Nachdem bereits vergangene Woche deutsche Unternehmen Ziel eines digitalen Angriffs mit Schadsoftware wurden, attackieren hierzulande Cyberkriminelle jetzt erneut Firmen unterschiedlicher Branchen. Die Angreifer versenden dabei mit Schadsoftware infizierte Excel-Dateien als angebliche Rechnungen aus dem Hause 1&1 sowie vermeintliche Steuerrückzahlungen.
Als Türöffner fungiert die Schadsoftware GuLoader, die dann im Verlauf der Infektion die Ransomware Hakbit herunterlädt, installiert und damit den Rechner des Opfers verschlüsselt. Bei Hakbit handelt es sich um eine Variante der Thanos Ransomware-as-a-Service (RaaS). Die Angreifer weisen in ihren E-Mails darauf hin, dass der Empfänger die Nachricht auf einem PC öffnen soll, weil ein mobiles Gerät wie ein Smartphone die Datei nicht richtig darstellen könne. Dies soll den Erfolg ihrer Attacke sicherstellen, da Microsoft Office-VBA-Makros nicht auf mobilen Geräten ausgeführt werden.
Als Sendeadresse nutzen die Kriminellen eine GMX-Adresse. Nachdem GMX zur 1&1-Gruppe gehört, erhöht dies zunächst auch die Glaubwürdigkeit der eingehenden E-Mail. Die Empfänger sind in vielen Fällen in mittleren Positionen von Unternehmen tätig. Die Hakbit-Kampagne wurde an Firmen folgender Branchen versendet: Pharmazie, Recht, Finanzen, Geschäftsdienstleistungen, Einzelhandel und Gesundheitswesen. Der größte Anteil der beobachteten Hakbit-Nachrichten ging jedoch an Unternehmen aus den Branchen Informationstechnologie, Fertigung, Versicherung und Technologie.
Zudem fiel auf, dass die Mehrzahl, der in den Hakbit-Kampagnen anvisierten Positionen in irgendeiner Weise Kundenkontakt haben. Die Angreifer haben dafür öffentlich verfügbare Informationen über die Empfänger recherchiert, beispielsweise über Websites der Unternehmen sowie Anzeigen. Zum Empfängerkreis gehören Rechtsanwälte, Kundenberater, Direktoren, Versicherungsberater, Geschäftsführer und Projektmanager. Auch dies ist ein Faktor, der die Glaubwürdigkeit der E-Mails verstärkt. Gleichzeitig wird damit auch deutlich, wie gezielt Angreifer heutzutage vorgehen, um ihren potenziellen Erfolg zu maximieren.
Bei der aktuellen Kampagne mit der Ransomware Hakbit nehmen Kriminelle Unternehmen aus Deutschland, Österreich und der Schweiz ins Visier. Sie setzen dabei auf Mails und Dokumente in deutscher Sprache. Bemerkenswert ist, dass es in dieser Kampagne überhaupt keinen Bezug zur aktuellen COVID-19-Pandemie gibt. Dies sollte für alle Anwender eine Warnung sein. Denn auch abseits der COVID-19 bedingten Unsicherheit, haben es Cyberkriminelle nach wie vor mit Ransomware- und anderen Cyberangriffen auf Unternehmen und private Anwender abgesehen. Während jeder bei E-Mails, deren Inhalt einen Bezug zu COVID-19 aufweist, mittlerweile Vorsicht walten lässt, sollte man sich klar machen, dass das selbstverständlich auch für alle anderen E-Mails gelten muss.
Im Folgenden finden sich Beispiele für Köder und den Infektionsverlauf bei der Hakbit-Kampange, in der viele Nachrichten mit Betreffzeilen wie „Fwd: Steuerrückzahlung“ und „Ihre Rechnung" versandt wurden.
Abbildung 1: Hakbit-Köder in einer deutschsprachigen E-Mail
Dieser Köder ist auf Deutsch verfasst und missbraucht das Logo und Branding von 1&1. Die Nachricht enthält einen Microsoft Excel-Anhang namens 379710.xlsm, der bösartige Makros nutzt. Da die Makros und die Malware auf einem mobilen Gerät nicht funktionieren, wird in der Nachricht der Empfänger angewiesen, einen Computer zu verwenden, um den Anhang lesen zu können. Nach dem Öffnen des Excel-Arbeitsblatts wird der Empfänger in Deutsch und Englisch angewiesen, die Makros zu aktivieren (Abbildung 2).
Abbildung 2: Microsoft Excel-Anhang mit Nachricht zum Aktivieren der Makros
Sobald die Makros aktiviert sind, lädt die Datei die Schadsoftware GuLoader herunter und führt sie aus. Dabei handelt es sich um einen relativ neuen, in VB 6.0 geschriebenen Downloader. Wenn GuLoader ausgeführt wird, lädt er die Ransomware Hakbit nach und führt sie ebenfalls aus. In der Folge werden die Dateien auf dem Rechner auf Basis von AES-256 verschlüsselt.
Abbildung 3: Bildschirmanzeige der Hakbit-Lösegeldforderung
Abbildung 4: Hakbit-Lösegeldforderung
Die Kriminellen verlangen in ihrer Lösegeldforderung die Zahlung von 250 Euro in Bitcoin, um die verschlüsselten Dateien wieder freizugeben. Die Text-Datei enthält hierzu Anweisungen, wie das Lösegeld zu zahlen ist.
Hakbit ist ein Beispiel einer besonders gut gemachten Cyberkampagne, die auf den Menschen abzielt, anstatt technische Schwachstellen auszunutzen. Sie belegt, wie zielgerichtet Cyberkriminelle ein bestimmtes Publikum, also bestimmte Personen und Positionen im Unternehmen in bestimmten Branchen, in deren Muttersprache angreifen. Je individueller und spezifischer die für die Angriffe verwendeten E-Mails gestaltet und geschrieben werden, desto höher ist ihre Glaubwürdigkeit und damit die damit verbundene Gefahr, dass Anwender dem Köder auf den Leim gehen. Es gilt daher auch bei E-Mails ohne einen Bezug zu COVID-19 stets die Augen offen zu halten und größte Vorsicht walten zu lassen.