Der Zoom-Installer wollte Ihr Passwort. Der echte fragt nie danach.
Eine Datei taucht auf, sie heißt Zoom. Sie wollen gleich an einer Besprechung teilnehmen, also öffnen Sie sie, folgen den Schritten, und auf halbem Weg erscheint ein Fenster, das Sie bittet, Ihr Passwort einzugeben, um den Vorgang zu erlauben. Sie tippen es ein. Das ist der gesamte Angriff.
Jamf Threat Labs hat die Einzelheiten am 30. September veröffentlicht. Die Schadsoftware heißt CloudSyncD, sie zielt auf Macs, und das erste Muster tauchte am 15. September auf und wirkte noch halbfertig. Zwei Tage später waren die Hintermänner auf aktive Server umgezogen. Das Passwort, das Sie eingeben, wird gegen Ihr echtes Konto geprüft und dann in einer gefälschten Zoom-Konfigurationsdatei vergraben, wobei 48 unsichtbare Unicode-Zeichen markieren, wo es liegt. Der Installer nutzt es, um eine Hintertür mit Administratorrechten zu starten. Diese Hintertür meldet sich dann alle 8 bis 16 Sekunden bei ihrem Server und wartet auf Anweisungen.
Was den Fall auf einer Windows-Seite lesenswert macht, ist der Köder, nicht der Code. Installieren Sie Zoom, um der Besprechung beizutreten, gehört zum Standardrepertoire falscher Personalvermittler und falscher Kunden, und die Windows-Variante ist derselbe Abend mit einem anderen Dateinamen. In den vergangenen Wochen haben wir über einen gefälschten Spotify-Installer und über eine Lohnabrechnungs-App, die es nie gab geschrieben. Jamfs eigenes Fazit ist deutlich: bei aller Technik ruht der Angriff immer noch auf der ältesten Methode überhaupt, nämlich jemanden dazu zu bringen, sein Passwort herauszugeben.
Behandeln Sie eine unerwartete Passwortabfrage während eines Downloads als den Moment zum Anhalten. Installationsdateien für Zoom, Teams oder irgendetwas anderes kommen von der Seite des Herstellers, und wenn Ihnen ein Fremder den Link geschickt hat, kann die Besprechung zehn Minuten warten. Wenn Sie unsicher sind, was ein kürzlicher Download hinterlassen hat, zeigt Ihnen Tendvanes Sicherheitsprüfung auf unerwünschte Software, was auf Ihrem PC inzwischen zum Start eingetragen ist.