Vorsicht: MalDoc-Schadcode umgeht Windows Malware-Erkennung

Sicherheitsforscher warnen jetzt vor einem neuen Trick von Cyberkriminellen. Dabei wird eine bösartige Word-Datei in ein PDF eingebettet, um der Malware-Erkennung zu umgehen. Damit hat Schadcode freie Fahrt auf dem PC.

Nadine Dressler, 03.09.2023 11:53 Uhr

Sicherheitslücke, Hacker, Security, Malware, Angriff, Hack, Kriminalität, Virus, Schadsoftware, Cybersecurity, Exploit, Cybercrime, Hacking, Hackerangriff, Internetkriminalität, Sicherheitslücken, Darknet, Sicherheitsupdate, Hacker Angriff, Hacker Angriffe, Hacken, Attack, Hacks, Cyberangriff, Kurs, Crime, Russische Hacker, anti-malware, Risiko, Cyberwar, China Hacker, Sicherheitsrisiko, Malware Warnung, Totenkopf, Sicherheitsproblem, Cyberattacke, tot, Dead, Malware Found, Hazard, Skull

MalDoc in PDFs entdeckt

Das japanische Computer Emergency Response Team, kurz JPCERT, informiert über diesen neuartigen "MalDoc in PDF"-Angriff. Entdeckt wurde er bereits im Juli 2023 und dann Ende August der Öffentlichkeit vorgestellt.

Bei der von JPCERT untersuchten Datei handelt es sich um eine polyglotte Datei, die von den meisten Tools als PDF erkannt wird, jedoch von Office-Anwendungen als normales Word-Dokument (.doc) geöffnet werden kann.

Polyglots sind Dateien, die zwei unterschiedliche Dateiformate enthalten, die je nach der Anwendung, die sie öffnet, als mehr als ein Dateityp interpretiert und ausgeführt werden können.

Diese Fähigkeit machen sich die Angreifer zunutze und versenden manipulierte Dateien. Die bösartigen Dateien sind häufig eine Kombination aus PDF- und Word-Dokumenten, die als beide Dateiformate geöffnet werden können.

In diesem Fall enthält das PDF-Dokument ein Word-Dokument mit einem VBS-Makro zum Herunterladen und Installieren einer MSI-Malware-Datei, wenn es als .doc-Datei in Microsoft Office geöffnet wird. Ein Virenscanner "sieht" jedoch nur das PDF und nicht die manipulierte Word-Datei. So gelang Schadcode ungehindert auf den PC - wenn man sich nicht an geltende Sicherheitsmaßen hält, wie zum Beispiel die Makros in Word zu deaktivieren.

Das japanische CERT gab bisher keine Einzelheiten über die Angriffe bekannt und meldete auch nicht, welche Art von Malware bei diesem Vorgang installiert wird. Auch, ob es bereits eine aktive Ausnutzung der Schwachstelle gibt, ist nicht bekannt.

Obwohl die Einbettung eines Dateityps in einen anderen nicht neu ist, da Angreifer häufig zur besseren Verbreitung polyglotte Dateien einsetzen, um die Erkennung zu umgehen, ist die spezifische Technik neu, schreibt das JPCERT. Infografik: Millionenschäden durch Datenlecks