Neue Angriffsmethoden: Cyberkriminelle nutzen UEFI-Schwachstellen aus und missbrauchen Datei-Formate von Microsoft

Der aktuelle Bedrohungsreport von G DATA CyberDefense belegt, dass die Angreifer schnell auf eine veränderte Lage reagieren. Schließen Software-Anbieter eine bekannte Sicherheitslücke, sind sie schon dabei, eine andere auszunutzen. Ein aktuelles Beispiel sind Schwachstellen im Unified Extensible Firmware Interface (UEFI). Eine wichtige Funktion dieser Schnittstelle zwischen der Firmware, dem Betriebssystem und den Modulen eines Rechners ist das Booten im Secure-Boot-Modus. Cyberkriminelle nutzen bestehende Schwachstellen aus und setzen aktuell Bootkits ein, die die Sicherheitsfunktionen der Plattform umgehen. Angreifer erhalten damit die volle Kontrolle über den Bootvorgang eines Betriebssystems und können verschiedene Sicherheitsmechanismen deaktivieren, noch bevor das Betriebssystem überhaupt geladen ist. Gleichzeitig können sie nicht nur unentdeckt agieren, sondern sich im System mit hohen Privilegien bewegen.  

„Das Risiko von Cyberattacken für Unternehmen und Privatpersonen ist unverändert hoch“, sagt Tim Berghoff, Security Evangelist bei der G DATA CyberDefense AG. „Die aktuellen Untersuchungen zeigen, dass Cyberkriminelle keine Schwachstellen auslassen, um in Netzwerke einzudringen. Und sie finden immer noch neue Möglichkeiten, Systeme mit Schadsoftware zu kompromittieren. Darüber hinaus sind aktuell Schwachstellen im UEFI-SecureBoot ein großes Problem, weil diese oft herstellerseitig teils lange ungepatcht bleiben.“

Unverändert hohes Bedrohungsrisiko
Der Bedrohungsreport von G DATA zeigt: Die Zahl der abgewehrten Cyberangriffe ist im Vergleich vom vierten Quartal des Vorjahres zum ersten Quartal 2023 leicht um zwei Prozent gestiegen. Der eigentlich zu erwartende Rückgang aufgrund saisonaler Rahmenbedingungen ist ausgeblieben. Denn traditionell nutzen Angreifer saisonale Anlässe, um leichtgläubige Kund*innen in die Falle zu locken. Auffällig: Während die Zahl der abgewehrten Angriffe auf Firmen um mehr als acht Prozent gesunken ist, hat sich die Zahl der abgewehrten Angriffsversuche auf private Nutzer*innen um 3,9 Prozent erhöht.

Im Jahresvergleich ist erkennbar, wie massiv im ersten Quartal 2022 die Angriffe im Zuge des Ukraine-Krieges zugenommen haben: Innerhalb eines Jahres ist die Zahl der abgewehrten Angriffsversuche auf Unternehmen um mehr als 50 Prozent gesunken – im Vergleich vom ersten Quartal 2022 zum Vergleichszeitraum 2023. Bei Privatpersonen lag der Rückgang im gleichen Zeitraum nur bei 6,7 Prozent.

Phishing: Mit neuen Anhängen zum Hack
Auch beim Thema Phishing finden Angreifer immer neue Möglichkeiten. Im letzten Quartal gelang dies mit schadhaften OneNote- oder PUB-Dateien. So ermöglicht es eine Sicherheitslücke bei Microsoft, eine Sicherheitsfunktion zu Office-Makrorichtlinien im Microsoft Publisher zu übergehen. Sie heben die Blockade nicht vertrauenswürdiger oder bösartiger Dateien auf. Angreifer nutzen diese Möglichkeit, um das Zielsystem zu infizieren.

„Zwar hat Microsoft die Schwachstelle bereits geschlossen“, sagt Tim Berghoff. „Anwender*innen, die automatische Updates deaktiviert haben, sind aber weiterhin gefährdet. Sie müssen umgehend handeln und das Update manuell starten.“

Ebenfalls neu sind OneNote-Dateien als anfänglicher Infektionsvektor – als Ersatz für die von Microsoft inzwischen stark eingeschränkten Office-Makros. Denn Microsoft hat die Ausführung von Makros in Dateien wie Word-Dokumenten oder Excel-Tabellen standardmäßig unterbunden. Neuerdings posiert die Schadsoftware als OneNote-Notiz. Die Opfer erhalten einen Mailanhang mit einem OneNote-Dokument. Öffnet eine Person diese Datei, folgt eine Aufforderung, das schreibgeschützte Dokument mit einem Doppelklick zu öffnen. Wer dieser Anweisung Folge leistet, führt die eingebettete Schadsoftware aus und installiert unter anderem Screenshotter oder einen Information Stealer. Damit leiten die Angreifer persönliche Informationen wie etwa Anmeldedaten aus.

Der aktuelle Bedrohungsreport von G DATA CyberDefense offenbart: Cyberkriminelle sind sehr anpassungsfähig, wenn es darum geht, potenzielle Opfer weiterhin erfolgreich zu kompromittieren. Für Unternehmen bedeutet das, dass sie ihre IT-Sicherheit dauerhaft im Auge behalten müssen. Vor diesem Hintergrund ziehen immer mehr Firmen den Einsatz von Managed Security-Lösungen in Betracht. Die Absicherung des Netzwerkes ist kein abgeschlossenes Projekt, sondern ein fortlaufender Prozess.