Malware schleicht sich via Word und Excel ein

[Christoph]

Eine neue Malware greift Rechner von Windows-Nutzern über die Office-Anwendungen Word und Excel an. Dabei gelingt es dem Schädling in vielen Fällen unter dem Radar zu agieren.

Entdeckt wurde die Malware von Sicherheits-Forschern von Trend Micro, die ihr den Namen "Crigent/Power Worm" gaben. Die Schadroutinen sind dabei in Word- oder Excel-Dateien versteckt und arbeiten über die Windows PowerShell. Dadurch schlagen die meisten Sicherheits-Systeme, die darauf achten, dass keine fremden Binaries eingeschleppt werden, nicht an.

Auftrag: Datensammlung

Infizierte Dokumente können auf verschiedenen Wegen auf einen Rechner gelangen. Teils werden sie von anderer Malware in Dropbox- oder OneDrive-Pfade abgelegt, oder aber vom Nutzer selbst aus zweifelhaften Quellen heruntergeladen. Eine Infektion mit Crigent richtet dabei erst einmal keinen direkten Schaden an. Die Malware sammelt aber Informationen über das System und schickt diese an eine Kontroll-Infrastruktur.


Laut den Analysen gibt es dann verschiedene Möglichkeiten, wie es weitergeht. So sind Schnittstellen vorhanden, über die der Autor von Crigent weitergehende Befehle schicken kann, um das System für seine Zwecke zu missbrauchen. Aber auch mit den übermittelten Informationen lässt sich einiges Anfangen. So können sie beispielsweise anhand der Versionsnummern von Betriebssystem und Anwendungen Auskunft darüber geben, welche anderen Schwachstellen auf einem Rechner vorhanden sind, die dann mit einem weiteren Exploit ausgenutzt werden.

Die Malware wurde Anfang März zum ersten Mal entdeckt. Aktuell arbeiten die Analysten bei Trend Micro noch daran, genaueren Einblick darin zu erhalten, wie stark die Verbreitung in verschiedenen Regionen ist. Bisher konnte auch noch keine Quelle identifiziert werden. Dies liegt unter anderem daran, dass für die Kommunikation mit der Kontroll-Infrastruktur das Anonymisierungs-Netzwerk Tor genutzt wird.

Ob der Schädling auf einem System vorhanden ist, kann nicht ohne weiteres beantwortet werden. Denn die Dokumente, in denen sich der Schadcode versteckt, haben fast immer andere Namen. Allerdings sollten die Scanner der Security-Anbieter nach und nach für den Schädling sensibilisiert werden.

Quelle: http://winfuture.de/news,81028.html