Einer der kritischsten Aspekte der Computersicherheit ist, dass böswillige Entwickler niemals untätig bleiben. Was vor ein paar Jahren noch unmöglich schien, ist heute eine neue Infektionsmethode oder die Optimierung einer bestehenden. Die neuesten Nachrichten kommen von Trend Micro, die einen Trojaner entdeckt haben, der mithilfe eines speziellen PowerPoint-Dokuments angreift, das einen bösartigen Link enthält, auf den man nicht klicken muss. Schon das Überfahren des Links mit dem Mauszeiger genügt.
Online-Banking und die elektronische Verwaltung von Geldern gewinnen ständig an Bedeutung, was den Endnutzer zu einem immer verlockenderen Ziel für bestimmte böswillige Entwickler macht, die präzisere Kampagnen organisieren wollen. Trotz des enormen Schadens, den sie verursachten, haben die Verantwortlichen von WannaCry nicht mehr als 75.000 Dollar eingenommen. Mit anderen Worten: zu viel Aufmerksamkeit für zu wenig Geld. Auch wenn wir alle wissen, dass es nur eine Frage der Zeit ist, bis der nächste große Ransomware-Angriff das halbe Internet in Brand setzt, ist es nicht abwegig, sich eine Reihe subtilerer und stillerer Kampagnen dazwischen vorzustellen.
Die neue Angriffsmethode
Eine davon wurde gerade von den Leuten von Trend Micro in Europa entdeckt. Der Downloader, den das Unternehmen unter den Namen TROJ_POWHOV.A und P2KM_POWHOV.A erkennt, zeigt dem Benutzer ein PowerPoint-Dokument mit einem Bild oder einem verlinkten Textstück. Das Bemerkenswerteste ist, dass der Benutzer nicht auf diesen Link klicken muss, sondern nur mit dem Mauszeiger darüber fahren muss, um die Installation (über einen PowerShell-Befehl) eines Bank-Trojaners namens OTLARD oder Gootkit auszulösen. Dieser Trojaner hat vor ein paar Jahren in Frankreich angegriffen, indem er Justiz-Spam verbreitete, und seine Fähigkeit, Bankdaten zu stehlen, ist sehr gut dokumentiert.
Schutzmaßnahmen
Trend Micro sagte, dass diese neue Kampagne nur ein ‚Blip' auf ihrem Radar war, mit einer begrenzten Anzahl von Infektionen in fünf Tagen. Das ist jedoch nicht ungewöhnlich (der Plan ist, den Fußabdruck zu verkleinern, um die Arbeit der Ermittler zu erschweren), und der erste Eindruck ist, dass es sich um einen Testflug handelt. Nun ist die Frage: Wie verteidigen wir uns? Trend Micro bestätigte, dass der Trojaner in PowerPoint Online und im Webmodus von Office 365 nicht funktioniert, aber den Rest beeinflussen kann. Die erste Verteidigungslinie ist, die Funktion Geschützte Ansicht in Office aktiviert zu halten und diesem Inhalt ein Misstrauensvotum zu geben (eine unbekannte E-Mail mit einem PowerPoint-Anhang sucht wahrscheinlich Ärger). Vielleicht veröffentlicht Microsoft einen allgemeinen Hotfix, um seine Auswirkungen zu minimieren oder vollständig zu beseitigen, und ich nehme an, dass die Sicherheitsunternehmen entsprechende Anpassungen an ihren Produkten vornehmen werden. Wir müssen wachsam sein.
