{"id":309936,"date":"2025-03-29T00:11:51","date_gmt":"2025-03-28T23:11:51","guid":{"rendered":"https:\/\/www.borncity.com\/blog\/?p=309936"},"modified":"2025-03-28T13:11:03","modified_gmt":"2025-03-28T12:11:03","slug":"phishing-alarm-microsoft-word-erzeugt-pdf-phishing-link","status":"publish","type":"post","link":"https:\/\/borncity.com\/blog\/2025\/03\/29\/phishing-alarm-microsoft-word-erzeugt-pdf-phishing-link\/","title":{"rendered":"Phishing-Alarm: Microsoft Word erzeugt PDF-Phishing-Link"},"content":{"rendered":"

\"Sicherheit[English]Mir ist von einem Blog-Leser eine sehr krude Geschichte zugespielt worden. Ein mit Microsoft Word erzeugtes Dokument enthielt eine WebEx-Einladung. Durch die Silbentrennung wurde ein \"Phishing-Link\" erzeugt, der auf obskure Seiten umleitete. Sp\u00e4ter stellte sich heraus, dass die PDF-Konverter die URL des Einladungslinks mit einem \"-\" als Trennstrich versahen und so f\u00fcr den Phishing-Link sorgten.<\/p>\n

<\/p>\n

Eine unglaubliche Lesermeldung<\/h2>\n

\"\"Blog-Leser Florian hat sich dies Woche per E-Mail unter dem Betreff Word erzeugt \"Phishing\"-Angriff<\/em> bei mir gemeldet und eine Beobachtung geschildert, die erneut zeigt, dass der Teufel im Detail liegt.<\/p>\n

Der Leser schrieb mir, dass er als IT-B\u00fcro gerade ein \"etwas\" gr\u00f6\u00dferes Anrufaufkommen durch Unternehmenskunden gehabt habe. Ausgel\u00f6st worden seien die Anrufe durch einen von Word erzeugen \"Phishing-Link\".<\/p>\n

Florian hat den Sachverhalt dann erkl\u00e4rt.\u00a0Hintergrund der Aufregung war ein offizielles Schreiben einer Beh\u00f6rde, die zu einer Webex-Konferenz eingeladen hat. Der Teilnahme-Link zur Webex-Konferenz wurde in dem Schreiben eingef\u00fcgt, und dann wurde dieses Schreiben als PDF-Dokument an die Teilnehmer verschickt.<\/p>\n

Der Leser merkt an: \"Das Schreiben wurde h\u00f6chstwahrscheinlich beh\u00f6rdentypisch in Word erstellt.\" Nun kann man in Microsoft Word eine automatische Silbentrennung aktivieren. Diese Option ist wohl im Word, mit dem die Einladung erstellt wurde, aktiviert gewesen. Florian schrieb dazu, dass die Word Silbentrennung\u00a0dem Webex Teilnahme-Link (nachfolgend ein Beispiel):<\/p>\n

*https:\/\/sqdemo6.dmz.webex[.]com\/sqdemo6\/k2\/j.php?MTID=xxx<\/p>\n

eine Silbentrennung verpasst. Aus dem obigen Link wird dann so etwas wie nachfolgend gezeigt – webex[.]com<\/em> wird zu we-bex[.]com<\/em>.<\/p>\n

*https:\/\/sqdemo6.dmz.we-bex[.]com\/sqdemo6\/k2\/j.php?MTID=xxx<\/p>\n

Ich habe hier im Beitrag die Links so umgewandelt, dass keine Links entstehen – wer den Link aufl\u00f6sen m\u00f6chte, sollte nur in einer Sandbox testen.<\/p>\n

Falsche Link-Ziel erzeugt Redirect<\/h2>\n

Florian schrieb mir dazu: \"Relevant ist hier das we-bex[.]com<\/em>\". Er merkte noch an, dass er diese URL bzw. die Zielseite als eher b\u00f6sartig bezeichnen w\u00fcrde, da diese auf verschiedene andere Seiten weiter leitet. Im vorliegenden Fall w\u00e4re ein \"Browser Notification Scam\" angeboten worden.<\/p>\n

