Microsoft: Cyberkriminelle verbreiten Ransomware per Call Center

Sicherheitsforscher von Microsoft warnen vor einer neuen Masche von Cyberkriminellen, um PCs mit Ransomware zu infizieren. Anrufe aus einem Call Center sollen Nutzer dazu verleiten, einen Malware-Loader zu installieren, der dann die eigentliche Erpressersoftware einschleust.

Die Hintermänner, die Microsoft als BazaCall bezeichnet, sind seit Januar aktiv. Ein Angriff startet in der Regel mit einer herkömmlichen Phishing-E-Mail. Darin wird behauptet, dass in Kürze ein kostenloser Testzeitraum für eine heruntergeladene Software endet – und anschließend ein kostenpflichtiges Abonnement automatisch startet.

Microsoft geht gegen die Gruppe vor, weil sie zuletzt Nutzer von Office 365 ins Visier genommen hat. “Wenn die Empfänger die Nummer anrufen, werden sie von einem betrügerischen Callcenter, das von den Angreifern betrieben wird, angewiesen, eine Website zu besuchen und eine Excel-Datei herunterzuladen, um den Dienst zu kündigen. Die Excel-Datei enthält ein bösartiges Makro, das die Schadsoftware herunterlädt”, erklärte Microsoft.

Die Sicherheitsforscher des Unternehmens fanden auch heraus, dass die Gruppe das Penetrationstest-Tool Cobalt Strike einsetzen, um Anmeldedaten inklusive Active-Directory-Datenbanken zu stehlen. Letzteres stellt eine erhebliche Bedrohung für Unternehmen dar, da sie in der Regel alle Anmeldeinformationen von Mitarbeitern enthält.

Auf einer GitHub-Seite stellt Microsoft zudem öffentlich Details zu seinen Ermittlungen gegen BazaCall bereit. Dort finden sich Beispiele zu den Phishing-E-Mails und schädlichen Excel-Makros. Microsoft informiert dort aber auch darüber, wie die Hacker die Windows NT Directory Services einsetzen, um Active-Directory-Dateien zu stehlen.

Zuletzt hatte sich auch Palo Alto Networks mit BazaCall beschäftigt. Demnach kann die von der Gruppe verbreitete Schadsoftware auch eine Hintertür zu infizierten Windows-Geräten bereitstellen. “Nachdem ein Client infiziert wurde, nutzen Kriminelle diesen Backdoor-Zugang, um Folge-Malware zu versenden, die Umgebung zu scannen und andere anfällige Hosts im Netzwerk zu missbrauchen.”