StrelaStealer: Malware stiehlt Outlook- und Thunderbird-Zugänge

Sicherheitsforscher haben eine neue Malware entdeckt, die Zugangsdaten zu E-Mail-Konten von Outlook und Thunderbird stiehlt. Der "Strela­Stealer" getaufte Schädling ist seit Kurzem aktiv, zu seiner Verbreitung ist noch wenig bekannt. Das geht aus einem Bericht von Bleeping Computer hervor. Aufgespürt wurde die neue Malware in Spanien, wo sie derzeit bereits aktiv ist und über Phishing-E-Mails Verbreitung findet.

Entdeckt hatten Sicherheitsforscher von DCSO_CyTec die Schadsoftware vor wenigen Tagen. "StrelaStealer" ist auf der Jagd nach Zugangsdaten von Outlook und Thunderbird, zwei weitverbreiteten E-Mail-Clients. Die Malware ist dabei aktiv auf der Suche nach den Zugangsdaten speziell für diese beiden E-Mail-Clients. Infografik Cyberkriminalität: E-Mails bleiben größtes Sicherheitsrisiko Dieses Verhalten unterscheidet sich von dem der meisten Informationsdiebe, die versuchen, Daten aus verschiedenen Datenquellen zu stehlen, darunter Browser, Kryptowährung-Wallet-Apps, Cloud-Gaming-Apps, die Zwischenablage usw., heißt es in dem Bericht über die neue Bedrohung.

DLL-Order-Hijacking

StrelaStealer gelangt über E-Mail-Anhänge auf das System des Opfers. Häufig wird mit ISO-Dateien zum Download geködert. Die Malware wird, nachdem der Nutzer versucht, den Anhang zu öffnen, per DLL-Order-Hijacking nachgeladen.

Sobald die Malware in den Speicher geladen ist, wird der Standardbrowser geöffnet, um den Köder aus der Phishing-E-Mail anzuzeigen, damit der Angriff weniger verdächtig wirkt. Bei der Ausführung durchsucht StrelaStealer dann allerdings schon das Verzeichnis "%APPDATA%\Thunderbird\Profiles\" nach "logins.json" (Konto und Passwort) und "key4.db" (Passwortdatenbank) und filtert deren Inhalt auf den Server der Hacker. Ähnlich läuft es auch bei der Suche nach den Outlook-Konten.

Immer Vorsicht bei Anhängen

Die Betroffenen merken den Angriff meist gar nicht - und wenn, dann ist es schon zu spät und die Unbekannten haben Zugriff auf sensible Daten. Um nicht in die Falle zu geraten, kann man nur empfehlen, Anhänge nie ohne eine Vorabprüfung zu laden und Antivirenschutzsoftware immer aktuell zu halten.

Siehe auch: