Wöchentlicher Sicherheitsrückblick: Proxy-Botnetze, Browser-Ransomware, KI-Tricks und gefälschte PoC-Malware

Der Sicherheitsrückblick dieser Woche stand unter einem vertrauten Zeichen: Angreifer und Verteidiger nutzen gleichermaßen alltägliche Vertrauensbeziehungen aus. Von der Nutzung von Geräten im Privathaushalt als Proxy-Infrastruktur bis zu Forschern, die durch gefälschten Exploit-Code getäuscht werden, zeigen die jüngsten Vorfälle, wie schnell gewöhnliche Software und Dienste zu Angriffsflächen werden können.

Proxy-Netzwerk gestört

Google ging gemeinsam mit dem FBI, Lumen und weiteren Partnern gegen das für private Internetanschlüsse genutzte Proxy-Netzwerk NetNut vor, das auch unter der Bezeichnung Popa verfolgt wird. Die Operation baute auf früheren Maßnahmen gegen IPIDEA auf und umfasste die Deaktivierung von Google-Konten und -Diensten, die für die Malware-Kommunikation und -Steuerung verwendet wurden, die Aktualisierung von Play Protect sowie die Entfernung von Apps, die mit NetNut-SDKs verbunden waren. Google schätzt, dass das Netzwerk weltweit mindestens 2 Millionen Geräte erreichte. Die Infrastruktur stützte sich Berichten zufolge auf in Heimgeräte wie Smart-TVs und Streaming-Boxen eingebettete SDKs. Dadurch konnten Angreifer ihren Datenverkehr hinter privaten Internetanschlüssen verbergen.

Benutzernamen kommen zu WhatsApp und geben Anlass zur Sorge über Missbrauch

WhatsApp hat weltweit mit der Reservierung von Benutzernamen begonnen. Die auf den Schutz der Privatsphäre ausgerichtete Änderung soll die Abhängigkeit von Telefonnummern bei der Identifizierung verringern. Die Funktion ist optional und dürfte später in diesem Jahr umfassender eingeführt werden. Allerdings hat sie in Indien und anderen Ländern auch Bedenken ausgelöst, dass Identitätsmissbrauch dadurch leichter werden könnte – insbesondere, wenn ähnlich aussehende Benutzernamen reserviert werden, bevor legitime Organisationen ihre Namen sichern können.

Gefälschte PoC-Repositories verbreiten Malware

Sicherheitsforscher, die auf GitHub nach neu veröffentlichten Proof-of-Concept-Exploits suchten, wurden mit bösartigen Python-Paketen ins Visier genommen, die im Hintergrund einen Trojaner namens ChocoPoC installieren. Der sichtbare PoC wirkt harmlos, doch eine Abhängigkeit namens skytext wird dazu verwendet, die Schadsoftware nachzuladen. Nach der Ausführung kann die Malware Browserdaten stehlen, lokale Dateien und Systeminformationen sammeln sowie Befehle oder Python-Code auf dem infizierten Rechner ausführen.

Weitere bemerkenswerte Aktivitäten

• Ein 19-jähriger Verdächtiger mit Verbindungen zu Scattered Spider wurde von Finnland an die Vereinigten Staaten ausgeliefert. Dort muss er sich wegen Betrugs, Verschwörung und unbefugten Zugriffs auf Computersysteme verantworten.
• Ein als Ousaban bekannter brasilianischer Banking-Trojaner verwendet gefälschte PDF-Köder, um Nutzer in Spanien und Portugal anzugreifen.
• Forscher beschrieben außerdem eine durch künstliche Intelligenz erzeugte Browser-Ransomware, die legitime Chromium-Funktionen für den Dateizugriff zu einem funktionierenden Angriffskonzept kombiniert. In freier Wildbahn haben sie diese bislang jedoch nicht beobachtet.

Auch auf der Seite der Schwachstellen brachte die Woche eine neue Reihe von CVEs mit hoher Priorität in weit verbreiteten Produkten. Das unterstreicht erneut die Notwendigkeit, Patches schnell einzuspielen und die Angriffsfläche konsequent zu kontrollieren.