{"id":239097,"date":"2020-12-19T10:49:15","date_gmt":"2020-12-19T09:49:15","guid":{"rendered":"https:\/\/www.borncity.com\/blog\/?p=239097"},"modified":"2020-12-19T10:49:15","modified_gmt":"2020-12-19T09:49:15","slug":"socgholish-angriff-auf-browser-flash-und-microsoft-teams","status":"publish","type":"post","link":"https:\/\/borncity.com\/blog\/2020\/12\/19\/socgholish-angriff-auf-browser-flash-und-microsoft-teams\/","title":{"rendered":"SocGholish: Angriff auf Browser, Flash und Microsoft Teams"},"content":{"rendered":"

Sicherheitsforscher von Menlo Labs haben eine zunehmende Kampagne entdeckt, bei der Browser, Flash und Microsoft Teams \u00fcber eine Drive-by-Infektion kompromittiert werden. Die Cyber-Angreifer bietet Malware an, die sich als legitime Browser-, Flash- und Microsoft Teams-Updates ausgibt.<\/p>\n

<\/p>\n

\"\"Ich bin \u00fcber nachfolgenden Tweet<\/a> auf das Thema aufmerksam geworden. In den letzten zwei Monaten hat das Team von Menlo Labs einen Anstieg von Drive-by-Download-Angriffen beobachtet, die das \"SocGholish\"-Framework verwenden, um Opfer zu infizieren. <\/p>\n

\"SocGholish:<\/a><\/p>\n

Dieses spezielle Framework ist daf\u00fcr bekannt, dass es h\u00e4ufig verwendet wird, um b\u00f6sartige Nutzdaten zu \u00fcbermitteln, indem es sich als legitimes Software-Update tarnt. Der Blog-Beitrag der Sicherheitsforscher von Menlo Labs l\u00e4sst sich hier abrufen<\/a>. <\/p>\n

Ein paar Details<\/h2>\n

Die Malware wird durch Drive-by-Downloads auf die Systeme der Opfer verteilt. Das hei\u00dft, es reicht, dass ein Benutzer eine infizierte Website besucht. Die Website l\u00f6st dann einen Download der Malware ohne Zutun des Benutzers aus. Da die Malware Social-Engineering-Toolkits, die als Software-Update getarnt sind, verwendet, haben die Sicherheitsforscher das K\u00fcrzel Soc im Namen SocGholish vergeben. <\/p>\n

Die Sicherheitsforscher von Menlo Labs haben bisher beobachtet, dass das \"SocGholish\"-Framework mehrere Social-Engineering-Themen zur Verbreitung der Malware verwendet. Diese geben sich als Browser-Updates (Chrome\/Firefox), Flash Player-Updates und neuerdings auch als Microsoft Teams-Updates aus.<\/p>\n

Die Angreifer verwenden in der Regel eine legitime Webseite in Kombination mit einer kompromittierten Website, um die Malware zu. Die Malware wird dann von der kompromittierte Website \u00fcber einen IFRAME-Tag auf der legitimen Webseite bereitstellt. Dann greift ein Drive-by-Download-Mechanismus, um den Download der b\u00f6sartigen ZIP-Datei auf das System des Opfers auszul\u00f6sen. <\/p>\n

Im n\u00e4chsten Schritt ist die Interaktion des Benutzers erforderlich, um den Inhalt der b\u00f6sartigen ZIP-Datei zu extrahieren und auszuf\u00fchren. Dazu kommen Social Engineering und das Vertrauen der Opfer in die besuchte Webseite (die vermeintliche Quelle der Datei) ins Spiel. Da die Datei in einem IFRAME-Tage innerhalb einer legitimen Website gehostet wird, sollen Benutzer dazu verleitet werden, die Datei aus einer legitimen Quelle herunterzuladen und auszuf\u00fchren.<\/p>\n

Die b\u00f6sartige ZIP-Datei enth\u00e4lt eine eingebettete JScript-Datei, die bei der Ausf\u00fchrung Live-Off-the-Land-Bin\u00e4rdateien (PowerShell\/CMD usw.) verwendet, um einen b\u00f6sartigen Download abzurufen, der zus\u00e4tzliche Befehls- und Kontrollkommunikation zum Herunterladen der endg\u00fcltigen Malware bereitstellt.<\/p>\n

Die Details sind im Blog-Beitrag<\/a> der Sicherheitsforscher von Menlo Labs nachzulesen. In Bezug auf Flash l\u00e4sst sich festhalten, dass dessen Support am Jahresende 2020 ausl\u00e4uft, die letzten Updates wurden Anfang Dezember 2020 ausgerollt. Browser und Microsoft Teams sollten nur \u00fcber die Update-Funktion der Browser bzw. Software erfolgen. Oder man verwendet Download-Pakete von den Webseiten der Entwickler wie Microsoft, Google, Mozilla. <\/p>\n","protected":false},"excerpt":{"rendered":"

Sicherheitsforscher von Menlo Labs haben eine zunehmende Kampagne entdeckt, bei der Browser, Flash und Microsoft Teams \u00fcber eine Drive-by-Infektion kompromittiert werden. Die Cyber-Angreifer bietet Malware an, die sich als legitime Browser-, Flash- und Microsoft Teams-Updates ausgibt.<\/p>\n","protected":false},"author":2,"featured_media":0,"comment_status":"open","ping_status":"","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[1432,1356,426,7459],"tags":[414,4328,3836],"class_list":["post-239097","post","type-post","status-publish","format-standard","hentry","category-firefox-internet","category-google-chrome-internet","category-sicherheit","category-software","tag-browser","tag-sicherheit","tag-software"],"_links":{"self":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/239097","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/comments?post=239097"}],"version-history":[{"count":0,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/239097\/revisions"}],"wp:attachment":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/media?parent=239097"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/categories?post=239097"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/tags?post=239097"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}