Cyberkriminelle verbreiten die Starland-Malware, indem sie sie in gefälschten Installationsdateien bekannter Unternehmenssoftware verstecken. Anstatt Sicherheitslücken auszunutzen, bringen die Angreifer ihre Opfer dazu, infizierte Versionen vertrauenswürdiger Programme selbst zu installieren.
Nach der Installation erhalten die Angreifer unbemerkt Fernzugriff auf den infizierten Computer. Anschließend können sie sensible Daten stehlen, weitere Schadsoftware nachladen und die Kontrolle über das System langfristig aufrechterhalten.
Die Forscher gehen davon aus, dass die gesamte Kampagne auf Social Engineering basiert. Deshalb ist die Aufmerksamkeit der Nutzer genauso wichtig wie technische Sicherheitsmaßnahmen.
Gefälschte Installationsdateien wirken authentisch
Die Angreifer verstecken die Starland-Malware in manipulierten Versionen bekannter Programme.
Die Kampagne nutzt unter anderem gefälschte Installationsdateien für Zoom und Cisco Webex. Darüber hinaus entdeckten die Forscher infizierte Versionen von Datenbanktools, Fernverwaltungssoftware und verschiedenen Gaming-Anwendungen.
Die Opfer glauben, eine legitime Software zu installieren. Tatsächlich installiert das Programm jedoch unbemerkt auch die Starland-Malware.
Da die eigentliche Anwendung häufig weiterhin normal funktioniert, bemerken viele Nutzer nicht, dass ihr Computer bereits kompromittiert wurde.
Die Malware verschafft vollständigen Fernzugriff
Nach der Installation stellt die Starland-Malware eine Verbindung zu den Servern der Angreifer her.
Anschließend können die Täter Befehle aus der Ferne ausführen und dauerhaft die Kontrolle über das infizierte Gerät behalten. Außerdem sind sie in der Lage, sensible Informationen zu stehlen oder bei Bedarf weitere Schadsoftware nachzuladen.
Nach Angaben der Forscher kann die Malware gespeicherte Browserdaten stehlen, Informationen aus Active-Directory-Umgebungen sammeln und nach Kryptowallets auf dem System suchen.
Dadurch geraten sowohl Unternehmen als auch Privatpersonen ins Visier der Angreifer.
Mehrere Schadprogramme kommen zum Einsatz
Starland ist nur ein Bestandteil des Angriffs.
Sobald die Angreifer Zugriff auf das System erhalten haben, können sie abhängig von der jeweiligen Umgebung zusätzliche Schadsoftware installieren. Diese erweitert ihre Möglichkeiten, weitere Daten zu stehlen und zusätzliche Systeme zu kompromittieren.
Die Forscher identifizierten außerdem ein speziell entwickeltes PowerShell-Implantat. Dieses kommuniziert mit den Command-and-Control-Servern der Angreifer und lädt Schadcode direkt in den Arbeitsspeicher.
Durch die Kombination mehrerer Werkzeuge können die Täter ihre Angriffe flexibel anpassen und gleichzeitig ihre Aktivitäten besser verschleiern.
Social Engineering steht im Mittelpunkt der Angriffe
Im Gegensatz zu vielen anderen Cyberangriffen nutzt diese Kampagne keine Software-Sicherheitslücken aus.
Stattdessen versuchen die Angreifer, Nutzer dazu zu bewegen, Programme von inoffiziellen Webseiten herunterzuladen. Sobald die Installationsdatei gestartet wird, beginnt die Infektion automatisch.
Diese Methode funktioniert weiterhin, weil die gefälschten Installationsdateien den Originalen oft täuschend ähnlich sehen. Nutzer, die die Herkunft einer Software nicht überprüfen, bemerken den Betrug häufig erst, wenn es zu spät ist.
Offizielle Downloads bieten den besten Schutz
Unternehmen sollten Software ausschließlich von offiziellen Herstellern oder vertrauenswürdigen internen Quellen installieren.
Sicherheitsteams sollten außerdem digitale Signaturen überprüfen, unerwartete Softwareinstallationen überwachen und Mitarbeitende über die Risiken gefälschter Download-Seiten aufklären. Moderne Endpoint-Sicherheitslösungen können zusätzlich verdächtige Aktivitäten nach einer Installation erkennen.
Da Cyberkriminelle immer häufiger bekannte Softwaremarken missbrauchen, wird die Überprüfung jeder einzelnen Installation zu einer der wichtigsten Maßnahmen gegen moderne Malware-Kampagnen.
0 Kommentare zu „Starland-Malware versteckt sich in gefälschten Zoom- und Webex-Apps“