Neue FileFix-Attacke kann Windows-Nutzer dazu bringen, die StealC-Malware zu installieren - So bleiben Sie sicher - Machen Sie Technik einfacher

Achtung: Ein neuer FileFix-Angriff bedroht Windows-Nutzer, indem er zur Installation des StealC-Infostealers verleitet. Erfahren Sie, wie dieser funktioniert und wie Sie sich schützen können.

Ein cleverer FileFix-Angriff ist im Umlauf, der Windows-Nutzer dazu verleitet, den StealC-Infostealer zu installieren. Mehrere Kampagnen zur sozialen Manipulation wurden erkannt, die versuchen, diesen FileFix-Angriff auszuführen. Lassen Sie uns lernen, wie dieser Angriff funktioniert und wie Sie sich davor schützen können.

Wie dieser neue FileFix-Angriff StealC-Malware herunterlädt

Nach dem letzten FileFix-Angriff, der Windows MoTW umgangen hat, kann dieser neue FileFix-Angriff ein infiziertes Bild herunterladen, das den StealC-Infostealer (ähnlich wie EDDIESTEALER) im PC-Speicher ausführt. Da der Zweck eines FileFix-Angriffs darin besteht, die PC-Abwehr zu umgehen, indem das Dateisystem ausgenutzt wird, ist er besonders gefährlich, sobald er ausgeführt wird.

Im Folgenden ist der vollständige Schritt-für-Schritt-Prozess beschrieben, wie dieser Angriff ausgeführt wird:

• Das Opfer wird auf eine Phishing-Seite gelockt (wie eine Facebook-Konto-Sperrmitteilung), wo es angewiesen wird, einen Pfad in den Datei-Explorer zu kopieren, um den Vorfallbericht anzusehen. Wenn der Pfad jedoch kopiert wird, enthält der Dateipfad viel Platz mit einer versteckten Payload am Ende, sodass der Benutzer nur den eingefügten Pfad sieht.

Bildquelle: Acronis

• Wenn der Code ausgeführt wird, führt er einen PowerShell-Befehl aus, der im Auftrag des Benutzers eine Bilddatei herunterlädt, die ein verstecktes Skript enthält.
• PowerShell dekodiert dann den versteckten Inhalt und lädt die endgültige Malware in den Speicher (keine Präsenz auf der Festplatte, daher keine Erkennung). In den letzten Angriffen wurde der StealC-Infostealer als die Haupt-Payload entdeckt, die darauf abzielt, Browser-Cookies, gespeicherte Anmeldedaten, Daten von Krypto-Wallets zu stehlen und Screenshots aktiver Anwendungen zu machen.

Obwohl StealC-Infostealer und Facebook-Phishing-Seiten in diesem FileFix-Angriff verwendet wurden, kann derselbe Angriff in verschiedenen Phishing-Kampagnen verwendet werden, um andere Arten von Malware zu installieren.

Obwohl dieser FileFix-Angriff clever ist, können Sie dennoch sicher bleiben, indem Sie skeptisch gegenüber Phishing-Versuchen sind und proaktive Sicherheitsmaßnahmen ergreifen. Im Folgenden sind einige Möglichkeiten aufgeführt, um sich vor einem FileFix-Angriff zu schützen:

