Cyberkriminelle haben eine neue Masche entdeckt, um Unternehmen zur Installation gefährlicher Schadsoftware zu bringen. Statt mit einer klassischen Erpressungs-Mail oder einem verdächtigen Anhang versuchen die Angreifer, Vertrauen aufzubauen: Sie geben sich als Mitarbeiter von Interpol aus und behaupten, belastende Unterlagen über das angeschriebene Unternehmen zu besitzen. Wer die angeblichen Beweise öffnen möchte, lädt jedoch keine Videos oder Dokumente herunter, sondern eine Ransomware.
Die Sicherheitsforscher von Bitdefender Labs haben die Kampagne untersucht und festgestellt, dass sich die Angriffe gegen kleine und mittlere Unternehmen in Europa, Asien, dem Nahen Osten sowie den USA richten. Die betroffenen Firmen stammen aus unterschiedlichen Bereichen, darunter Lebensmittelunternehmen, Landwirtschaftsbetriebe, Kanzleien, Pharmafirmen, Medienhäuser, Technologieunternehmen und Finanzdienstleister.
Die Betrüger setzen dabei auf eine Mischung aus technischem Angriff und psychologischem Druck. Die Empfänger sollen glauben, dass eine offizielle Behörde wegen angeblicher verdächtiger Aktivitäten Kontakt aufnimmt. Der vermeintliche Interpol-Beamte kündigt ein passwortgeschütztes Archiv mit Dokumenten und Videomaterial an. Der Inhalt soll Hinweise gegen das Unternehmen enthalten. Genau diese Neugier und Sorge sollen die Opfer dazu bringen, die Datei zu öffnen.
Nach Angaben der Bitdefender-Experten führte der enthaltene Link zu einer Datei auf dem Cloud-Dienst Proton Drive. Das Passwort für das geschützte Archiv wurde von den Angreifern gleich mitgeliefert. Damit wollen sie den Eindruck erwecken, dass es sich um eine vertrauliche Übermittlung handelt.
Im Archiv befand sich jedoch keine Videodatei mit angeblichen Beweisen, sondern eine ausführbare Datei mit Schadsoftware. Diese war so gestaltet, dass sie wie ein Video aussah. Sobald ein Nutzer die Datei öffnete, begann die Malware damit, verfügbare Laufwerke des betroffenen Systems zu verschlüsseln.
Für die betroffenen Unternehmen bedeutet das: Dateien können plötzlich nicht mehr geöffnet werden, wichtige Arbeitsdaten sind blockiert und der normale Betrieb kann erheblich gestört werden. Besonders problematisch ist die Situation für kleinere Firmen, die oft keine eigenen Spezialisten für IT-Sicherheit beschäftigen.
Die Experten erklären, dass Angreifer gezielt kleinere Unternehmen auswählen. Dort gibt es häufig keine großen IT-Abteilungen oder festgelegte Abläufe, um ungewöhnliche Kontaktaufnahmen zu überprüfen. Mitarbeiter müssen viele unterschiedliche Aufgaben erledigen und können nicht jede Nachricht sofort auf mögliche Gefahren untersuchen.
Gerade diese Situation versuchen Cyberkriminelle auszunutzen. Sie setzen darauf, dass eine Nachricht mit dem Namen einer bekannten internationalen Organisation ernst genommen wird. Eine angebliche Behördenanfrage erzeugt zusätzlichen Druck, weil viele Empfänger möglichst schnell reagieren möchten.
Die Sicherheitsforscher gehen davon aus, dass ähnliche Angriffe künftig erneut auftauchen könnten. Die verwendete Technik sei zwar vergleichsweise einfach, doch die Kombination aus einer glaubwürdig wirkenden Geschichte und gezielter Manipulation könne trotzdem großen Schaden verursachen.
Nach der Verschlüsselung der Dateien meldete sich die Schadsoftware bei den Angreifern und bestätigte offenbar den erfolgreichen Angriff. Anders als bei vielen bekannten Ransomware-Fällen wurde den Opfern nicht unmittelbar eine fixe Lösegeldsumme präsentiert.
Stattdessen sollten die Betroffenen über einen Tox-Chat Kontakt aufnehmen und über eine Zahlung verhandeln. Laut den Experten nutzen immer mehr Erpresser diese Vorgehensweise. Der Betrag wird dabei offenbar erst später festgelegt und richtet sich unter anderem nach der Größe des Unternehmens, dem geschätzten Wert der gestohlenen Daten und der finanziellen Situation des Opfers.
Für Unternehmen kann das die Situation zusätzlich erschweren. Während eine fixe Forderung zumindest eine konkrete Ausgangslage schafft, bleibt bei Verhandlungen offen, welche Summe verlangt wird und welche weiteren Forderungen folgen könnten.
Die untersuchte Malware lässt sich laut Bitdefender keiner bekannten Ransomware-Familie zuordnen. Die Schadsoftware scheint speziell für diese Kampagne entwickelt worden zu sein. Technisch handelt es sich demnach nicht um besonders komplexen Schadcode. Die Analyse zeigt unter anderem fest eingetragene Werte und Passwörter, die für die Verschlüsselung und spätere Entschlüsselung verwendet werden.
Trotzdem reicht diese einfache Umsetzung aus, wenn die Opfer durch eine glaubwürdig wirkende Nachricht zum Öffnen der Datei gebracht werden. Der Fall zeigt damit erneut, dass nicht nur hochentwickelte Angriffe eine Gefahr darstellen. Oft reicht eine gut vorbereitete Täuschung aus, um Mitarbeiter zu einer riskanten Handlung zu bewegen.
Wenn eine solche Datei bereits heruntergeladen und geöffnet wurde, zählt vor allem schnelles Handeln. Das betroffene Gerät sollte sofort vom Netzwerk getrennt werden, damit sich die Schadsoftware nicht weiter ausbreiten oder mit den Angreifern kommunizieren kann. Anschließend empfehlen Sicherheitsexperten einen vollständigen Scan des Systems. Auch die zuständigen IT-Verantwortlichen oder externe Dienstleister sollten informiert werden, damit betroffene Geräte isoliert und weitere Schäden verhindert werden können.
Zusätzlich sollten Passwörter von nicht betroffenen Systemen geändert und die Netzwerkaktivitäten auf ungewöhnliche Vorgänge überprüft werden. Jede unerwartete Kontaktaufnahme, besonders mit angeblichen Behörden oder unbekannten Absendern, sollte künftig genau geprüft werden. Auch der Umgang mit passwortgeschützten Dateien verdient besondere Aufmerksamkeit. Ein geschütztes Archiv bedeutet nicht automatisch Sicherheit. Im Gegenteil: Angreifer nutzen diese Methode häufig, um Schadsoftware vor automatischen Prüfungen zu verstecken.
Neben Aufmerksamkeit im Alltag spielen technische Schutzmaßnahmen eine entscheidende Rolle. Dazu gehören eine Anmeldung mit mehreren Sicherheitsstufen, aktuelle Sicherheitsupdates, verlässliche Datensicherungen und regelmäßige Schulungen für Mitarbeiter. Die aktuelle Kampagne zeigt, dass Cyberangriffe nicht immer mit komplizierten technischen Tricks beginnen. Häufig versuchen Täter zuerst, Menschen zu einer falschen Entscheidung zu bringen. Eine unerwartete Nachricht, die Angst macht oder besonderen Druck erzeugt, sollte deshalb immer kritisch hinterfragt werden.
