• IT-Karriere:
  • Services:

Forcepoint: Carbanak nutzt Google-Dienste für Malware-Hosting

Wer seine Malware auf einem Command-und-Control-Server hostet, läuft Gefahr, von Firewall-Regeln erkannt zu werden. Die Carbanak-Gruppe liefert Kommandos daher über Google-Docs aus.

Artikel veröffentlicht am ,
Kriminelle hosten Malware auch bei Google-Diensten.
Kriminelle hosten Malware auch bei Google-Diensten. (Bild: Screenshot Golem.de)

Malware-Autoren nutzen offenbar auch Google-Dienste, um ihre Schadsoftware zu verbreiten. Das Unternehmen kann dagegen nur begrenzt vorgehen, wie die Sicherheitsfirma Forcepoint berichtet. Die Carbanak-Gruppe soll in den vergangenen Jahren unter anderem mit Angriffen auf Bankkonten und die Infrastruktur von Banken mehr als 1 Milliarde US-Dollar erbeutet haben.

Stellenmarkt
  1. Statistisches Bundesamt, Wiesbaden
  2. AKKA, München

Die Malware kommt in Form eines RTF-Dokumentes in dem Visual Basic Script-Kommandos (VBScript) enthalten sind. Öffnet ein Nutzer das Dokument, wird der Rechner infiziert. Die Malware erstellt dann für jeden Nutzer mit dem Skript ggldr eigene Dokumente bei Google Apps Script, Google Tabellen und Googles Formulardienst. Mit den Informationen in der dynamisch generierten Tabelle werden Informationen verwaltet, um den individuellen Angriff zu steuern. Die Tabelle dient demnach defacto als Command-und-Control-Server (C2).

Jeder Nutzer bekommt eigene Malware-Anweisungen

Für jeden Nutzer wird zunächst überprüft, ob bereits eine ID vorliegt. Ist dies nicht der Fall, erzeugt das Skript jeweils eine ID für Google-Scripts und für den Formulardienst. Ist bereits eine ID vorhanden, wird die Tabelle nach auszuführenden Befehlen durchsucht. Die ausgeführten Befehle werden dann in der Tabelle abgelegt.

Der Vorteil für die Angreifer: Kaum ein Unternehmen dürfte die URLs für Googles Dienste komplett blockieren, der Traffic wird also auch von einer Firewall nicht erkannt oder aufgehalten. Immer wieder kommen Kriminelle auf kreative Ideen, um Malware an ungewöhnlichen Stellen zu hosten, etwa im Speicher von Netzwerkdruckern. Eine Schwachstelle in der Treiberverwaltung von Windows ermöglichte im vergangenen Jahr sogar, Malware direkt von den Druckern aus an Clients zu verteilen.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Anzeige
Hardware-Angebote
  1. täglich neue Deals bei Alternate.de

M.P. 20. Jan 2017

Ich dachte, das RTF-Dokument selber wäre bei Google Docs abgelegt... Nach noch einmal...


Folgen Sie uns
       


Windows Powertoys - Tutorial

Wir geben einen kurzen Überblick der Funktionen von Powertoys für Windows 10.

Windows Powertoys - Tutorial Video aufrufen
Materiejets aus schwarzem Loch: Schneller als das Licht?
Materiejets aus schwarzem Loch
Schneller als das Licht?

Das schwarze Loch stößt Materie mit einer Geschwindigkeit aus, die wie Überlichtgeschwindigkeit aussieht.
Ein Bericht von Andreas Lutter

  1. Oumuamua Ein ganz normal merkwürdiger interstellarer Asteroid

Unix: Ein Betriebssystem in 8 KByte
Unix
Ein Betriebssystem in 8 KByte

Zwei junge Programmierer entwarfen nahezu im Alleingang ein Betriebssystem und die Sprache C. Zum 50. Jubiläum von Unix werfen wir einen Blick zurück auf die Anfangstage.
Von Martin Wolf


    Mehrwertsteuersenkung: Worauf Firmen sich einstellen müssen
    Mehrwertsteuersenkung
    Worauf Firmen sich einstellen müssen

    Wegen der Mehrwertsteuersenkung müssen viele Unternehmen in kürzester Zeit ihre Software umstellen. Alle möglichen Sonderfälle müssen berücksichtigt werden, der Aufwand ist enorm.
    Von Boris Mayer

    1. Raumfahrt Vega-Raketenstart während Corona-Ausbruchs verschoben
    2. Corona Google und Microsoft starten Weiterbildungsprogramme
    3. Kontaktverfolgung Datenschützer kritisieren offene Gästelisten

      •  /