Von vorgetäuschter Werbung in der Skype-App, die zu Ransomware-Infektionen führen kann, berichten Nutzer. Zu einem dringenden Update für Adobe Flash Player drängen die Malvertising-Inserate. Allerdings löst ein unvorsichtiger Klick einen mehrstufigen Angriff aus.

Auf Reddit beschrieb ein betroffener Nutzer, wie ihm auf dem Skype-Homescreen eine solche bösartige Anzeige begegnete und zur Ausführung einer Datei namens „FlashPlayer.hta“ aufforderte und belegte dies mit einem Screenshot. In den folgenden Tagen beschwerten sich weitere Anwender über ähnliche Vorfälle mit Skypes In-App-Inseraten, welche teilweise auch für ein angebliches Flash-Update warben.

Experten wurden von ZDNet.com gebeten, den isolierten Code zu untersuchen und seine Funktionsweise zu erklären. Für Windows-Rechner war das gefälschte Flash-Inserat entwickelt und stieß einen Download an, dessen Ausführung ein verschleiertes JavaScript auslösen sollte. Anschließend sollte der Code die vom Nutzer geöffnete Anwendung löschen und einen PowerShell-Befehl ausführen, um ein JavaScript Encoded Script (JSE) herunterzuladen.

Offenbar dienten diese aufeinanderfolgenden Schritte dazu, die Erkennung durch Antivirus-Malware zu vermeiden. Ali-Reza Anghaie von der Sicherheitsfirma Phobos Group erklärte: „Das ist das, was man allgemein einen zweistufigen Dropper nennt“. „Es ist praktisch eine Hilfskomponente der Malware, die dann über das weitere Vorgehen entscheidet – abhängig vom Befehls- und Kontollserver, mit dem sie sich verbindet.“ Zudem ging er davon aus, dass in 99 Prozent aller Fälle mit Ransomware zu rechnen sei. Diese verschlüsseln den Computer und erpressen anschließend den Nutzer. Dabei kommt das Exploitkit Angler zum Einsatz, das schon bei früheren Malvertising-Kampagnen beobachtet wurde.

Skype ist durch Malvertising schon mehrmals aufgefallen. Bereits 2015 berichtete Threatpost von im Skype-Client ausgelieferten Inseraten, die der Verteilung von Schadsoftware dienten. Sicherheitsforscher entdeckten 2016 bösartige Inserate, die Angriffe mit dem Exploitkit Angler bezweckten, das häufig Ransomware transportiert.

(ts, hannover)

(siehe auch zdnet.de:)

Hannover · EDV-Beratung · Linux · Novell · Microsoft · Seminar · IT-Consult · Netzwerk · LPIC · CLE