Wer sich schon eine Weile im digitalen Raum bewegt, weiß, dass man nicht einfach auf Links klicken oder persönliche Daten preisgeben sollte, wenn die Quelle nicht absolut vertrauenswürdig ist. Deshalb laufen normale Phishing-Mails bei vorsichtigen Nutzerinnen und Nutzern oft ins Leere, da diese in der Regel den Inhalt ignorieren. Aktuell schlagen allerdings Spezialistinnen und Spezialisten von „Proofpoint“ Alarm.
Offenbar wird aktuell eine Sicherheitslücke in Microsofts Mail-System Outlook, genauer gesagt in dessen Browser-Variante, ausgenutzt. Das macht es möglich, dass schon beim Öffnen einer E-Mail Schadsoftware im Hintergrund arbeitet, wodurch Kriminelle aus der Ferne Zugriff auf den Rechner bekommen; das Vorgehen nennt sich „Half-Click-Exploit“. Dahinter soll die oft mit Russland in Verbindung gebrachte Hackergruppe TA488 stecken. Vor allem Firmen und Behörden sind gefährdet.
E-Mails werden zum Einfalltor für Schadsoftware
Die infizierten E-Mails sind als normale Informationsschreiben getarnt, die sich inhaltlich um Themen wie Wirtschaft oder Tourismus drehen sollen. Sie enthalten keinerlei verdächtige Formulierungen oder Links, die einen Phishing-Versuch vermuten lassen würden. Deshalb fallen sie den meisten Nutzerinnen und Nutzern nicht einmal besonders auf.
Allerdings reicht es aus, die entsprechenden Mails im Webclient von Outlook zu öffnen, um eine Ausnutzung der Sicherheitslücke möglich zu machen. Denn mit dem Klick auf die Nachricht wird bereits versteckter Schadcode im Hintergrund ausgeführt, indem die Software OWAReaper eingeschleust wird.
Diese läuft nicht direkt über den infizierten Rechner (genau genommen das Postfach), sondern weiterhin über die Web-Version von Outlook. Das hinterlässt noch weniger Spuren und ist für Ungeschulte quasi nicht zu entdecken. Aber auch Expertinnen und Experten kann das Ganze knifflig werden, da das Programm seine eigenen Spuren aus der infizierten E-Mail löscht. Das macht die Rückverfolgung extrem schwierig. Dazu kommt, dass es nicht reicht, wenn Betroffene das Passwort ihres Postfachs ändern; der Zugriff bleibt bestehen – auch dann, wenn der Rechner komplett neu aufgesetzt wird.
Passend zum Thema:
- Millionen Geräte infiziert: Malware über offiziellen App-Store verteilt
- PayPal-Kunden gefährdet: Neue Betrugsmasche nutzt echte E-Mails
- SEO Poisoning: Wenn die harmlose Google-Suche zum Sicherheitsrisiko wird
Behörden und Firmen sind besonders gefährdet
Die Schadsoftware kann umfassenden Zugang und Berechtigungen auf dem infizierten Rechner erlangen, indem sie sich auf dem Mailserver festsetzt. Der „Bild“-Zeitung zufolge richtet sich die Attacke dabei zurzeit gegen offizielle Stellen und Unternehmen. Theoretisch könnten aber auch Privatpersonen in den Fokus geraten. Das regionale Hauptaugenmerk liegt dabei auf Europa und den USA.
Entsprechend gilt besondere Vorsicht für Mitarbeiterinnen und Mitarbeiter von Behörden, aber auch von Finanzdienstleistern und Banken. Zudem soll es vermehrt Angriffe auf Telekommunikations- sowie auf Tourismusunternehmen, aber auch auf Firmen im Bereich Luft- und Raumfahrt gegeben haben.
Was können Outlook-Nutzer tun?
Wer Outlook über den Web-Client nutzt, sollte grundsätzlich vorsichtig sein, vor allem, wenn man zu den eben genannten Gruppen gehört. Dabei gelten einige grundlegende Sicherheitsregeln:
- Den Rechner immer auf dem aktuellsten Stand halten, vor allem im Bereich der Sicherheitsupdates.
- Verdächtige Aktivitäten wie beispielsweise ungewöhnliche Anmeldungen sofort der IT oder dem jeweiligen Anbieter melden.
- Nach Möglichkeit auf die Outlook-App umsteigen.
Ein umfangreiches Antivirenprogramm kann zwar hilfreich sein, ist aber keine Garantie, da sich der Schadcode überwiegend im Browser-Cache und in den Outlook-Einstellungen versteckt.