Vorsicht: Gecracktes Microsoft Office liefert Malware-Cocktail aus

Sicherheitsforschern ist die Entdeckung einer Gruppe gelungen, die im großen Stil über Torrent-Seiten manipulierte Microsoft Office-Pakete verteilt. Unbedarfte Nutzer holen sich aber statt Word, Excel und Co Schadsoftware der verschiedensten Art auf ihren Rechner.

Trojaner, Proxy-Tools und Crypto-Miner

Die Gruppe verbreitet dabei einen Malware-Cocktail, der unter anderem Remote-Access-Trojaner (RAT), Crypto-Miner, Malware-Downloader, Proxy-Tools und Anti-AV-Programme umfasst. Das meldet das AhnLab Security Intelligence Center (ASEC) aus Korea. Die Sicherheitsforscher haben die aktuell laufende Kampagne identifiziert und warnen nun vor den Risiken des Herunterladens von "raubkopierter" Software.

Die koreanischen Forscher fanden heraus, dass die Angreifer verschiedene Köder benutzen, um ihr Malwarepaket unter die Leute zu bringen. Darunter ist Microsoft Office, Windows und der in Korea beliebte Hangul Word Processor.
Schema des Verteilungswegs Nachgebautes Installationsprogramm

Statt Microsoft Office gibts Malware

Für Nutzer sind die manipulierten Versionen dabei recht schwer erkennbar. Das angebotene Microsoft Office-Installationsprogramm zum Beispiel verfügt über eine gut gestaltete Benutzeroberfläche, über die der Benutzer die zu installierende Version, die Sprache und die 32- oder 64-Bit-Variante auswählen kann.

Einfache Täuschung

Im Hintergrund startet das Installations­programm jedoch eine verschleierte .NET-Malware, die einen Telegram- oder Mastodon-Kanal kontaktiert, um eine gültige Download-URL zu erhalten, von der sie dann zusätzliche Komponenten abruft. Dieses Vorgehen wiederum ist hilfreich, um Antiviren­programme zu täuschen.

Die URL verweist auf Google Drive oder GitHub, beides legitime Dienste, bei denen es unwahrscheinlich ist, dass sie AV-Warnungen auslösen.


Nutzer sollten generell bei der Installation von Dateien, die von dubiosen Quellen heruntergeladen wurden, vorsichtig sein.

Da "gecrackte" Software-Versionen zudem nicht digital signiert sind und die Nutzer bereit sind, Antivirenwarnungen zu ignorieren, wenn sie sie ausführen, werden sie häufig verwendet, um Systeme mit Malware zu infizieren. In diesem Fall bekommt man sogar ein ganzes Malwarepaket.


Siehe auch: