Was ist passiert?
Unbekannte Bedrohungsakteure nutzen das Remote-Access-Tool ScreenConnect, um AsyncRAT auf Zielsystemen einzuschleusen und auszuführen. Kaspersky hat eine massive, mehrsprachige Kampagne aufgedeckt, die über SEO-vergiftete Domains und gefälschte Software-Webseiten arbeitet. Die Angreifer verbreiten manipulierte Installer, die sich als populäre Programme wie OBS Studio, DNS Jumper, DS4Windows und Bandicam tarnen.
Hintergrund & Bedeutung
Diese Kampagne verdeutlicht die zunehmende Professionalisierung von Malware-Distributionsmethoden. Durch SEO-Poisoning landen die gefälschten Webseiten prominent in Suchergebnissen, wenn Nutzer nach bekannter Software suchen. Die Kombination aus ScreenConnect und AsyncRAT ermöglicht vollständige Fernzugriffskontrolle und Datendiebstahl. AsyncRAT gilt als kritisch, da es Banking-Trojaner-Funktionalität bietet und sensible Informationen exfiltriert. Die Mehrsprachigkeit deutet auf global organisierte Cyberkriminelle hin, die gezielt verschiedene Regionen attackieren.
Empfehlungen fuer IT-Teams
- Software ausschließlich von offiziellen Herstellerseiten herunterladen
- SSL-Zertifikate und Domain-Authentizität vor dem Download prüfen
- Endpoint Detection and Response (EDR) Lösungen implementieren
- ScreenConnect-Zugriffe streng überwachen und auf verdächtige Aktivitäten prüfen
- Mitarbeiter zu Phishing- und Social-Engineering-Risiken schulen
- Regelmäßige Sicherheits-Updates durchführen
- Web-Filtern aktivieren, um verdächtige Domains zu blockieren
Fazit
Diese Kampagne zeigt, wie Angreifer legitime Tools für böswillige Zwecke missbrauchen. Unternehmen müssen ihre Download- und Installationsprozesse verstärken und Mitarbeitende sensibilisieren, um sich vor dieser Bedrohung zu schützen.
Quelle: Original Artikel