Ein falsches Spotify-Installationsprogramm, das seine Befehle in einer Blockchain versteckt
Installationsprogramme sind ein leichtes Ziel. Niemand sieht sie sich genauer an. Sie wollten Spotify, eine Datei namens Spotify tauchte auf, Sie haben doppelt geklickt, und Windows zeigte das übliche Fenster mit der Frage, ob Sie sicher seien.
Die Adversary Pursuit Group von Blackpoint hat am 18. September eine Analyse eines Fernwartungswerkzeugs veröffentlicht, das sie ChainScript nennt und das bei der Untersuchung einer ClickFix-Kampagne auftauchte. Die Kette beginnt mit einer dieser Seiten, die Sie auffordern, etwas zu kopieren und auszuführen, und endet mit einem Windows-Installationspaket, das über msiexec.exe gestartet wird. Vier Varianten sind bislang aufgetaucht. Zwei davon, ComponentTask33 und UpdateDigital, geben sich als Spotify aus, HostShared als Zoom Workplace und OrchidViolet66 als Microsoft Teams. Das Paket legt still und leise eine Node.js-Laufzeitumgebung ab und startet einen JavaScript-Agenten hinter verborgenen PowerShell- und VBScript-Stufen.
Von da an hat der Betreiber eine Eingabeaufforderung und eine PowerShell-Sitzung auf Ihrem Rechner, kann Dateien lesen, schreiben und löschen, Bildschirmfotos Ihres Desktops machen, weitere Schadsoftware nachladen und beliebiges JavaScript im Agenten ausführen. Außerdem sucht es nach Kryptowährungs-Wallets, sowohl installierte Programme als auch Browser-Erweiterungen. Am bemerkenswertesten finden die Forscher, woher es seine Befehle bezieht: Statt einer fest eingebauten Adresse fragt ChainScript einen Smart Contract auf der Polygon-Blockchain nach dem Server, zu dem es Verbindung aufnehmen soll. Eine Domain zu sperren bringt nichts, denn die Betreiber lassen den Vertrag einfach woanders hinzeigen, und jeder infizierte Rechner folgt.
Die Gegenwehr liegt ganz am Anfang. Eine Webseite, die Sie auffordert, einen Befehl in das Ausführen-Feld oder ein Terminal einzufügen, um zu beweisen, dass Sie ein Mensch sind, Ihr Video zu reparieren oder ein Update abzuschließen, lügt. Jedes Mal, ohne Ausnahme. Und kostenlose Software gehört von der Firma bezogen, die sie herstellt, oder aus dem Microsoft Store, nicht aus dem ersten Suchtreffer. Die App-Update-Prüfung von Tendvane läuft über winget, sodass Spotify, Zoom und der Rest aus ihren offiziellen Paketen kommen statt aus einem Fund im Netz.