Phishing-Kampagne nutzt Angst vor Corona

Entdeckt wurde die Kampagne von Sicherheitsforschern der IBM X-Force. Die Nachrichten stammen vermeintlich von Dr. Tedros Adhanom Ghebreyesus, dem Generaldirektor der WHO und haben den Betreff „Coronavirus disease (COVID-19) outbreak and cure update“. Im Text wird auf einen Anhang verwiesen, der Informationen zu Medikamenten geben soll, die zur Vorbeugung und zur schnellen Heilung von dem Virus empfohlen werden. Dieser Anhang hat den vielversprechenden Namen „Coronavirus Disease (COVID-19) CURE.exe“ und enthält eine ausführbare .NET-Datei, die dann über verschiedene Zwischenschritte als Loader für HawkEye fungiert.

Bei der Malware handelt es sich um einen Keylogger, der dafür ausgelegt ist, sämtliche Tastatureingaben und damit auch Zugangsdaten abzugreifen. Normalerweise wird er über infizierte Word-, Excel-, PowerPoint- oder RTF-Dateien verbreitet. Ist er einmal installiert, zeichnet er die Eingabe von E-Mail-Adressen und Passwörtern aus Internet Explorer, Chrome, Firefox oder Safari auf. Dabei kann er sowohl Tastenanschläge als auch Screenshots aufnehmen und an seine Hintermänner weiterleiten. In bisherigen Phishing-Kampagnen, bei denen die Malware zum Einsatz kam, wurden beispielsweise Buchungsbestätigungen oder Bankkorrespondenz als Köder genutzt.

Im aktuellen Fall würde ein genauerer Blick auf die E-Mail ausreichen, um die Fälschung zu erkennen. Wie so oft enthält sie Rechtschreibfehler, was bei einer offiziellen Mitteilung der WHO wohl eher unwahrscheinlich ist. Auch die Tatsache, dass man eine .exe-Datei unbekannten Ursprungs nicht öffnen sollte, ist mittlerweile hinreichend bekannt. Trotzdem ist davon auszugehen, dass die Kriminellen mit ihrer neuesten Masche Erfolg haben werden. Zu groß ist die Angst vieler Menschen vor dem Corona-Virus und zu verlockend die Aussicht auf Heilungsmöglichkeiten.