Falle: Gefälschte Skype-, Zoom- und Google Meet-Websites

Beitrag teilen

Einige Angreifer nutzen Online Meeting-Dienste als Köder für Malware. So haben Forscher von Zscaler gefälschte Skype-, Zoom- und Google Meet-Websites gefunden, die von Bedrohungsakteuren zur Verbreitung von Remote Access Trojanern – kurz RAT – genutzt wurden.

Das ThreatLabZ-Team von Zscaler warnt vor gefälschten Online Meeting-Seiten, über die verschiedene Malware-Familien verbreitet werden. Bereits Anfang Dezember 2023 entdeckten die Forscher einen Bedrohungsakteur, der gefälschte Skype-, Google Meet- und Zoom-Webseiten zur Verbreitung von Malware erstellt, um darüber Remote Access Trojaner wie SpyNote RAT an Android-User und NjRAT und DCRat an Windows-User zu verbreiten. Diese Seiten tauchen immer wieder in neuen Varianten auf.

Anzeige
Angriffskette und Ablauf der Ausführung für Android- und Windows-Kampagnen

🔎 Die Angriffskette und der Ablauf der Ausführung für Android- und Windows-Kampagnen (Bild: Zscaler).

Täuschend echte Webadressen als Falle

Der Malware-Akteur setzte dafür auf shared Webhosting und hostet alle gefälschten Webseiten für Online-Meetings auf einer einzigen IP-Adresse. Dabei waren die URLs der gefälschten Websites den echten sehr ähnlich, so dass die Fälschung durch einen flüchtigen Blick nicht zu erkennen ist. Wenn ein User eine der gefälschten Websites besucht, wird durch Klicken auf die Android-Schaltfläche der Download einer bösartigen APK-Datei gestartet. Das Klicken auf die entsprechende Windows-Schaltfläche löst dagegen den Download einer BAT-Datei aus. Die BAT-Datei sorgt bei ihrer Ausführung für zusätzliche Aktionen, die letztendlich zum Download einer RAT-Payload führen.

Falsche Webseiten mit Skype

Bei ihren Untersuchungen haben die Sicherheitsforscher entdeckt, dass die erste gefälschte und inzwischen gesperrte Website “join-skype[.]info” Anfang Dezember erstellt wurde, um User zum Herunterladen einer gefälschten Skype-Anwendung zu verleiten.

Die Windows-Schaltfläche verwies auf eine Datei mit der Bezeichnung “Skype8.exe” und die Google Play-Schaltfläche auf “Skype.apk”. Die Apple App Store-Schaltfläche leitete nur zur Originalseite von Skype für iOS weiter, was darauf hindeutet, dass der Bedrohungsakteur mit seiner Malware nicht auf iOS-User abzielte.

Falsche Meeting-Seiten für Google Meet und Zoom

Ende Dezember erstellte der Angreifer eine weitere gefälschte Website die Google Meet imitierte. Die gefälschte Google Meet-Seite wurde so gehostet, dass der Unterpfad “gry-ucdu-fhc“ zu sehen war. Er wurde absichtlich so erstellt wurde, dass er einem Google Meet-Beitrittslink ähnelt. Auch für Zoom fanden die Experten Ende Januar 2024 zudem eine gefälschte Zoom-Seite. Deren URL enthielt einen Unterpfad, der einer vom Zoom-Client generierten Meeting-ID sehr ähnlich ist.

RAT – Remote Access Trojaner standen bereit

Die Bedrohungsakteure adressieren mit dieser Kampagne auf Unternehmen und verwenden bekannte und beliebte Online Meeting-Dienste als Köder, um RATs für Android und Windows zu verbreiten. Diese Remote Access Trojaner sind in der Lage, vertrauliche Informationen zu stehlen, Tastenanschläge zu protokollieren oder Dateien abzuziehen.

Diese Ergebnisse unterstreichen die Notwendigkeit robuster Sicherheitsmaßnahmen zum Schutz vor sich weiterentwickelnden Bedrohungen sowie die Bedeutung regelmäßiger Updates und Sicherheits-Patches. Die Zscaler Cloud Sandbox erkennt die Samples durch ihr Verhalten und verweisen auf spezifische MITRE ATT&ACK-Techniken die während der Analyse getriggert werden.

Mehr bei ZScaler.com

 


Über Zscaler

Zscaler beschleunigt die digitale Transformation, damit Kunden agiler, effizienter, widerstandsfähiger und sicherer werden können. Zscaler Zero Trust Exchange schützt Tausende von Kunden vor Cyberangriffen und Datenverlusten, indem es Nutzer, Geräte und Anwendungen an jedem Standort sicher verbindet. Die SSE-basierte Zero Trust Exchange ist die weltweit größte Inline-Cloud-Sicherheitsplattform, die über mehr als 150 Rechenzentren auf der ganzen Welt verteilt ist.


 

Passende Artikel zum Thema

E-Mail-Schutz vor komplexen Cyberangriffen

Ein Cybersicherheitsunternehmen für umfassenden E-Mail-Schutz vor komplexen Bedrohungen stellt Weiterentwicklungen vor. Die Updates umfassen unter anderem flexible Bereitstellungsoptionen und verbesserte ➡ Weiterlesen

Zero Trust für RISE with SAP

Ein SAP-Partner bietet Kunden ab sofort einen Zero Trust Network Access (ZTNA) Service an, der nativ in „RISE with SAP“ ➡ Weiterlesen

Duale Authentifizierung ist eine Herausforderung

Viele Unternehmen betreiben eine hybride Authentifizierung mit Passkeys und Passwörtern, um der dauerhaft hohen Gefahr des Phishings zu begegnen. Der ➡ Weiterlesen

Datenwiederherstellung in hybriden IT-Umgebungen

Acht von zehn Unternehmen wurden schon durch Ransomware attackiert. Deshalb ist eine anpassungsfähige Datenwiederherstellung gerade für hybride IT-Landschaften essentiell notwendig, ➡ Weiterlesen

Compliance Assistant unterstützt bei DORA Umsetzung

Mithilfe des Compliance Assistant lassen sich Risiken leichter minimieren und zeitaufwändige Prüfungen von Konfigurationen im Rahmen von DORA verkürzen. Dazu ➡ Weiterlesen

Report: Angriffe auf kritische Infrastrukturen nehmen zu

Die Zahl der Sicherheitsvorfälle in kritischen Infrastrukturen ist seit 2022 um 668 Prozent gestiegen. Der Threat Roundup-Bericht 2024 wirft ein Schlaglicht ➡ Weiterlesen

Orchestrierung der E-Mail-Verschlüsselung

E-Mails sind ein unverzichtbares Werkzeug in einer Arbeitswelt, die immer dezentraler wird. Aber wie lassen sich Praktikabilität, Resilienz und Vertrauen ➡ Weiterlesen

Cybersecurity-Risiken durch DeepSeek

Die Nutzung von KI-Plattformen, wie beispielsweise DeepSeek, mögen ein Schritt nach vorn sein, Unternehmen müssen die Risiken aber sorgfältig abwägen ➡ Weiterlesen