Vorsicht: Microsoft Defender zur Infizierung mit Malware ausgenutzt

Dieser Angriff geht zunächst recht klassisch vor. Im ersten Schritt werden Rechner oder ganze Netzwerke über bekannte Software-Schwachstellen mithilfe der Malware Cobalt Strike übernommen. Sobald voller Zugriff geschaffen wurde, kommt die Erpressungssoftware LockBit zum Einsatz, verschlüsselt die Systeme und sendet eine Lösegeldaufforderung.

Bekannte Sicherheitslücke

Bei einer Untersuchung haben die Forscher von SentinelOne jetzt festgestellt, dass Bedrohungsakteure den ersten Schritt für die Installation des Schadcodes über das Befehlszeilentool "mpcmdrun.exe" in Microsoft Defender vollziehen.


Infografik: Viren sind immer noch die größte Cyber-Bedrohung
Diese Neuigkeiten sollten laut dem Online-Magazin Neowin Microsoft in höchste Alarmbereitschaft versetzen, falls dies nicht bereits der Fall ist. Bei den Bedrohungsakteuren handelt es sich um Betreiber von LockBit, einer Ransomware as a Service (RaaS).

Die Bedrohungsakteure nutzen im Wesentlichen die Log4j-Schwachstelle aus, um MpCmdRun, die bösartige DLL-Datei "mpclient" und die verschlüsselte Cobalt Strike-Nutzlastdatei von ihrem Command-and-Control-Server herunterzuladen und das System eines potenziellen Opfers zu infizieren. Dieser Missbrauch von legitimen Tools ist dabei keine neue Idee. Erst im April 2022 hatte man beobachtet, dass LockBit das VMware-Befehlszeilendienstprogramm VMwareXferlogs.exe nutzte, um unbemerkt zu den regulären Aktionen die Malware Cobalt Strike zu laden.

Im Ziel stehen Unternehmen

Daher ist es besonders für Unternehmensnetzwerke wichtig, dass alle Tools, für die durch eingesetzte Sicherheitssoftware Ausnahmen für den Netzwerkverkehr gemacht werden, sorgfältig geprüft werden. Produkte wie VMware und Windows Defender sind im Unternehmen weitverbreitet und bieten Bedrohungsakteuren einen hohen Nutzen, wenn sie außerhalb der installierten Sicherheitskontrollen operieren dürfen.