Sicherheitslücke bei Microsoft-Windows-Nutzer
Hacker verwenden Windows-Ereignisprotokolle, um Malware zu übertragen und zu verbergen.

Die Cybersicherheitsexperten von Kaspersky haben einen Hackerangriff entdeckt, bei dem nach ihren Aussagen erstmals Malware in Windows-Ereignisprotokolle eingeschleust und dort bis zur Ausführung äußerst effektiv versteckt worden war. 

In einem ersten Schritt bringen die Angreifer das Opfer dazu, eine authentische Website zu besuchen und eine .RAR-Datei herunterzuladen (RAR ist ein Instrument zur Daten-Kompression, um den Speicherplatzbedarf zu reduzieren). In dieser Datei befinden sich die Netzwerk-Penetrationstools Cobalt Strike und SilentBreak, welche von Hackern gerne als Transportmittel verwendet werden, um Schadcode an den Zielcomputer zu liefern, zu tarnen und ihn als Shellcode, d.h. als ausführbare Programmbefehle, in jeden Prozess einzuschleusen. 

Im vorliegenden Fall wurde der Schadcode in 8-KB-Blöcke unterteilt und in den Ereignisprotokollen gespeichert. Auf diese Art wird er von klassischen, signaturbasierten Sicherheits- und Forensik-Tools nicht entdeckt. Auf Befehl der Hacker kann dann die Malware aus diesen Blöcken zusammengeführt und zum Angriff eingesetzt werden.

Im vorliegenden Fall begann der Angriff mit der Erstinfektion im September 2021 und wurde von den Sicherheitsexperten im Februar 2022 entdeckt. Kaspersky veröffentlichte die Ergebnisse der Untersuchung am 04. Mai 2022 auf seiner SECURELIST-Website.