Categories: Cybersicherheit

Cyberkriminelle umgehen Sicherheitsvorkehrungen mit Powershell-Skripten

Der Sicherheitsanbieter Proofpoint hat eine neue Angriffstechnik cyberkrimineller Gruppen entdeckt. Mithilfe von Social Engineering versuchen sie, Benutzer dazu zu verleiten, schädliche PowerShell-Befehler auf ihre eigenen Systemen auszuführen. Die Methode erlaubt es den Bedrohungsakteuren zudem, klassische Sicherheitsvorkehrungen wie Antimalware-Lösungen und Firewalls zu umgehen.

Den Forschern zufolge wird die Methode unter anderem vom Initial Access Broker (IAB) TA571 eingesetzt, um Malware wie DarkGate, Matanbuchus, NetSupport und verschiedene Information Stealer zu verbreiten. Gestartet werden die Angriffe meist über Malspam oder Webbrowser-Injectrions.

Danach laufen die Angriffe jedoch meist ähnlich ab. Den Benutzern wird ein Popup-Fenster mit der Meldung angezeigt, dass ein Fehler beim Versuch aufgetreten ist, ein Dokument oder eine Webseite zu öffnen. Sie werden dann aufgefordert, ein bösartiges Skript in das PowerShell-Terminal oder das Windows-Dialogfeld „Ausführen“ zu kopieren und einzugeben, um das Skript schließlich über PowerShell auszuführen.

„Diese Art von Angriff ist besonders gefährlich, weil sie die meisten traditionellen Sicherheitsvorkehrungen wie Antimalware-Lösungen und Firewalls umgeht.“, teilte Proofpoint mit. „Da die schädlichen Aktivitäten vom Benutzer selbst initiiert werden, bleiben sie oft unentdeckt und stellen ein wirksames Werkzeug für Cyberkriminelle dar.“

Proofpoint rät, Nutzer über die neue Angriffsmethode aufzuklären. Sie müssten sich der Risiken bewusst sein, die mit dem Kopieren und Einfügen unbekannter Befehle in ihre Konsolen verbunden seien. Auch sei der Einsatz von Sicherheitslösungen ratsam, die in der Lage seien, schädliche PowerShell-Aktivitäten zu erkennen und zu blockieren.

Stefan Beiersmann

Stefan unterstützt seit 2006 als Freier Mitarbeiter die ZDNet-Redaktion. Wenn andere noch schlafen, sichtet er bereits die Nachrichtenlage, sodass die ersten News des Tages meistens von ihm stammen.

Recent Posts

Ransomware: RansomHub verdrängt LockBit3

Check Point stuft die Strafverfolgungsmaßnahmen gegen LockBit nun als erfolgreich ein. RansomHub wiederum ist vor…

3 Tagen ago

VMware-Alternativen: Diese Möglichkeiten bieten andere Anbieter, Open Source und die Cloud

Die Übernahme von VMware durch Broadcom schlägt in der IT-Welt hohe Wellen. Die Produkt- und…

3 Tagen ago

Vorabversion von Windows 11 bringt neue Funktionen

Der Sperrbildschirm zeigt nun Informationen zu Themen wie Wetter und Finanzen an. Microsoft vereinfacht auch…

4 Tagen ago

Apple und EU legen Streit um NFC und Apple Pay bei

Der iPhone-Hersteller macht umfangreiche Zusagen zur Öffnung seiner NFC-Technik für kontaktloses Bezahlen. Die EU-Kommission wiederum…

4 Tagen ago

Hacker nutzen Deepfake-Videos für Gesundheitsspam

Sie werben mit Prominenten wie Dieter Bohlen und Christiano Ronaldo. Die Hintermänner passen die Inhalte…

4 Tagen ago

Erreichbarkeit im Urlaub: Nur ein Drittel ist offline

Die Mehrheit der Berufstätigen ist im Sommerurlaub beruflich erreichbar – vor allem per Telefon und…

4 Tagen ago