Hacker nutzen AnySign4PC über kompromittierte koreanische Websites aus, um Backdoors zu verteilen

Eine neue Angriffswelle zielt auf Nutzer von AnySign4PC ab, einer Software für digitale Signaturen und Authentifizierung, die von südkoreanischen Bank-, E-Commerce- und Regierungswebsites häufig verlangt wird. Sicherheitsforscher haben beobachtet, wie Hacker in legitime koreanische Websites eindringen und bösartigen Code einbetten, der eine nicht näher bezeichnete Schwachstelle in der AnySign4PC-Plattform ausnutzt. Wenn ein ahnungsloser Besucher eine dieser kompromittierten Seiten aufruft, löst der Exploit einen stillen Download und die Installation eines Backdoors aus – ganz ohne Warnung, Eingabeaufforderung oder Benutzerinteraktion.

AnySign4PC ist eine Sicherheits-Middleware, die in Korea häufig für rechtsverbindliche digitale Signaturen und Identitätsprüfungen eingesetzt wird. Sie läuft als Hintergrunddienst auf Windows-Systemen und integriert sich über einen lokalen Protokoll-Handler in Webbrowser. Da viele stark frequentierte Regierungs- und Finanzportale die Installation vorschreiben, ist die Software auf Millionen von Computern vorhanden. Die neu gemeldete Angriffskette zeigt, dass bereits der Besuch einer gehackten Website ausreichen kann, damit die Malware Fuß fasst und die vertrauenswürdige Software in einen heimlichen Verteilmechanismus für Angreifer verwandelt.

Einmal installiert, bietet der Backdoor Fernzugriff auf den infizierten Rechner und ebnet den Weg für den Diebstahl von Anmeldedaten, seitliche Bewegungen in Netzwerken, Datenexfiltration oder die Installation weiterer Schadsoftware. Für Unternehmen und IT-Administratoren ist das Risiko erhöht, wenn Mitarbeiter Arbeitsplatzrechner verwenden, die auch auf diese Websites zugreifen, was möglicherweise Unternehmensnetzwerke für Angriffe öffnet. Die Tatsache, dass kein Bestätigungsdialog erscheint, macht die Kompromittierung für den Endbenutzer besonders schwer zu erkennen.

Website-Betreiber, insbesondere solche mit koreanischsprachigen oder regionsspezifischen Portalen, sollten dies als deutliche Erinnerung an die kaskadierenden Gefahren einer Website-Kompromittierung betrachten. Ein Angreifer, der die Kontrolle über Ihren Webserver erlangt, kann Skripte injizieren, die Schwachstellen in der lokalen Software der Besucher ausnutzen. Regelmäßige Schwachstellen-Scans, das Patchen Ihres Content-Management-Systems, der Einsatz einer Web Application Firewall und die Überwachung auf unbefugte Dateiänderungen sind unerlässliche Schutzmaßnahmen. Für Website-Betreiber, die verwaltete Hosting-Lösungen mit Datei-Integritätsüberwachung und proaktivem Sicherheits-Patching nutzen – wie sie beispielsweise von AEU Hosting angeboten werden – ist das Risiko, zum unfreiwilligen Malware-Verteiler zu werden, erheblich reduziert.

Benutzer werden dazu angehalten, AnySign4PC auf dem neuesten Stand zu halten – obwohl zum Zeitpunkt der Erstellung dieses Artikels noch kein offizieller Patch für die ausgenutzte Schwachstelle bestätigt worden war – und zu erwägen, die Software zu deinstallieren, falls sie nicht unbedingt erforderlich ist. Die Verwendung eines dedizierten, isolierten Browsers für sensible Transaktionen oder die Nutzung einer virtuellen Maschine kann die Gefährdung ebenfalls begrenzen. Endpoint Detection and Response (EDR)-Tools können die nachfolgende Backdoor-Aktivität erkennen. Diese Kampagne verdeutlicht, wie die Kompromittierung einer vertrauenswürdigen Website zu einer weit verbreiteten Endpunkt-Bedrohung führen kann, was mehrschichtige Sicherheit für sowohl Website-Betreiber als auch Endbenutzer unerlässlich macht.