Kriminelle verstecken sich in einer echten, signierten App, die Ihr Antivirenprogramm nicht hinterfragt
Die meiste Schadsoftware versucht, sich am Antivirenprogramm vorbeizuschmuggeln. Eine Kampagne, die Malwarebytes am 11. August beschrieben hat, macht etwas Klügeres: Sie installiert ein Programm, das gar keine Schadsoftware ist. Die Download-Seiten geben sich als vertrauenswürdige Namen aus - CNN, der Antivirenhersteller Avast, die Medien-App Stremio -, und die Datei, die man dabei bekommt, ist O&O Syspectr, ein echtes, digital signiertes Fernwartungs-Tool, das IT-Teams nutzen, um Computer aus der Ferne zu verwalten. Weil es legitime, signierte Software ist, lässt das Antivirenprogramm sie ohne Weiteres durch.
Der Haken liegt darin, wer am anderen Ende sitzt. Die Angreifer registrieren im Voraus eigene Syspectr-Konten, sodass sich ihre Kopie in dem Moment, in dem sie auf dem PC landet, still mit einer Konsole verbindet, die sie kontrollieren - und ihnen so Fernzugriff auf den Desktop sowie eine Administrator-Kommandozeile auf dem Rechner verschafft. Von dort aus können sie Dateien lesen, weitere Software installieren und mitverfolgen, was getippt wird. Forscher verfolgen diesen Trick schon das ganze Jahr: Eine separate Kampagne namens SeasonalInvite, die seit Januar läuft, missbrauchte vier solcher Tools auf dieselbe Weise - ConnectWise ScreenConnect, LogMeIn Resolve, Kaseya und O&O Syspectr -, gerade weil ein gültig signierter Installer an den Prüfungen vorbeikommt, die gewöhnliche Viren abfangen.
Der Schutz hat sich nicht geändert, und es ist eine Gewohnheit, die sich lohnt: Beziehen Sie Software von der Website des Herstellers selbst, nicht aus einem Suchergebnis, einer Anzeige oder einem Link, den Ihnen jemand geschickt hat. Wer nie nach einem Fernwartungs-Tool gesucht hat, hat auch keinen Grund, eines zu installieren - und taucht ein Programm wie Syspectr unerwartet auf dem PC auf, sollte man es entfernen und die Passwörter von einem vertrauenswürdigen Gerät aus ändern.
Genau für diesen blinden Fleck ist Tendvane gebaut. Die Sicherheitsprüfung meldet Programme, die sich still selbst installiert haben oder auf Autostart gesetzt wurden - einschließlich legitimer, aber unerwarteter Tools wie diesem -, und die App-Updates kommen über den eigenen Paketmanager von Windows (winget) statt über die gefälschten Download-Seiten, auf die dieser Betrug setzt.