Vorsicht: Microsoft Exchange im Visier von E-Mail-Hijacking-Angriffen

Unbekannte Hacker nehmen vermehrt ungepatchte Microsoft Exchange-Server ins Visier. Ein Trick hat sich dabei breit ge­macht, der für viele Nutzer zunächst nicht so einfach zu durch­schau­en ist: Die Hacker nutzen bestehende E-Mail-Kon­ver­sa­ti­on und täu­schen so Legitimität vor. Das geht aus einem neuen Bericht der Sicherheitsforscher von Intezer hervor (via Bleeping Computer). Die Sicherheitsforscher hatten dabei entdeckt, dass sich die sogenannte IcedID-Malware derzeit massiv über eine Exchange Server-Schwachstelle verbreitet. Diese Malware ist dafür bekannt, dass sie als modular-aufgebauter Banking-Trojaner nicht nur Bankdaten raubt, sondern auch sogenannte Second-Stage-Malware wie Loader oder Ransomware installiert. Infografik Oft gehört - nie genutzt: Schutzmaßnahmen im Internet

Conversation-Hijacking-Angriff

Um auf ihr Opfersystem zu kommen, gibt es dabei einen ganz einfach und fiesen Trick: Die Hacker erwecken bei ihren Opfern den Eindruck, sie erhalten eine E-Mail aus ihrem Netzwerk. Das schaffen sie, indem sie Reply-E-Mails nutzen, sich also in eine bestehende Konversation mit "einschalten". In diesen Antwortketten wird dann zum Beispiel ein Link mit dem Download eines angeblichen Word-Dokuments oder ein Downloadlink für eine beliebige Datei geteilt, in der die IcedID-Malware enthalten ist.

Die Hacker suchen dabei ganz gezielt nach Exchange Servern, die nicht die neuesten Sicherheits-Updates geladen haben und somit anfällig sind. Die Zahl der Kampagnen, die so Schadsoftware verteilen, hat über die Antwortketten-Tricks stark zugenommen. Die Hauptmethode des Conversation-Hijacking-Angriffs besteht darin, die Kontrolle über ein E-Mail-Konto zu übernehmen, das an einer Diskussion mit der Zielperson beteiligt ist, und dann eine Phishing-Nachricht zu senden, die so gestaltet ist, dass sie wie eine Fortsetzung des Threads aussieht. Im Ziel sind fast ausschließlich Unternehmen.

Wenn die Zielperson eine Antwortnachricht mit einem Anhang erhält, der so benannt ist, als sei er für die vorangegangene Diskussion relevant, ist die Wahrscheinlichkeit, dass sie einen Betrug vermutet, auf ein Minimum reduziert.

Intezer erklärt, dass es Hinweise gibt, die darauf hindeuten, dass die Bedrohungsakteure anfällige Microsoft Exchange-Server anvisieren, um die Anmeldedaten zu stehlen, da viele der kompromittierten Endpunkte, die sie gefunden haben, öffentlich zugänglich und nicht gepatcht sind.

Download RogueKiller - Malware aufspüren & entfernen Download Malwarebytes Schutz vor Schadsoftware Siehe auch: