ClickFix-Kampagne verbreitet Amatera-Infostealer, während SynkLoader auf Windows-Passwörter abzielt

Zwei separate Malware-Verteilungskampagnen sind derzeit im Umlauf, jede mit einem anderen Weg, um Windows-Rechner zu erreichen. Die erste, WordlistLoader, nutzt einen Social-Engineering-Trick namens ClickFix, um die informationsstehlende Malware Amatera zu installieren. Die zweite, SynkLoader, konzentriert sich darauf, Windows-Anmeldedaten direkt von ahnungslosen Benutzern zu phishen.

ClickFix ist eine trügerische Technik, die bei Cyberkriminellen an Beliebtheit gewonnen hat. Opfer besuchen eine kompromittierte Website und sehen etwas, das wie eine CAPTCHA-Verifizierung oder eine Fehlerseite aussieht. Anstatt ein Rätsel zu lösen, werden sie aufgefordert, die Windows-Taste + R zu drücken, den Dialog Ausführen zu öffnen und einen Befehl einzufügen, den die Website bereitstellt. Dieser Befehl lädt eine schädliche Nutzlast herunter und führt sie aus. In diesem Fall ist die Nutzlast Amatera, ein Infostealer, der darauf ausgelegt ist, Anmeldedaten, Browserdaten und andere sensible Informationen vom infizierten System zu sammeln.

SynkLoader verfolgt einen direkteren Ansatz. Es ist ein Loader, den Phishing-Websites verwenden, um Opfer dazu zu bringen, ihre Windows-Passwörter einzugeben. Loader sind Softwarekomponenten, die als Bereitstellungsmechanismus für andere Malware dienen. Durch den Diebstahl des Windows-Passworts können Angreifer möglicherweise remote auf den Computer zugreifen, verschlüsselte Dateien öffnen und sich lateral in einem Unternehmensnetzwerk bewegen. Die genaue Verteilungsmethode für SynkLoader wurde nicht im Detail beschrieben, aber Phishing-Seiten, die legitime Anmeldeaufforderungen nachahmen, sind ein häufiger Weg.

Für Website-Betreiber und IT-Teams sind diese Kampagnen relevant, weil ein einziges kompromittiertes Passwort die Tür zu einer größeren Sicherheitsverletzung öffnen kann. Wenn ein Mitarbeiter dasselbe Passwort für sein Windows-Konto und eine Webanwendung verwendet, kann ein Angreifer, der es stiehlt, auf E-Mails, Kundendaten und Admin-Panels zugreifen. Infostealer wie Amatera werden oft als erste Basis für Ransomware-Operationen genutzt, daher sind die Risiken hoch.

Der Schutz beginnt mit Bewusstsein. Jeder, der eine Seite sieht, die ihn auffordert, einen Befehl in den Ausführen-Dialog einzufügen, sollte die Seite sofort schließen. Legitime CAPTCHAs bitten Benutzer nie, Text irgendwo zu kopieren und einzufügen. Die Aktivierung der Multi-Faktor-Authentifizierung für jedes Konto, das sie unterstützt, reduziert ebenfalls den Wert eines gestohlenen Passworts. Die Aktualisierung von Browsern und Betriebssystemen hilft, die Schwachstellen zu schließen, die Malvertising und Exploit-Kits häufig ausnutzen.

Schließlich können Unternehmen, die ihre eigenen Server und Websites verwalten, mit einer sicherheitsbewussten DNS-Ebene viele dieser Bedrohungen blockieren, bevor sie ankommen. Ein privater DNS-Dienst wie AEU DNS filtert bekannte schädliche Domains heraus, sodass die ClickFix-Seite oder Phishing-Site gar nicht erst geladen wird. In Kombination mit Mitarbeiterschulungen und regelmäßigen Backups bietet dies eine praktische Verteidigung gegen sowohl Amatera als auch SynkLoader.