Mobile-Menu

Cyberkriminelle greifen Druckerspooler in Windows an Viele Windows-Rechner angreifbar

Von Thomas Joos 1 min Lesedauer

Russische Hackergruppen nutzen ein Schwachstelle im Windows-Druckerspooler aus, um Malware zu übertragen. Ein Update steht zur Verfügung, ist aber nicht überall installiert.

Angreifer nutzen eine bereits geschlossene Sicherheitslücke im Druckerspooler von Windows für das Übertragen von Malware aus.(Bild: frei lizenziert / Pixabay)
Angreifer nutzen eine bereits geschlossene Sicherheitslücke im Druckerspooler von Windows für das Übertragen von Malware aus.
(Bild: frei lizenziert / Pixabay)

Russische Hacker greifen laut einer Untersuchung bei Microsoft aktuell die Lücke CVE-2022-38028 in Windows an. Microsoft stellt bereits seit Oktober 2022 ein Update zur Verfügung.

Dieses Update ist aber auf vielen Rechnern nicht installiert, sodass die Angreifer erst ihre Privilegien erhöhen und danach Malware übertragen können. Die Angreifer übertragen häufig die Malware GooseEgg, teilweise aber auch andere Schadsoftware. Wenn die Aktualisierung installiert ist, können Angreifer nicht auf die Rechner zugreifen (zumindest nicht mehr über diese Lücke).

Das sind die Hintergründe des Angriffs

Seit mindestens Juni 2020, möglicherweise schon seit April 2019, nutzt Forest Blizzard GooseEgg, um die Schwachstelle CVE-2022-38028 im Windows Print Spooler-Dienst auszunutzen, indem eine JavaScript-Einschränkungsdatei modifiziert und mit SYSTEM-Berechtigungen ausgeführt wird. Microsoft hat beobachtet, dass Forest Blizzard GooseEgg für nachfolgende Angriffsaktivitäten gegen Ziele einschließlich Regierungen, Bildungseinrichtungen und Organisationen des Transportwesens in der Ukraine, Westeuropa und Nordamerika verwendet.

Obwohl es sich bei GooseEgg um eine einfache Startanwendung handelt, kann es andere Anwendungen mit erhöhten Berechtigungen starten, was Bedrohungsakteuren erlaubt, weitere Ziele wie Fernausführung von Code, Installation von Backdoors und laterale Bewegungen in kompromittierten Netzwerken zu unterstützen. Forest Blizzard verwendet häufig öffentlich verfügbare Exploits zusätzlich zu CVE-2022-38028, wie CVE-2023-23397.

Microsoft empfiehlt dringend, das Sicherheitsupdate für CVE-2022-38028 anzuwenden und hat spezifische Erkennungen für die Fähigkeiten von Forest Blizzard in Microsoft Defender Antivirus integriert.

(ID:50014772)

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Weiterführende Inhalte