Gefährlichere ChromeLoader und GenAI Diese Angriffsmethoden nutzen Cyberkriminelle heute

Anbieter zum Thema

FTAPI Software GmbH

HP Wolf Security untersuchte aktuell genutzte Angriffsmethoden von Cyberkriminellen. Neben großen ChromeLoader-Kampagnen setzen diese auf GenAI, was das Programmieren von Malware auch für Unerfahrene einfach macht.

Für seinen neuen Threat Insights Report hat der Hersteller von April 2024 bis Juni 2024 Daten von Millionen von Endgeräten, auf denen die Sicherheitssoftware läuft, analysiert und drei interessante Angriffsmethoden entdeckt.

Malware einfach mit GenAI erstellt

Dass Cyberkriminelle GenAI nutzen, um Phishing-Köder zu erstellen, ist bekannt. Bisher gab es laut HP Wolf Security allerdings nur wenige Hinweise darauf, dass die Akteure GenAI-Tools verwenden, um Schadcode zu schreiben.

Eine Angriffskampagne, die Indikatoren auf KI-generierten Schadcode enthält, haben die Forschenden von HP Security entdeckt. Die Kampagne zielt auf französischsprachige Nutzer ab und verwendet VBScript und JavaScript. Die Struktur des Codes, Kommentare zu jedem einzelnen Befehl und die Verwendung von Funktionen in der jeweiligen Landessprache lassen darauf schließen, dass die Bedrohungsakteure KI-gestützte Tools zur Erstellung der Schadsoftware verwendet haben. Diese Kampagne nutzt AsyncRAT, eine leicht zugängliche Schadsoftware, die Bildschirminhalte und Tastatureingaben der Opfer aufzeichnet. GenAI senkt somit die Anforderungen an technische Fähigkeiten und ermöglicht es auch weniger erfahrenen Angreifern, Malware zu entwickeln und in Umlauf zu bringen.

Generative KI in der IT-Sicherheit

Hoffnung auf GenAI in der Cyber­sicher­heit, aber die Zuversicht fehlt

Massiver Ausbau von ChromeLoader-Kampagnen

Außerdem entdeckte das Forschungsteam von HP Wolf Security eine umfangreiche und ausgefeilte ChromLoader-Kampagne, die sich auf sogenannte „Malvertising“-Techniken stützen. Hierbei werden Opfer über manipulierte Werbeanzeigen auf Webseiten gelockt, die scheinbar legitime PDF-Tools anbieten. Diese Webseiten sind professionell gestaltet und vermitteln einen vertrauenswürdigen Eindruck. Installiert der Nutzer jedoch die angebotene Software, wird ein MSI-Installationspaket ausgeführt, das Schadcode auf dem System hinterlässt. Statt der häufig verwendeten HTML-Dateien nutzen einige Angreifer nun SVG-Vektorgrafiken, um Malware einzuschleusen. SVG-Dateien sind XML-basiert und können JavaScript-Code enthalten, der beim Anzeigen der Grafik im Browser automatisch ausgeführt wird.

Malware in Vektorbildern

Während viele Cyberkriminelle Code mithilfe von HTML-Dateien schmuggeln, setzen einige Akteure dafür mittlerweile auf Vektorbilder. Im Grafikdesign ist diese Bilddatei weit verbreitet und verwendet in der Regel das XML-basierte SVG-Format (skalierbare Vektorgrafiken). Da Browser skalierbare Vektorgrafiken automatisch öffnen, wird jeder eingebettete JavaScript-Code ausgeführt, während das Bild angezeigt wird. Somit denken die Opfer, dass sie sich nur ein Bild ansehen, interagieren jedoch mit einem komplexen Dateiformat, was zur Installation mehrere Arten von Malware führt, die ihre Daten stiehlt.

Die beliebtesten Einfallstore der Cyberkriminellen

Ein weiterer Trend, den die Analysten identifzierten ist, dass Cbyerkriminelle ihre Angriffsmethoden diversifizieren, um Sichterheitsrichtlinien und Erkennungstools zu umgehen.

HP Wolf Security fand zudem heraus, dass

• Archive mit 39 Prozent die beliebteste Art der Malware-Verbreitung sind und 26 Prozent davon ZIP-Dateien waren.

• E-Mail-Anhänge (61 Prozent) und Downloads von Browsern (18 Prozent) die wichtigsten Bedrohungsvektoren sind.

• auch Wechseldatenträger und Dateifreigaben (21 Prozent) zu Infektionsvektoren werden können.

Außerdem stellte sich heraus, dass im Untersuchungszeitraum mindestens zwölf Prozent der Angriffsversuche, die von HP Secure Click identifiziert wurden, einen oder mehrere E-Mail-Gateway-Scanner umgehen konnten. Dies hatten die Analysten bereits im vorherigen Quartal festgestellt.

KnowBe4 Phishing Report für Q1 2024

Angreifer nutzen E-Mails mit HR- und IT-Bezug

(ID:50188379)