Hacker setzen manipulierte TeamViewer-Version gegen Regierungen in Europa ein

Der Angriff erfolgt per Phishing-E-Mail mit einer Excel-Datei im Anhang. Sie enthält Makros, die wiederum eine schädliche Version der Teamviewer.dll einschleusen. Die Hacker erhalten so die vollständige Kontrolle über ein infiziertes System.

Check Point hat eine Hacking-Kampagne analysiert, die sich gegen Regierungen und diplomatische Vertretungen in Europa sowie Nepal, Kenia, Liberia, Libanon, Guyana und Bermuda richtet. Ausgangspunkt ist eine Phishing-E-Mail mit einem Dateianhang, der angeblich streng geheime Dokumente des US-Außenministeriums enthält. Tatsächlich wird darüber eine zum Trojaner umgebaute Version des Fernwartungstools Teamviewer eingeschleust.

TeamViewer (Bild: TeamViewer)Der Dateianhang mit XLSM-Format verspricht Details zur Finanzierung eines Militärprogramms. Die Excel-Tabelle, die Markos enthält, wurde zudem mit dem Logo des State Department versehen, um sie als echt auszugeben. Wird die Tabelle geöffnet und wie gefordert die enthaltenen Makros aktiviert, werden zwei Dateien extrahiert und eingeschleust: die legitime Software AutoHotkeyU32.exe und eine schädliche Version der Teamviewer.dll.

Erstere ist für den Kontakt zu einem von den Angreifern kontrollierten Befehlsserver im Internet zuständig. Sie lädt zudem Skripte herunter, mit denen Screenshots angefertigt und Daten gestohlen werden.

TeamViewer ist ebenfalls eine legitime Software, die für Fernwartungszwecke oder auch die gemeinsame Nutzung eines Desktops eingesetzt wird. In den Händen von Cyberkriminellen kann TeamViewer jedoch auch zu einem mächtigen Hacker-Werkzeug werden.

So stellt die von den Angreifern verwendete schädliche Teamviewer.dll zwar die gewohnten Funktionen zur Verfügung, sie versteckt jedoch auf der Client-Seite – also beim Opfer – das übliche TeamViewer-Interface. Ein Opfer kann also nicht erkennen, dass die Software ausgeführt wird. Zudem bietet die manipulierte Version zusätzliche Funktionen wie die Möglichkeit, die Anmeldedaten der aktuellen Sitzung in einer Textdatei zu speichern und weitere EXE- und DLL-Dateien einzuschleusen und auszuführen.

Die Hintermänner der Kampagne sind also in der Lage, ein System vollständig zu überwachen und nahezu beliebige Daten zu stehlen, um beispielsweise Online-Konten der Opfer zu übernehmen. Check Point vermutet, da der Dateianhang einen finanziellen Hintergrund hat, dass auch die Kampagne finanziell und nicht politisch motiviert ist.

Check Point zufolge gibt es Verbindungen zwischen der jüngsten Kampagne und früheren Angriffen, bei den TeamViewer als Trojaner eingesetzt wurde. So vermuten die Sicherheitsforscher, dass eine Hackergruppe mit Verbindungen zu einem russischen Untergrundforum namens EvaPiks hinter den Attacken steckt. Allerdings änderten die unbekannten Täter im Lauf der Zeit den Angriffsvektor. 2018 nutzen Sie statt einer Excel-Tabelle mit Makros noch selbstextrahierende Archive. Auch den Funktionsumfang der manipulierten Teamviewer.dll sollen die Hacker im Lauf der Zeit deutlich erweitert haben – anfänglich erlaubte die Malware nur den Diebstahl von Informationen.

HIGHLIGHT

Report: State of Digital Transformation EMEA 2019

Zu den größten Hürden der digitalen Transformation zählen der mobile Zugriff auf Unternehmensdaten und Anwendungen, die Nutzung unsicherer Netzwerke und nicht verwalteter Geräte. Das geht aus dem Report „State of Digital Transformation EMEA 2019“ von Zscaler hervor. Jetzt den vollständigen Report herunterladen!

Themenseiten: Check Point, Excel, Hacker, Malware, Security, Sicherheit, TeamViewer

Fanden Sie diesen Artikel nützlich?
Content Loading ...
Whitepaper

ZDNet für mobile Geräte
ZDNet-App für Android herunterladen ZDNet-App für iOS

Artikel empfehlen:

Neueste Kommentare 

Noch keine Kommentare zu Hacker setzen manipulierte TeamViewer-Version gegen Regierungen in Europa ein

Kommentar hinzufügen

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind markiert *