Öffnen Sie die falsche „PDF“-Datei, und Angreifer erhalten Fernzugriff auf Ihren PC.

Die Cyberkriminellen hinter der Kampagne DEAD#VAX treiben das Phishing auf die Spitze, indem sie Schadsoftware in virtuellen Festplatten verbreiten, die sich als gewöhnliche PDF-Dokumente tarnen. Öffnet man die falsche „Rechnung“ oder „Bestellung“, findet man kein Dokument. Stattdessen… Windows Es wird ein virtuelles Laufwerk eingebunden, das im Hintergrund AsyncRAT installiert, einen Hintertür-Trojaner, der es Angreifern ermöglicht, Ihren Computer aus der Ferne zu überwachen und zu steuern.

Es handelt sich um ein Fernzugriffstool, was bedeutet, dass Angreifer die Fernsteuerung über die Tastatur erlangen, während herkömmliche dateibasierte Abwehrmaßnahmen fast nichts Verdächtiges auf der Festplatte erkennen.

Aus der Vogelperspektive betrachtet ist die Infektionskette lang, aber jeder einzelne Schritt sieht für sich genommen gerade legitim genug aus, um bei oberflächlichen Kontrollen nicht aufzufallen.

Die Opfer erhalten Phishing-E-Mails, die wie normale Geschäftsnachrichten aussehen, oft mit Bezug auf Bestellungen oder Rechnungen und manchmal unter Vortäuschung der Identität echter Unternehmen. Die E-Mail enthält keinen direkten Dokumentenanhang. Stattdessen enthält sie einen Link zu einer Datei, die auf IPFS (InterPlanetary File System) gehostet wird, einem dezentralen Speichernetzwerk, das zunehmend für Phishing-Kampagnen missbraucht wird, da Inhalte dort schwerer zu entfernen sind und über normale Web-Gateways abgerufen werden können.

Die verknüpfte Datei ist als PDF benannt und trägt das PDF-Symbol, ist aber tatsächlich eine virtuelle Festplattendatei (VHD-Datei). Wenn der Benutzer darauf doppelklickt, Windows Es wird als neues Laufwerk (z. B. Laufwerk E:) eingebunden, anstatt einen Dokumentenbetrachter zu öffnen. Das Einbinden von VHDs ist völlig legitim. Windows Ein Verhalten, das die Wahrscheinlichkeit verringert, dass dieser Schritt Alarm auslöst.

Im Inneren des eingebundenen Laufwerks befindet sich das, was wie das erwartete Dokument aussieht, aber es ist tatsächlich ein Windows Skriptdatei (WSF). Wenn der Benutzer sie öffnet, Windows Führt den Code in der Datei aus, anstatt ein PDF anzuzeigen.

Nach einigen Überprüfungen zur Vermeidung von Analysen und Erkennung injiziert das Skript die Nutzlast – AsyncRAT-Shellcode – in vertrauenswürdige, von Microsoft signierte Prozesse wie RuntimeBroker.exe, OneDrive.exe, taskhostw.exe, oder sihost.exeDie Malware schreibt niemals eine tatsächlich ausführbare Datei auf die Festplatte. Sie befindet sich vollständig im Arbeitsspeicher dieser legitimen Prozesse und wird dort ausgeführt, was die Erkennung und später auch die forensische Untersuchung erheblich erschwert. Außerdem vermeidet sie plötzliche Spitzen in der Aktivität oder der Speichernutzung, die Aufmerksamkeit erregen könnten.

Für einen einzelnen Benutzer kann das Hereinfallen auf diese Phishing-E-Mail folgende Folgen haben:

• Theft gespeicherte und eingegebene Passwörter, unter anderem für E-Mail, Online-Banking und soziale Medien.
• Offenlegung vertraulicher Dokumente, Fotos oder anderer sensibler Dateien, die direkt aus dem System entnommen wurden.
• Überwachung durch regelmäßige Screenshots oder, sofern konfiguriert, durch Webcam-Aufnahmen.
• Nutzung des Geräts als Sprungbrett, um andere Geräte im selben Heim- oder Büronetzwerk anzugreifen.

Wie man sicher bleibt

Da die Erkennung schwierig sein kann, ist es wichtig, dass Benutzer bestimmte Überprüfungen durchführen:

• Öffnen Sie E-Mail-Anhänge erst, nachdem Sie sich bei einer vertrauenswürdigen Quelle vergewissert haben, dass sie echt sind.
• Stellen Sie sicher, dass Sie das tatsächliche Dateiendungen. Bedauerlicherweise, Windows ermöglicht es Benutzern, sie auszublenden. In Wirklichkeit würde die Datei also so heißen: invoice.pdf.vhd Der Benutzer würde nur sehen invoice.pdfWie das geht, erfahren Sie weiter unten.
• Verwenden Sie eine aktuelle Echtzeit-Anti-Malware-Lösung, die Malware erkennen kann, die sich im Arbeitsspeicher versteckt.

Anzeige von Dateierweiterungen auf Windows 10 und 11

Um Dateierweiterungen anzuzeigen in Windows 10 und 11:

• Explorer öffnen ( Windows Taste + E)
• In Windows 10. Wählen Sie „Ansicht“ und aktivieren Sie das Kontrollkästchen für Dateinamenerweiterungen .
• In Windows 11. Dies finden Sie unter Ansicht > Anzeigen > Dateinamenerweiterungen .

Alternativ können Sie nach „Datei-Explorer-Optionen“ suchen und dort die Option „Erweiterungen für bekannte Dateitypen ausblenden“ deaktivieren.

Für ältere Versionen von Windows Siehe diesen Artikel .

Von der Meldung von Bedrohungen bis zu deren Beseitigung.

Cybersicherheitsrisiken sollten niemals über die Schlagzeile hinausgehen. Schützen Sie Ihre Geräte vor Bedrohungen, indem Sie Malwarebytes noch heute herunterladen .