In der Meinung, einer Webex-Konferenz beizutreten, bei der man auch unter Umst\u00e4nden auch Mikrofon- und Videoberechtigung erteilt, haben einige Teilnehmer das erlaubt und erhielten nat\u00fcrlich diverse Popups \u00fcber Vireninfektionen.<\/p>\n

Ein kurzer Test meinerseits<\/h2>\n

Als mir die Mail auf den Schreibtisch kam, habe ich etwas getestet. Die Domain wird nach dieser Seite<\/a> seit dem 24. Juni 2021 von einer deutschen Key-Systems GmbH gehalten. Das ist ein Internetanbieter in Sankt Ingbert im Saarland. Ich tippe darauf, dass die Domain da missbr\u00e4uchlich in einem Hosting-Paket (Domain-ID 2621986887_DOMAIN_COM-VRSN) registriert wurde.<\/p>\n

\"Ergebnis<\/a>
\nZum Vergr\u00f6\u00dfern klicken<\/a><\/p>\n

Die oben verfremdete Einladungs-URL mit dem Bindestrich in der webex-URL kann man mit VirusTotal pr\u00fcfen lassen. Da wird alles im \"gr\u00fcnen Bereich\" signalisiert<\/a> – die Umleitung erkennt vermutlich VirusTotal.<\/p>\n

\"Phishing<\/p>\n

Ich habe danach die Zieladresse mal im Inkognito-Modus eines Browsers getestet und wurde auf die oben im Screenshot gezeigte Seite per Redirect weitergeleitet. Wegen der http-URL verweigerte der Browser das Rendering. Dann habe ich die betreffende Redirect-URL erneut in VirusTotal pr\u00fcfen lassen.<\/p>\n

\"VirusTotal<\/a><\/p>\n

Das Ergebnis<\/a> sieht jetzt bereits anders aus – mehrere Virenscanner erkennen das Ziel als sch\u00e4dliche oder verd\u00e4chtige Seite. Also Finger weg von der URL.<\/p>\n

Wer es selbst testen m\u00f6chte<\/h2>\n

Blog-Leser Florian hat mir noch beschrieben, wie man dies testen k\u00f6nne.\u00a0Nachbauen k\u00f6nnen das jeder selbst in Microsoft Word, indem ein Dokument mit der Schriftgr\u00f6\u00dfe 11 und automatischer Silbentrennung aktiviert, verfasst wird (siehe Screenshot).<\/p>\n

\"Word<\/a><\/p>\n

Florian schloss seine erste Mail mit \"Evtl. interessant f\u00fcr deine Leser \u2013 kann ich nicht beurteilen. Ich musste es einfach irgendwo loswerden, da das einer besten und erfolgreichsten Phishing-Versuche der letzten Zeit ist. W\u00e4re dahinter eine gef\u00e4lschte Anmeldeseite f\u00fcr ein Citrix Portal, Microsoft 365 oder \u00e4hnliches gewesen, die Benutzer h\u00e4tten sich mit sehr hoher Wahrscheinlichkeit dort angemeldet.\" Er merkte an, dass er das\u00a0Beispiel auf jeden Fall in die Security Awareness-Trainings des Unternehmens einflie\u00dfen l\u00e4sst.<\/p>\n

Word ist unschuldig – es passiert beim PDF-Export<\/h2>\n

Ich hatte dem Leser meine obigen Erkenntnisse mit dem Kurztest auf VirusTotal mitgeteilt. Darauf hin meldete sich Florian in einer Folgemail und schrieb, dass sie im Unternehmen mit VirusTotal noch nichts gepr\u00fcft h\u00e4tten. Es wurde von der IT nur der erste Redirect, der per JavaScript passiert, bemerkt. Im IT-Umfeld wird auf den Clients in der Regel eine Sicherheitsl\u00f6sung von Trend Micro eingesetzt, die das Problem mit dem Redirekt auf eine sch\u00e4dliche Seite aber auch nicht erkennen.<\/p>\n

Interessenhalber haben die Leute in der IT noch etwas weiter getestet und herausgefunden, dass das Problem nicht durch Microsoft Word verursacht wird. Hier seine Testergebnisse:<\/p>\n