Defender-Sicherheitslücke:
Angriffe auf Windows SmartScreen

Hacker haben eine Angriffswelle gestartet, bei der sie ausgerechnet eine Schwachstelle im Windows Defender ausnutzen, um Sicherheitsüber­prüfungen zu umgehen. Ziel ist es, automatisch gefälschte Software-Installationsprogramme einzuschleusen.

SmartScreen-Schwachstelle

Inzwischen hat Microsoft die SmartScreen-Schwachstelle von Windows Defender zwar behoben - es gibt aber noch viele über das Internet erreichbare ungepatchte Systeme. Das Sicherheitsupdate ist seit Februar erhältlich.

SmartScreen ist eine Windows-Sicherheitsfunktion, die eine Warnung anzeigt, wenn Nutzer versuchen, nicht erkannte oder verdächtige Dateien aus dem Internet herunterzuladen. Die Schwachstelle CVE-2024-21412 ist dabei ein Fehler im Windows Defender SmartScreen, der es speziell gestalteten Dateien ermöglicht, diese Sicherheitswarnungen zu umgehen.


Angreifer können den Fehler aus der Ferne ausnutzen, und durch eine manipulierte Windows-Internet-Verknüpfung (.url-Datei) so gestalten, dass sie Dateien an ihren Speicherort auf dem angegriffenen System automatisch ausgeführt wird. Laut der Analyse der Sicherheitsexperten von Trend Micro hat sich die bereits durch andere Malware-Einschleusungen bekannte Hackergruppe Water Hydra die Schwachstelle vorgenommen. Nun folgt noch eine zweite Malware, namens DarkGate.

Details zum DarkGate-Angriff

Der Angriff mit der DarkGate-Schad­software beginnt mit einer bösartigen E-Mail, die einen PDF-Anhang mit Links enthält. Dort eingebunden sind Weiter­leitungen, die die Google DoubleClick Digital Marketing (DDM) Services nutzen. Wenn ein Opfer auf einen der Links klickt, startet eine Umleitung auf einen kompromittierten Webserver, der eine Internet-Verknüpfungsdatei hostet.

Die Verwendung mehrerer hintereinander geschalteten Windows-Verknüpfungen nutzt die Sicherheitslücke, um dann eine bösartige MSI-Datei automatisch auf dem Gerät auszuführen. Diese MSI-Dateien gaben sich lau den Sicherheitsexperten als legitime Software von NVIDIA, der Apple iTunes-App oder Notion aus.

Nach der Initialisierung kann die Malware Daten stehlen, zusätzliche Nutzdaten abrufen und sich in laufende Prozesse einschleusen, Schlüsselprotokolle erstellen und Angreifern Fernzugriff in Echtzeit ermöglichen. Diese komplexe und mehrstufige Infektionskette wird von den DarkGate-Betreibern mindestens seit Mitte Januar 2024 eingesetzt.

Download Microsoft Windows Tool zum Entfernen bösartiger Software
Siehe auch: