Gefälschte Flash-Updater installieren Krypto-Malware

Die Angreifer wiegen ihre Opfer in Sicherheit, indem sie zunächst tatsächlich für die Aktualisierung des Adobe Flash Player sorgen. Gleichzeitig installieren sie jedoch den Krypto-Miner XMRig, der im Hintergrund Systemressourcen raubt.

Palo Alto Networks ist auf eine Malware-Kampagne gestoßen, die zunächst legitime und durchaus nützliche Aktivitäten durchführt, um so die nachfolgende Installation von Schadsoftware zu verschleiern. Mit diesem Ablenkungsmanöver täuschen die Hintermänner noch geschickter über ihre wirklichen Ziele hinweg.

Eine schon lange praktizierte Methode von Angreifern ist es, sicherheitsrelevante und sofort erforderliche Updates von Adobe Flash vorzugeben – aber stattdessen nur selbst das System des Opfers mit Malware zu infizieren. In diesem Fall hingegen sorgen die Angreifer tatsächlich und sichtbar dafür, den häufig von kritischen Schwachstellen geplagten Adobe Flash Player auf den neuesten Stand zu bringen und damit für mehr Sicherheit zu sorgen. Während sich Betroffene dadurch in Sicherheit wiegen, installiert sich jedoch zusätzlich der Krypto-Miner XMRig und nutzt fortan im Hintergrund die Systemressourcen des Windows-Rechners für seine Zwecke.

Die Dateinamen der fraglichen ausführbaren Windows-Dateien beginnen mit „AdobeFlashPlayer_“, fanden die Sicherheitsforscher heraus. URLs zu den Downloads enthielten stets den Textstring „flashplayer_down.php?clickid=“. Mit vom offiziellen Updater „ausgeliehenen“ Pop-up-Benachrichtigungen setzen die Fälschungen eine echte Flash-Aktualisierung in Gang, wobei der Download eines echten Flash Players tatsächlich von Adobe erfolgt. Das einschlägige Fenster zeigt sodann wie gewohnt den laufenden Update-Fortschritt und die Fertigstellung an. Schlussendlich erfolgt noch die Abfrage künftig gewünschter Update-Einstellungen – und auch Adobes Dank für die Installation des Flash Players wird eingeblendet.

Zum Nachteil der Opfer aber läuft künftig außerdem ein Krypto-Miner und belastet laufend die CPU. Das Schürfen einer Kryptowährung, von dem die Hintermänner der Kampagne profitieren, ist zwar nicht gefährlich, vermindert die Computer-Performance aber erheblich und schraubt die CPU-Belastung häufig auf Werte von über 90 Prozent. Bei mobilen Endgeräten wie Smartphones oder Notebooks ist das besonders ärgerlich, weil durch die hohe Prozessorleistung und der damit verbundenen höheren Leistungsaufnahme die Akkulaufzeit verringert wird.

Sicherheitsspezialist McAfee verzeichnete im ersten Quartal 2018 einen drastischen Anstieg von Krypto-Mining-Schadsoftware um 629 Prozent. Microsoftmeldete im März einen massiven Ausbruch von Krypto-Malware. Dabei verbreitete sich innerhalb weniger Stunden ein Trojaner, der die Rechner der Opfer für das Rechnen der Währung Electroneum missbrauchte, auf knapp 500.000 Windows-PCs. Ein geringeres Risiko für solche Infektionen sieht Palo Alto Networks bei Organisationen mit effizienter Webfilterung und geschulten Nutzern.