Microsoft warnt: Malvertising infiziert weltweit über 1 Million Geräte

Microsoft hat kürzlich eine dringende Warnung über eine großangelegte Malvertising-Kampagne ausgesprochen, die mehr als eine Million Geräte weltweit betroffen hat.

Die Kampagne, orchestriert von einer Bedrohungsgruppe, die als Storm-0408 identifiziert wurde, hat Phishing, Suchmaschinenoptimierung (SEO) und Malvertising-Kampagnen genutzt, um bösartige Payloads zu verbreiten und empfindliche Benutzerdaten zu stehlen.

„Der Angriff ging von illegalen Streaming-Websites aus, die mit schädlichen Weiterleitungsanzeigen versehen waren, und führte zu einer Zwischenwebsite, von der der Benutzer dann auf GitHub und zwei andere Plattformen weitergeleitet wurde“, schrieb das Microsoft Threat Intelligence-Team am Donnerstag in einem Blogbeitrag.

„Die Kampagne hatte Auswirkungen auf eine Vielzahl von Organisationen und Branchen, darunter sowohl Verbraucher- als auch Unternehmensgeräte, und verdeutlichte die wahllose Natur des Angriffs.“

Wie der Angriff funktioniert

Malvertising oder bösartige Werbung ist eine Methode des Cyberangriffs, bei der Hacker schädlichen Code in legitime Online-Werbung einspeisen, um Malware zu verbreiten.

Microsoft-Forscher entdeckten Anfang Dezember 2024, dass Storm-0408 Benutzer hauptsächlich anvisierte, indem es bösartige Anzeigen in Videos auf illegalen piratensenden Websites platzierte, wo ahnungslose Besucher auf infizierte Anzeigen klickten.

Sobald die Nutzer auf eine dieser irreführenden Anzeigen klickten, wurden sie über mehrere Zwischenseiten weitergeleitet, die sie zu Malware-hostenden Repositories auf beliebten Plattformen wie GitHub, Discord und Dropbox führten.

Diese Repositories enthielten bösartige Payloads, die die Geräte der Benutzer beim Ausführen mit verschiedenen Arten von Malware infizierten.

„Die Streaming-Websites betteten Malvertising-Redirects innerhalb von Filmsequenzen ein, um Einnahmen pro Aufruf oder pro Klick von Malvertising-Plattformen zu generieren. Diese Redirects leiteten anschließend den Datenverkehr durch ein oder zwei zusätzliche bösartige Redirects, was letztendlich zu einer anderen Website führte, wie etwa einer Malware- oder technischen Unterstützungsbetrugswebsite, die dann zu GitHub umleitete“, fügte Microsoft hinzu.

Arten von Schadsoftware

Der Angriff bestand aus fortschrittlichen mehrstufigen Malware-Infektionen. Die anfängliche Last fungierte als Downloader, der später Stufen von Lasten lautlos herunterlud und schädlichen Code auf dem Opfergerät ausführte. Zu den bemerkenswertesten eingesetzten Malware gehörten:

• Lumma Stealer - Eine informationsteilende Malware, die Anmeldedaten, Systemdetails und Browserdaten extrahiert.
• Doenerium (Aktualisierte Version) - Eine überarbeitete Version eines berüchtigten Infostealers, die die Fähigkeit der Angreifer zur Sammlung sensibler Informationen weiter verbessert.

Diese Malware-Varianten waren dazu gedacht, sensible Benutzerinformationen zu ernten, wie Passwörter, persönliche Informationen und sogar Bank-Login-Daten.

Nachdem die Bedrohungsakteure die Informationen erhalten hatten, wurden diese an die Kommando- und Kontrollserver (C2) der Angreifer weitergeleitet, wodurch einzelne Nutzer und Unternehmen gefährdet wurden.

Ausweichstrategien, die von Hackern verwendet werden

Um der Entdeckung zu entgehen, implementierte Storm-0408 ausgeklügelte Methoden. Eine solche Taktik bestand darin, bösartige Payloads auf legitimen Cloud-Plattformen zu hosten, wodurch die Malware mit normalem Netzwerkverkehr verschmelzen und verhindern konnte, dass Sicherheitsalarme ausgelöst wurden.

Zusätzlich nutzten die Bedrohungsakteure lebend-von-der-Land-Binärdateien und Skripte (LOLBAS), indem sie lebend-von-der-Land-Binärdateien und Skripte (LOLBAS) wie PowerShell.exe, MSBuild.exe und RegAsm.exe für C2 und die Datenexfiltration von Benutzerdaten und Browser-Anmeldeinformationen einsetzten, ohne Verdacht zu erregen.

Microsofts Antwort und Sicherheitsmaßnahmen

Als Reaktion auf diese massive Cyber-Bedrohung hat Microsoft mehrere sofortige Maßnahmen ergriffen, wie das Entfernen von schädlichen Repositories, die auf GitHub, Discord und Dropbox gehostet wurden; das Widerrufen von 12 kompromittierten digitalen Zertifikaten, die von den Angreifern verwendet wurden, um Malware zu signieren, die legitim erschien; und das Veröffentlichen von technischen Einzelheiten und Indikatoren für Kompromittierungen (IoCs), um Organisationen und Einzelpersonen zu helfen, ihre Systeme gegen solche Bedrohungen zu schützen.

Wie man seine Geräte schützt

Angesichts des Ausmaßes dieses Angriffs wird den Nutzern dringend geraten, proaktive Maßnahmen zu ergreifen, um ihre Systeme zu sichern. Dazu gehört das Vermeiden illegaler Streaming-Websites und unbekannter Online-Werbung, die Verwendung seriöser Antiviren- und Endpoint-Schutztools, die Überwachung ungewöhnlicher ausgehender Verbindungen, die auf Datenexfiltration hinweisen könnten, sowie die Aktivierung der Multi-Faktor-Authentifizierung (MFA), um Konten vor Identitätsdiebstahl zu schützen.

Sie können auf den vollständigen Bericht von Microsoft verweisen, um eine detaillierte Aufschlüsselung der Angriffsphasen und der verwendeten Nutzlasten zu erhalten.