Sicherheitsforscher warnen jetzt davor, dass Hacker das Windows Defender-Befehlszeilentool MpCmdRun.exe missbrauchen, um unbemerkt Malware zu verbreiten. Das Tool wird genutzt, um PC mit Cobalt Strike zu infizieren und die Ransomware LockBit zu installieren.
Dieser Angriff geht zunächst recht klassisch vor. Im ersten Schritt werden Rechner oder ganze Netzwerke über bekannte Software-Schwachstellen mithilfe der Malware Cobalt Strike übernommen. Sobald voller Zugriff geschaffen wurde, kommt die Erpressungssoftware LockBit zum Einsatz, verschlüsselt die Systeme und sendet eine Lösegeldaufforderung.
Bekannte Sicherheitslücke
Bei einer Untersuchung haben die Forscher von SentinelOne jetzt festgestellt, dass Bedrohungsakteure den ersten Schritt für die Installation des Schadcodes über das Befehlszeilentool "mpcmdrun.exe" in Microsoft Defender vollziehen.
Diese Neuigkeiten sollten laut dem Online-Magazin Neowin Microsoft in höchste Alarmbereitschaft versetzen, falls dies nicht bereits der Fall ist. Bei den Bedrohungsakteuren handelt es sich um Betreiber von LockBit, einer Ransomware as a Service (RaaS).
Die Bedrohungsakteure nutzen im Wesentlichen die Log4j-Schwachstelle aus, um MpCmdRun, die bösartige DLL-Datei "mpclient" und die verschlüsselte Cobalt Strike-Nutzlastdatei von ihrem Command-and-Control-Server herunterzuladen und das System eines potenziellen Opfers zu infizieren. Dieser Missbrauch von legitimen Tools ist dabei keine neue Idee. Erst im April 2022 hatte man beobachtet, dass LockBit das VMware-Befehlszeilendienstprogramm VMwareXferlogs.exe nutzte, um unbemerkt zu den regulären Aktionen die Malware Cobalt Strike zu laden.
Im Ziel stehen Unternehmen
Daher ist es besonders für Unternehmensnetzwerke wichtig, dass alle Tools, für die durch eingesetzte Sicherheitssoftware Ausnahmen für den Netzwerkverkehr gemacht werden, sorgfältig geprüft werden. Produkte wie VMware und Windows Defender sind im Unternehmen weitverbreitet und bieten Bedrohungsakteuren einen hohen Nutzen, wenn sie außerhalb der installierten Sicherheitskontrollen operieren dürfen.
Anmelden
Sicherheitsforscher warnen jetzt davor, dass Hacker das Windows Defender-Befehlszeilentool MpCmdRun.exe missbrauchen, um unbemerkt Malware zu verbreiten. Das Tool wird genutzt, um PC mit Cobalt Strike zu infizieren und die Ransomware LockBit zu installieren.
Dieser Angriff geht zunächst recht klassisch vor. Im ersten Schritt werden Rechner oder ganze Netzwerke über bekannte Software-Schwachstellen mithilfe der Malware Cobalt Strike übernommen. Sobald voller Zugriff geschaffen wurde, kommt die Erpressungssoftware LockBit zum Einsatz, verschlüsselt die Systeme und sendet eine Lösegeldaufforderung.