• Nie Befehle im Betriebssystem kopieren/einfügen: Gehen Sie nicht auf die Aufforderung ein, einen Pfad oder Befehl irgendwo im Betriebssystem zu kopieren/einzufügen, wie z. B. Ausführen, CMD, Datei-Explorer usw. Selbst wenn Sie wissen, was Sie einfügen und was es bewirken wird, ist es am besten, es manuell einzugeben.
• PowerShell-Sicherheit verstärken: Viele solcher Angriffe sind darauf angewiesen, PowerShell-Skripte auszuführen. Sie können die Sicherheit von PowerShell erhöhen, damit es keine bösartigen Skripte ungewollt ausführt. Hier ist eine umfassende Anleitung zur Sicherung von PowerShell.
• Verwenden Sie ein Antivirus, das Speicher inspiziert: Sie sollten ein Antivirus-Programm mit einer leistungsstarken Speicherscan-Funktion wählen. Diese Antivirus-Programme können den Speicher in Echtzeit scannen, um bösartigen Code zu erkennen. Bitdefender und ESET verfügen beide über eine leistungsstarke Speicher-Scan-Funktion.
• Verwenden Sie ein Standardbenutzerkonto: Die meisten Malware benötigen spezifische Befehle mit Administratorrechten. Sie sollten das Administratorkonto nicht als Hauptkonto verwenden, da es anfälliger für automatische Angriffe ist. Ein Standardbenutzerkonto reicht für tägliche Aufgaben aus.

Was tun, wenn Sie den bösartigen Befehl bereits ausgeführt haben

Wenn Sie denken, dass Sie auf diesen Angriff hereingefallen sind und Ihr Gerät jetzt kompromittiert ist, sind die Schritte zum Schutz Ihres Geräts sehr unterschiedlich. Im Folgenden sind die Schritte aufgeführt, die Sie befolgen können, um Ihren PC und Ihre Konten zu schützen. Stellen Sie sicher, dass Sie sie in der genauen Reihenfolge befolgen:

• Vom Netzwerk trennen: Das Erste, was Sie tun sollten, ist, sich vom Netzwerk zu trennen, damit der Infostealer keine Informationen an den C2-Server senden kann. Der Diebstahlprozess benötigt Zeit, deshalb sollten Sie schnell handeln.
• Passwörter der Konten ändern: Verwenden Sie einen anderen PC oder ein mobiles Gerät und setzen Sie die Passwörter aller Konten zurück, die auf dem kompromittierten PC angemeldet waren oder deren Anmeldedaten darauf gespeichert waren. Es ist notwendig, diesen Schritt auf einem separaten Gerät und sofort durchzuführen, da Hacker angreifen, sobald die Informationen empfangen werden.
• Offline-Scan mit Microsoft Defender durchführen: Ein Offline-Scan schaltet den PC aus und führt einen vollständigen Systemscan aus einer separaten (vertrauenswürdigen) Umgebung durch. In den meisten Fällen sollte er den Infostealer erkennen. In Windows öffnen Sie die Windows-Sicherheits-App über die Suche und gehen Sie zu Virenschutz & Bedrohungsschutz →.

Scan-Optionen → Microsoft Defender Antivirus (Offline-Scan).

• Überprüfen von Start- und laufenden Prozessen: Nach dem Scan sollten Sie alle Prozesse überprüfen, die automatisch beim Start ausgeführt werden, sowie die aktuell laufenden Prozesse, um bösartige Dateien zu finden und zu entfernen. Dazu laden Sie die Autoruns und Process Explorer Anwendungen herunter (von einem anderen Gerät offline verschieben). Diese Apps zeigen alle Prozesse mit Informationen an, um zu bestätigen, ob ein Prozess vertrauenswürdig ist oder nicht.

• Zurücksetzen/Wiederherstellen von Windows: Wenn die obigen Schritte nicht funktionieren oder Sie auf Nummer sicher gehen möchten, können Sie Windows zurücksetzen, um sicherzustellen, dass der Infostealer gelöscht wird (die meisten sind nicht dafür ausgelegt, nach dem Zurücksetzen zu persistieren). Je nach Bedarf können Sie Windows wiederherstellen, zurücksetzen oder eine Neuinstallation von Windows durchführen.

DateiFix und ähnliche bösartige Angriffe hängen stark von Phishing und Social Engineering ab, um Befehle auszuführen. Eine gute Faustregel ist, niemals unaufgeforderte Anfragen zu berücksichtigen. Sie können auch diese Online-Sicherheitswerkzeuge verwenden, um Verdachtsmomente weiter zu bestätigen.