Phishing mit Word-Dokumenten und QR-Code – Source: www.csoonline.com

Phishing ist kein neues Problem, einzig die Art und Weise wie es durchgeführt wird, verändert sich. Mal ist es Social-Engineering, mal wird auf die Jahreszeit und das Verbraucherverhalten reagiert. So haben Cyberkriminelle jetzt wieder Word-Dokumente als Mittel für sich entdeckt, um ihren Opfern per Spear-Fishing Malware unterzujubeln. In der Vergangenheit wurden zum Beispiel Word-Dokumente mit gefährlichen Makros verwendet.

Das Problem ist nicht neu

Neu ist jetzt, dass Kriminelle die Wiederherstellungsfunktion von Microsoft Word-Dateien in Kombination mit QR-Codes nutzen. Dazu versenden sie beschädigte Word-Dokumente als E-Mail-Anhänge. Aufgrund ihres beschädigten Zustands umgehen diese Dateien die Sicherheitssoftware, können aber von der Anwendung selbst wiederhergestellt werden.

So erkennen Antivirenprogramme diese Dateien nicht als Malware, da die Dateitypen möglicherweise nicht korrekt analysieren werden. Auch externe Seiten wie VirusTotal  registrieren die Bedrohung nicht, sondern geben den Status des Dokuments entweder als „clean“ oder „Item Not Found“ an.

Das Unternehmen Any.Run, das sich auf die Jagd nach Malware spezialisiert hat, entdeckte die neue Phishing-Kampagne. Die Experten fanden heraus, dass Angreifer die korrumpierten Dokumente als Anhänge in E-Mails verschicken, die vorgeben, zum Beispiel von Lohn- und Personalabteilungen zu stammen. Inhaltlich geht es immer darum, dass die Mitarbeitenden zahlreiche Vergünstigungen und Prämien erhalten soll – ein klassischer Fall von Social Engineering.

Breit aufgestellt und doch technisch gleich

Wie genau diese angeblich aussehen, variieren stark. Die Kriminellen verwenden eine breite Palette von Themen, einschließlich:

• Annual_Benefits_&_Bonus_for_[name]_IyNURVhUTlVNUkFORE9NNDUjIw__.docx
• Annual_Q4_Benefits_&_Bonus_for_[name]_IyNURVhUTlVNUkFORE9NNDUjIw__.docx.bin
• Benefits_&_Bonus_for_[name]_IyNURVhUTlVNUkFORE9NNDUjIw__.docx.bin
• Due_&_Payment_for_[name]_IyNURVhUTlVNUkFORE9NNDUjIw__.docx.bin
• Q4_Benefits_&_Bonus_for_[name]_IyNURVhUTlVNUkFORE9NNDUjIw__.docx.bin

Bei aller Abwechslung haben die Dokumente dieser Kampagne alle eine Gemeinsamkeit:  Sie enthalten stets die base64-kodierte Zeichenfolge „IyNURVhUTlVNUkFORE9NNDUjIw“, die zu „##TEXTNUMRANDOM45##“ dekodiert wird.

Schadensfreies Dokument, gefährlicher Inhalt

Öffnen die Empfänger den Anhang

• stellt Word fest, dass die Datei beschädigt ist,
• meldet, dass es „unlesbaren Inhalt“ in der Datei gefunden hat, und
• fragt, ob die Datei wiederhergestellt werden soll.

Der Schaden am Dokument selbst ist nicht gravierend und kann leicht behoben werden, so dass das Phishing-Dokument schnell wiederhergestellt wird. Sobald die Datei repariert ist, wird dem Opfer ein Dokument mit den Logos der Zielfirma angezeigt.

Im Dokument selbst befindet sich ein QR-Code, den die Zielperson einscannen soll. Durch das Scannen des QR-Codes wird der Nutzer auf eine Phishing-Website geleitet, die sich als Microsoft-Login ausgibt. Diese versucht, die Anmeldedaten des Benutzers zu stehlen.