Virenschutz ade: Malware über Update-Server von Antivirus-Tool verteilt
Wer sich eine Antivirus-Software installiert, tut dies in der Regel in der Erwartung, sein System damit vor Virusinfektionen zu schützen. Das Antivirus-Tool eScan von Microworld Technologies scheint diese Erwartung zuletzt jedoch nicht erfüllt zu haben. Im Gegenteil: Einem Bericht von Bleeping Computer(öffnet im neuen Fenster) zufolge haben Angreifer einen Update-Server des Anbieters kompromittiert und Nutzern darüber Malware untergeschoben.
Microworld Technologies hat den Vorfall den Angaben zufolge bestätigt. Die manipulierten Updates wurden laut Bericht am 20. Januar innerhalb eines zweistündigen Zeitfensters von einem regionalen Update-Cluster an "eine kleine Gruppe von Kunden" verteilt.
Die Angreifer sollen unbefugt auf den betroffenen Server zugegriffen und dessen Konfiguration manipuliert haben, um durch ein Update für eScan eine eigene Datei auf Kundensysteme zu schleusen. Die betroffene Infrastruktur soll inzwischen isoliert und betroffene eScan-Nutzer über den Vorfall informiert worden sein. Der Anbieter betonte, der Vorfall sei nicht die Folge einer möglichen Sicherheitslücke in eScan.
Manuelle Korrektur nötig
Aufgefallen war der Angriff laut Anbieter durch internes Monitoring sowie durch Hinweise einiger Kunden. Aber auch Sicherheitsforscher von Morphisec wurden auf die manipulierten Updates aufmerksam und informierten Microworld Technologies entsprechend. In einem eigenen Blogbeitrag(öffnet im neuen Fenster) nennen die Forscher ein paar Einzelheiten zu der eingeschleusten Malware. Demnach handelt es sich um einen Downloader (CONSCTLX.exe), mit dem sich die Angreifer einen persistenten Zugriff verschaffen wollten.
In dem Beitrag heißt es auch, das manipulierte Update verändere die Konfiguration von eScan derart, dass das Antivirus-Tool nicht mehr ordnungsgemäß arbeite und keine weiteren Updates mehr empfangen könne. Die Forscher schließen eine automatische Korrektur per Update daher aus, so dass Betroffene manuell eingreifen müssen, um eScan wieder funktionsfähig zu bekommen.
Laut Microworld Technologies macht sich eine Infektion auf verschiedene Weise bemerkbar. So soll es auf betroffenen Systemen etwa zu Benachrichtigungen über fehlgeschlagene Updates sowie zu manipulierten Hosts- und eScan-Update-Konfigurationsdateien kommen. Betroffenen Nutzern wird empfohlen, sich an den eScan-Support zu wenden, um bei der Korrektur Unterstützung zu erhalten.