Bösartige JavaScript E-Mail-Flut erreicht Europa

Die Sicherheitsexperten von Proofpoint warnen vor einer E-Mail-Kampagne, mit der gefährliche JavaScript E-Mails versandt werden. Nach Beobachtungen von Proofpoint läuft eine Kampagne, die auf europäische Nutzer abzielt.

Die Experten von Proofpoint schreiben über ihre jüngste Entdeckung, dass es sich um eine der größten und bösartigsten E-Mail-Kampagnen, die sie jemals verfolgt haben, handele. In dieser Kampagne verwenden Cyber-Kriminelle JavaScript-Anhänge, um Computer mit dem Dridex- bzw. Locky-Virus zu infizieren.

In den letzten Jahren verwendeten die kriminellen Akteure angehängte Microsoft Office-Dateien mit eingebetteten bösartigen Makros. Doch die Gefahren hinsichtlich der Ausführung angehängter .exe-Dateien (Executables) sind mittlerweile durchaus bekannt.

(Quelle: Proofpoint)

Die Aussendung von infizierten .js-Dateien wurde hingegen in der Vergangenheit eher selten gesichtet. Nun wurden aber diese Kampagnen in noch nie dagewesenen Mengen mit Hunderten von Millionen von Nachrichten an Unternehmen weltweit gesendet.

(Quelle: Proofpoint)

• Die Kampagne war definitiv eine der größten in den letzten Jahren, in welcher Experten von Proofpoint massive Botnetze ausfindig machten, die riesige Mengen an schädlichen E-Mails verteilten. Diese Botnetze sind weltweit stationiert, aber Indien und Vietnam sind bei weitem die größten Quellen, die IP-Adressen hinsichtlich dieser Kampagne aussendeten.
• Der enorme Umfang der Kampagne legt nahe, dass die Akteure auf die Naivität der Opfer bezüglich dieses selten verwendeten Ansatzes setzen. Während viele der E-Mails in diesen Kampagnen die .js-Dateien ohne Modifikation verwendeten, setzten andere auf verschleierte JavaScript-Dateien mit unterschiedlichen Dateinamenserweiterungen. Oder sie verwenden komprimierte Dateien, um die bösartige Natur der angehängten Dateien für Empfänger zu verschleiern.
• Obwohl diese Angriffe zuvor mit den Ransomware-Varianten Teslacrypt und Cryptowall gestartet wurden, treten bei dieser Kampagne lediglich Locky und Dridex auf.
• Da Dridex landes- und bankenspezifische Opfer im Visier hat, hat Proofpoint weniger industrielle oder vertikale Angriffe verfolgt. Allerdings hat Proofpoint einige geospezifische Ziele in den USA sowie in Großbritannien und Westeuropa feststellen können.
• Locky dagegen hat seine Angriffsziele mehr im Rahmen eines Schrotflintenprinzips festgelegt – ohne definiertes Ziel und mit hohem Volumen.

Der E-Mail-Köder-Mechanismus aus dieser Kampagne unterscheidet sich nicht wesentlich von denen, die mit den Standard-Microsoft Office-Dokument-Anhängen einher gingen. Das Ziel der Akteure besteht weiterhin darin, ihre Opfer zum Klicken auf die angehängten Dateien zu verleiten. Dabei müssen sie keinen weiteren zusätzlichen Schritt ausführen, um Makros zu aktivieren. Das Javascript-File wird nur ausgeführt, wenn dieses geöffnet wird – daraufhin installiert sich die Malware direkt.

Laut Bryan Burns, Vice President of Threat Research bei Proofpoint, sind die Anwender darin geschult, keinesfalls auf angehängte exe-Files zu klicken, aber viele wissen nicht was eine js-Datei ist und dass diese gefährlich sein kann. Die Datei sieht aus wie ein ganz normales Dokument, was den Anwender verwirrt. In anderen Fällen wurde die Dateinamenserweiterung so unbenannt, dass diese wie ein legitimer Dateityp aussieht. Und diese Datei wird von Windows auch als JavaScript ausgeführt, sobald der Anwender einen Doppelklick auf das angehängt File ausführt. Diese Kampagnen sind beunruhigend, weil:

• Die massiven Volumina das Risiko drastisch erhöhen, Empfänger ohne ausreichenden
  elektronischen Schutz vorzufinden, oder Empfänger, welche die potentielle Bösartigkeit
  der Dateianhänge nicht erkennen und
• Die Dateien sind nicht sofort als bösartig erkennbar (wie EXE-Dateien) und erzeugen
  keine makrobezogenen Warnmeldungen.

Sowohl für Unternehmen als auch für Privatpersonen bedeutet das, dass die Nutzung von Anti-Malware-Lösungen, die fortschrittliche Bedrohungen erkennen, wichtiger denn je wird. Zugleich ist sicherzustellen, dass die Nutzer wachsam bleiben, E-Mails mit Sinn und Verstand behandeln und sich der wachsenden Vielfalt von angehängten Dokumenten bewusst sind, die möglicherweise schädlich sind.