Hacker verstecken Windows-Malware in der Aufgabenplanung

Microsoft hat eine Malware namens Tarrask aufgedeckt, die von einer wahrscheinlich in China ansässigen, staatlich geförderten Hackergruppe stammt und Windows-Rechner angreift, indem sie unsichtbare geplante Software-Updates erstellt. Das Unternehmen schreibt die Schadsoftware der Gruppe Hafnium zu, die von den USA und Großbritannien für Exchange Server-Hacks im vergangenen Jahr verantwortlich gemacht wurde.

Tarrask ist eine einfache Malware, die unerwünschte geplante Aufgaben auf Windows-Rechnern erstellt, die auch nach einem Neustart noch ausgeführt werden. Die Malware nutzt den Windows Task Scheduler, den Administratoren legitimerweise verwenden können, um Aufgaben wie Software-Updates für Browser und andere Anwendungen zu automatisieren, aber in diesem Fall nutzen die Angreifer ihn für schädliche Zwecke.

„Wir haben festgestellt, dass Bedrohungsakteure diesen Dienst häufig nutzen, um die Persistenz einer Windows-Umgebung aufrechtzuerhalten“, schreibt Microsoft in einem Blogpost, und trotz seiner „Einfachheit“ sei er effektiv.

Die Tarrask-Malware generiert bestimmte Registrierungsschlüssel bei der Erstellung einer geplanten Aufgabe, sei es über die grafische Benutzeroberfläche des Task-Planers oder über das Befehlszeilenprogramm schtasks. Die Malware erstellt aber nicht nur versteckte geplante Aufgaben, sondern auch zusätzliche Aktionen, um die geplanten Aufgaben vor der Erkennung durch Antivirenprogramme zu verbergen. Microsoft bietet Anweisungen an, wie Verteidiger die Registrierungsstruktur manuell überprüfen können, um festzustellen, ob Angreifer diese unerwünschten geplanten Aufgaben erstellt haben.