Forcepoint: Carbanak nutzt Google-Dienste für Malware-Hosting

Wer seine Malware auf einem Command-und-Control-Server hostet, läuft Gefahr, von Firewall-Regeln erkannt zu werden. Die Carbanak-Gruppe liefert Kommandos daher über Google-Docs aus.

Artikel veröffentlicht am ,
Kriminelle hosten Malware auch bei Google-Diensten.
Kriminelle hosten Malware auch bei Google-Diensten. (Bild: Screenshot Golem.de)

Malware-Autoren nutzen offenbar auch Google-Dienste, um ihre Schadsoftware zu verbreiten. Das Unternehmen kann dagegen nur begrenzt vorgehen, wie die Sicherheitsfirma Forcepoint berichtet. Die Carbanak-Gruppe soll in den vergangenen Jahren unter anderem mit Angriffen auf Bankkonten und die Infrastruktur von Banken mehr als 1 Milliarde US-Dollar erbeutet haben.

Stellenmarkt
  1. Senior Mobile Developer (m/f/d)
    IDnow GmbH, Düsseldorf, deutschlandweit (Home-Office)
  2. IT-Systemadministrator (m/w/d)
    Verwaltungsgesellschaft der Akademie zur Förderung der Kommunikation mbH, Stuttgart
Detailsuche

Die Malware kommt in Form eines RTF-Dokumentes in dem Visual Basic Script-Kommandos (VBScript) enthalten sind. Öffnet ein Nutzer das Dokument, wird der Rechner infiziert. Die Malware erstellt dann für jeden Nutzer mit dem Skript ggldr eigene Dokumente bei Google Apps Script, Google Tabellen und Googles Formulardienst. Mit den Informationen in der dynamisch generierten Tabelle werden Informationen verwaltet, um den individuellen Angriff zu steuern. Die Tabelle dient demnach defacto als Command-und-Control-Server (C2).

Jeder Nutzer bekommt eigene Malware-Anweisungen

Für jeden Nutzer wird zunächst überprüft, ob bereits eine ID vorliegt. Ist dies nicht der Fall, erzeugt das Skript jeweils eine ID für Google-Scripts und für den Formulardienst. Ist bereits eine ID vorhanden, wird die Tabelle nach auszuführenden Befehlen durchsucht. Die ausgeführten Befehle werden dann in der Tabelle abgelegt.

Der Vorteil für die Angreifer: Kaum ein Unternehmen dürfte die URLs für Googles Dienste komplett blockieren, der Traffic wird also auch von einer Firewall nicht erkannt oder aufgehalten. Immer wieder kommen Kriminelle auf kreative Ideen, um Malware an ungewöhnlichen Stellen zu hosten, etwa im Speicher von Netzwerkdruckern. Eine Schwachstelle in der Treiberverwaltung von Windows ermöglichte im vergangenen Jahr sogar, Malware direkt von den Druckern aus an Clients zu verteilen.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Aktuell auf der Startseite von Golem.de
Amtlicher Energiekostenvergleich  
Benzinkosten mehr als doppelt so teuer wie Ladestrom

Vom 1. Oktober an müssen große Tankstellen einen Energiekostenvergleich aushängen. Dabei schneiden Elektroautos derzeit am besten ab.

Amtlicher Energiekostenvergleich: Benzinkosten mehr als doppelt so teuer wie Ladestrom
Artikel
  1. 600 Millionen Euro: Bundeswehr lässt Funkgeräte von 1982 nachbauen
    600 Millionen Euro
    Bundeswehr lässt Funkgeräte von 1982 nachbauen

    Das SEM 80/90 mit 16 KBit/s wird exakt nachgebaut, zum Stückpreis von rund 20.000 Euro. Das Retrogerät geht für die Bundeswehr in Serie.

  2. Foundation bei Apple TV+: Die unverfilmbare Asimov-Trilogie grandios verfilmt
    Foundation bei Apple TV+
    Die unverfilmbare Asimov-Trilogie grandios verfilmt

    Gegen die Welt von Asimovs Foundation-Trilogie wirkt Game of Thrones überschaubar. Apple hat mit einem enormen Budget eine enorme Science-Fiction-Serie geschaffen.
    Eine Rezension von Peter Osteried

  3. Jelly Scrolling: iPad mini 6 mit Wackelpudding-Scrolling
    Jelly Scrolling
    iPad mini 6 mit Wackelpudding-Scrolling

    Das neue iPad Mini 6 macht bei einigen Anwendern sichtbare Probleme. Beim Scrollen hinkt eine Bildschirmhälfte hinterher.

Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Daily Deals • Alternate (u. a. DeepCool Matrexx 55 V3 ADD-RGB WH 49,98€) • Thunder X3 TC5 145,89€ • Toshiba Canvio Desktop 6 TB ab 99€ • Samsung 970 EVO Plus 2 TB 208,48€ • Lenovo-Laptops zu Bestpreisen • 19% auf Sony-TVs bei MM • WISO Steuer-Start 2021 10,39€ • Samsung Odyssey G7 499€ [Werbung]
    •  /