Angreifer nutzen gefälschte Update-Meldungen, um Fernwartungssoftware auf Windows- und Mac-Systemen zu installieren. Die Kampagne betrifft auch deutsche Unternehmen.
Sicherheitsforscher haben eine neue Angriffswelle namens „SMOKE#SCREEN“ aufgedeckt. Die Täter tarnen Schadsoftware als legitime Software-Updates und verschaffen sich so Zugang zu fremden Systemen. Betroffen sind sowohl Windows- als auch macOS-Nutzer – auch in Deutschland dürfte die Gefahr real sein, warnen Experten.
Die Angreifer setzen auf gefälschte Installationsdateien beliebter Anwendungen wie Zoom oder Adobe-Produkte. Auch manipulierte Geschäftsdokumente und fingierte Systemwartungsmeldungen dienen als Köder. Wer die vermeintliche Aktualisierung ausführt, installiert unwissentlich ScreenConnect – ein legitimes Fernwartungstool, das den Angreifern dauerhaften Zugriff auf den Rechner verschafft.
Technische Infrastruktur im Detail
Hinter der Kampagne steckt eine ausgeklügelte Infrastruktur. Sicherheitsanalysten identifizierten einen zentralen Staging-Server unter der Adresse 207.174.0.143:8080, auf dem 15 verschiedene Schadprogramme abgelegt waren. Für die Kommunikation mit kompromittierten Systemen nutzen die Täter drei Relay-Cluster, darunter die Adresse 142.202.191.225 und die Domain blog.derrspecial-onlinedmin.live. Die Steuerung läuft vor allem über Port 8041.
Besonders bemerkenswert ist die Plattform-übergreifende Ausrichtung. Während viele Angriffe dieser Art nur Windows-Systeme ins Visier nehmen, existiert hier auch eine macOS-Variante, die als „ZoomUpdateInstaller.pkg“ getarnt ist. Auf Windows-Rechnern beginnt die Infektionskette häufig mit einer VBScript-Datei wie „zoom-update.vbs“, die zunächst prüft, ob das System von Sicherheitsforschern analysiert wird.
Immer mehr Unternehmen werden Opfer von Cyberangriffen durch manipulierte Software – diese Checkliste hilft Ihnen, es zu verhindern. Erfahren Sie im kostenlosen E-Book, wie Sie sich proaktiv absichern und Sicherheitslücken schließen, bevor es zu spät ist. Gratis-Report zur Cyber-Security jetzt herunterladen
Raffinierte Tarnung gegen Sicherheitssoftware
Die Angreifer setzen auf mehrere Tricks, um nicht entdeckt zu werden. Sie wechseln regelmäßig die Hash-Werte ihrer Schaddateien, wodurch signaturbasierte Antivirenprogramme die Malware kaum erkennen können. Zusätzlich sind die Laderoutinen darauf ausgelegt, Sicherheitsfunktionen wie Microsoft Defender, SmartScreen und die Antimalware-Schnittstelle AMSI zu deaktivieren.
Eine Neuerung: Seit kurzem verzögern die Täter die Ausführung ihrer Schadsoftware um drei Minuten. Diese zeitliche Pause soll offenbar die Korrelations-Engines von Sicherheitsplattformen wie Elastic austricksen, die den Zusammenhang zwischen erster Ausführung und späteren Schadaktivitäten dann nicht mehr herstellen können. Zur weiteren Verschleierung nutzt die Kampagne Cloudflare-Tunnel und Dropbox für die Steuerung – der Datenverkehr tarnt sich damit als legitimer Webdienst.
Wer sich mit dem Schutz digitaler Infrastrukturen befasst, muss heute auch die psychologischen Tricks der Angreifer kennen. Dieser kostenlose Report enthüllt aktuelle Methoden der Cyberkriminellen und zeigt in 4 Schritten den Weg zur erfolgreichen Abwehr. Kostenloses Anti-Phishing-Paket sichern
Ein wachsender Trend: Missbrauch von Fernwartungstools
Der Fall reiht sich ein in eine Serie ähnlicher Vorfälle. Erst Ende Juli entdeckten Forscher eine Phishing-Kampagne, die sich als Bank of America ausgab. Die Angreifer nutzten damals ein ZIP-Archiv mit einem VBScript, um die Benutzerkontensteuerung zu umgehen und ScreenConnect als versteckten Systemdienst zu installieren.
Eine konkrete Zuordnung zu einer bestimmten Hackergruppe steht noch aus. Die Kombination aus signierten Programmen und legitimer Fernwartungssoftware macht die Angriffe besonders gefährlich: Herkömmliche Malware-Erkennung greift nicht, weil die installierte Software ein normales Geschäftswerkzeug ist. Sicherheitsexperten empfehlen Unternehmen daher, verstärkt auf Verhaltensanalyse zu setzen und den Einsatz nicht genehmigter Fernwartungslösungen im Netzwerk strikt zu unterbinden.
