Abo
  • Services:

Forcepoint: Carbanak nutzt Google-Dienste für Malware-Hosting

Wer seine Malware auf einem Command-und-Control-Server hostet, läuft Gefahr, von Firewall-Regeln erkannt zu werden. Die Carbanak-Gruppe liefert Kommandos daher über Google-Docs aus.

Artikel veröffentlicht am ,
Kriminelle hosten Malware auch bei Google-Diensten.
Kriminelle hosten Malware auch bei Google-Diensten. (Bild: Screenshot Golem.de)

Malware-Autoren nutzen offenbar auch Google-Dienste, um ihre Schadsoftware zu verbreiten. Das Unternehmen kann dagegen nur begrenzt vorgehen, wie die Sicherheitsfirma Forcepoint berichtet. Die Carbanak-Gruppe soll in den vergangenen Jahren unter anderem mit Angriffen auf Bankkonten und die Infrastruktur von Banken mehr als 1 Milliarde US-Dollar erbeutet haben.

Stellenmarkt
  1. swb AG, Bremen
  2. Lidl Digital, Heilbronn

Die Malware kommt in Form eines RTF-Dokumentes in dem Visual Basic Script-Kommandos (VBScript) enthalten sind. Öffnet ein Nutzer das Dokument, wird der Rechner infiziert. Die Malware erstellt dann für jeden Nutzer mit dem Skript ggldr eigene Dokumente bei Google Apps Script, Google Tabellen und Googles Formulardienst. Mit den Informationen in der dynamisch generierten Tabelle werden Informationen verwaltet, um den individuellen Angriff zu steuern. Die Tabelle dient demnach defacto als Command-und-Control-Server (C2).

Jeder Nutzer bekommt eigene Malware-Anweisungen

Für jeden Nutzer wird zunächst überprüft, ob bereits eine ID vorliegt. Ist dies nicht der Fall, erzeugt das Skript jeweils eine ID für Google-Scripts und für den Formulardienst. Ist bereits eine ID vorhanden, wird die Tabelle nach auszuführenden Befehlen durchsucht. Die ausgeführten Befehle werden dann in der Tabelle abgelegt.

Der Vorteil für die Angreifer: Kaum ein Unternehmen dürfte die URLs für Googles Dienste komplett blockieren, der Traffic wird also auch von einer Firewall nicht erkannt oder aufgehalten. Immer wieder kommen Kriminelle auf kreative Ideen, um Malware an ungewöhnlichen Stellen zu hosten, etwa im Speicher von Netzwerkdruckern. Eine Schwachstelle in der Treiberverwaltung von Windows ermöglichte im vergangenen Jahr sogar, Malware direkt von den Druckern aus an Clients zu verteilen.



Anzeige
Blu-ray-Angebote
  1. (2 Monate Sky Ticket für nur 4,99€)
  2. 4,25€
  3. (nur für Prime-Mitglieder)

M.P. 20. Jan 2017

Ich dachte, das RTF-Dokument selber wäre bei Google Docs abgelegt... Nach noch einmal...


Folgen Sie uns
       


Lenovo Moto G6 - Test

Bei einem Smartphone für 250 Euro müssen sich Käufer oft auf Kompromisse einstellen. Beim Moto G6 halten sie sich aber in Grenzen.

Lenovo Moto G6 - Test Video aufrufen
Always Connected PCs im Test: Das kann Windows 10 on Snapdragon
Always Connected PCs im Test
Das kann Windows 10 on Snapdragon

Noch keine Konkurrenz für x86-Notebooks: Die Convertibles mit Snapdragon-Chip und Windows 10 on ARM sind flott, haben LTE integriert und eine extrem lange Akkulaufzeit. Der App- und der Treiber-Support ist im Alltag teils ein Manko, aber nur eins der bisherigen Geräte überzeugt uns.
Ein Test von Marc Sauter und Oliver Nickel

  1. Qualcomm "Wir entwickeln dediziertes Silizium für Laptops"
  2. Windows 10 on ARM Microsoft plant 64-Bit-Support ab Mai 2018
  3. Always Connected PCs Vielversprechender Windows-RT-Nachfolger mit Fragezeichen

Smartphone von Gigaset: Made in Bocholt
Smartphone von Gigaset
Made in Bocholt

Gigaset baut sein Smartphone GS185 in Bocholt - und verpasst dem Gerät trotz kompletter Anlieferung von Teilen aus China das Label "Made in Germany". Der Fokus auf die Region ist aber vorhanden, eine erweiterte Fertigung durchaus eine Option. Wir haben uns das Werk angeschaut.
Ein Bericht von Tobias Költzsch

  1. Bocholt Gigaset baut Smartphone in Deutschland

Raumfahrt: Großbritannien will wieder in den Weltraum
Raumfahrt
Großbritannien will wieder in den Weltraum

Die Briten wollen eigene Raketen bauen und von Großbritannien aus starten. Ein Teil des Geldes dafür kommt auch von Investoren und staatlichen Investitionsfonds aus Deutschland.
Von Frank Wunderlich-Pfeiffer

  1. Esa Sonnensystemforschung ohne Plutonium
  2. Jaxa Japanische Sonde Hayabusa 2 erreicht den Asteroiden Ryugu
  3. Mission Horizons @Astro_Alex fliegt wieder

    •  /