?“ und forderte den Empfänger auf, sie jetzt zurückzurufen. Da es keine Telefonnummer zum Anrufen gibt, besteht der logische nächste Schritt darin, auf den Link zu klicken und die Beschwerde anzuzeigen.

Der Link führt die Opfer zu einer windows.net-Site mit einer Schaltfläche „PDF-Vorschau“ und wenn sie angeklickt werden, beginnt das eigentliche Trickzeug. Wie Sie in der Abbildung unten sehen können, enthält die Vorschauschaltfläche einen Link, der mit ms-appinstaller beginnt:  Der löst die Windows Store-Anwendung  AppInstaller.exeaus, um das herunterzuladen und auszuführen, was sich am anderen Ende dieses Links befindet.

Quelle: Sophos Labs

Einfach genial.

Das Installationsprogramm wird so gestaltet, dass es wie eine Adobe PDF-„Komponente“ aussieht, in der Hoffnung, dass Benutzer es als gutartig ansehen (und dass möglicherweise das Herunterladen der Beschwerde „PDF“ einfach ein Update ausgelöst hat usw.). Was tatsächlich installiert ist, ist die BazarBackdoor-Malware.

Dies ist eine ziemlich geniale Möglichkeit, Benutzer dazu zu bringen, Malware an einigen Fronten zu installieren. Es scheint, dass die Cyberkriminellen ihr Spiel verstärken – was bedeutet, dass Sie auch mit dem Security Awareness Training die Benutzer dazu erziehen müssen, solche E-Mails überhaupt nicht zu verwenden; Alles Unerwartete sollte als potenziell feindselig interpretiert werden.