Aktuelle Sicherheitsberichte verdeutlichen eine besorgniserregende Entwicklung in der Cybersicherheit: Angreifer setzen verstärkt auf die Manipulation von Tastaturkürzeln, um Nutzer zur unbeabsichtigten Installation von Schadsoftware zu verleiten. Diese Taktik zielt darauf ab, menschliche Interaktionsmuster auszunutzen und herkömmliche Sicherheitsmechanismen durch gezielte Nutzeraktionen zu umgehen.
Gezielte Kampagnen gegen macOS- und Windows-Systeme
Sicherheitsexperten von Jamf identifizierten in diesem Zusammenhang den sogenannten AmnesiaStealer. Dieser in der Programmiersprache Rust verfasste macOS-Informationsdieb wird über gefälschte GitHub-Seiten innerhalb von „ClickFix“-Angriffen verbreitet.
Die Schadsoftware zielt auf sieben verschiedene Chromium-Browser ab und ist in der Lage, sensible Daten wie Keychains, Browser-Informationen und Apple Notes zu entwenden. Dabei nutzt AmnesiaStealer eine Schwachstelle zur Umgehung von Sicherheitsvorgaben (CVE-2020-9771) aus. Ein integriertes Remote-Control-Modul ermöglicht zudem die Fernsteuerung über das Chrome DevTools Protocol.
Parallel dazu beobachteten Analysten Aktivitäten der Gruppe APT36, auch bekannt als Transparent Tribe. Die Akteure setzen die 64-Bit-Windows-Backdoor PATCHCORD ein, welche gezielt Browser-Verknüpfungen modifiziert. Die Kampagne ist primär auf Ziele in Afghanistan und Indien ausgerichtet.
Ergänzend dazu nutzt die Gruppe die Go-basierte Malware SHEETCORD, die über VBScript-Persistenz verfügt und sechs verschiedene Browser-Typen angreift. Als Infrastruktur dienen hierbei unter anderem Server mit den Adressen 46.30.188[.]13 und nic-support[.]site.
Angesichts immer komplexerer Methoden zur Datenspionage wird der Schutz digitaler Konten zur geschäftskritischen Aufgabe. Dieses kostenlose E-Book liefert fundierte Informationen zu aktuellen Bedrohungen und zeigt, wie Sie Ihr Unternehmen langfristig proaktiv absichern. Cyber Security E-Book jetzt kostenlos herunterladen
Finanzielle Schäden durch Rekrutierungs-Phishing
Ein besonders folgenschwerer Fall wurde durch die Polizei und die Cyber Security Agency in Singapur dokumentiert. Betrüger gaben sich auf der Plattform LinkedIn als Rekrutierer für Kryptowährungsunternehmen aus.
Durch diese Masche entstand ein Gesamtschaden von 11,8 Millionen US-Dollar (entspricht 15,1 Millionen Singapur-Dollar). Die Opfer wurden unter dem Vorwand eines technischen Auswahltests dazu bewegt, Programmieraufgaben auf ihren Dienstgeräten auszuführen.
Die dabei eingeschleuste Malware erfasste Sitzungs-Token und umging damit die Mehrfaktor-Authentifizierung (MFA). Dies ermöglichte den Angreifern Zugriff auf Bitbucket-Repositorys, woraufhin Softwaresysteme manipuliert und Gelder transferiert wurden. Ergänzend zu diesen gezielten Angriffen identifizierte das Unternehmen CTM360 über 3.000 Phishing-URLs, die mit „Browser-in-the-Browser“-Verfahren (BitB) arbeiten, um Anmeldedaten abzugreifen.
Risiken durch lokale Datenverarbeitung und Steuer-Phishing
Auch technologische Neuerungen bei etablierten Anbietern bergen neue Angriffsflächen. OpenAI integrierte für ChatGPT unter macOS eine Funktion zur Erfassung des Computerverlaufs für Nutzer der Versionen Pro, Business und Enterprise. Statt Screenshots werden hierbei Interaktionsereignisse wie Klicks und Tastatureingaben aufgezeichnet.
Wer sich vor raffinierten Phishing-Angriffen und psychologischen Manipulationstaktiken wie dem CEO-Fraud schützen will, benötigt eine klare Abwehrstrategie. Erfahren Sie in diesem kostenlosen Anti-Phishing-Paket, wie Sie Hacker-Angriffe in vier Schritten stoppen können. Kostenloses Anti-Phishing-Paket sichern
Die Daten werden bis zu 48 Stunden lokal ohne Verschlüsselung gespeichert. Experten weisen darauf hin, dass dies das Risiko für sogenannte Prompt-Injection-Angriffe erhöht. Die Funktion ist derzeit im Europäischen Wirtschaftsraum (EWR), der Schweiz und dem Vereinigten Königreich nicht verfügbar.
Regionale Kampagnen nutzen zudem das Vertrauen in staatliche Institutionen. Eine im Juli gestartete Phishing-Welle tarnte sich als indische Steuerbehörde und verbreitete Gh0st RAT sowie weitere Implantate über komplexe Infektionsketten unter Nutzung von DLL-Sideloading.
In Kolumbien wurde eine ähnliche Methode beobachtet, bei der gefälschte Rechtsmitteilungen mittels SVG-Dateien und JavaScript die Malware DCRat einschleusten. Diese nutzt AES-256-Verschlüsselung und verschiedene Techniken zur Umgehung von Antivirensoftware, um dauerhaften Zugriff auf die Zielsysteme zu erhalten.
