PowerPoint-Add-on für die Verbreitung von Malware benutzt
Das Powerpoint-Dateiformat PPAM erlaubt es, ausführbare Dateien zu verstecken. Hacker umgehen damit unter Umständen auch eine Erkennung durch Sicherheitsanwendungen. Die Angriffe selbst erfolgen klassisch per E-Mail.
Cyberkriminelle benutzen derzeit ein Add-on für PowerPoint, um Schadsoftware zu verteilen. Das hat der Sicherheitsanbieter Avanan herausgefunden. Demnach verstecken Hacker in Dateien im “.ppam”-Format, das zusätzliche Befehle und Makros unterstützt, ausführbare Dateien.
Die ausführbaren Dateien wiederum sind der seit Januar laufenden Untersuchung von Avanan geeignet, den Angreifern die vollständige Kontrolle über ein System zu verschaffen. Die Angriffe selbst wiederum sollen in erster Linie per E-Mail erfolgen.
“Die an die E-Mail angehängte Datei ist eine .ppam-Datei. Bei einer .ppam-Datei handelt es sich um ein PowerPoint-Add-on, das bestimmte Funktionen erweitert und hinzufügt. Diese Datei umhüllt jedoch einen bösartigen Prozess, bei dem die Registrierungseinstellungen überschrieben werden”, sagte Jeremy Fuchs, Marketing Content Manager bei der Check-Point-Tochter Avanan. “Mit .ppam-Dateien können Hacker bösartige Dateien verpacken und somit verstecken. In diesem Fall überschreibt die Datei die Registrierungseinstellungen in Windows, so dass der Angreifer die Kontrolle über den Computer übernehmen kann und sich selbst aktiv hält, indem er sich dauerhaft im Speicher des Computers einnistet.”
Avanan zufolge erlauben es die nur selten genutzten PPAM-Dateien auch, Sicherheitsanwendungen zu umgehen. Fuchs zufolge wurde dieser Dateityp auch schon verwendet, um Ransomware zu verbreiten.
Für Aaron Turner, Vice President bei Vectra, ist die von Avanan aufgedeckte Kampagne nur eine Beispiel dafür, wie Hacker seit mehr als 20 Jahren die Office-Dateiformate von Microsoft für ihre Zwecke einsetzen. “Unternehmen, die für ihre E-Mails auf Exchange Online angewiesen sind, sollten ihre im Microsoft 365 Defender-Portal konfigurierten Anti-Malware-Richtlinien überprüfen. Wenn ein hohes Angriffsrisiko besteht, das außerhalb der Defender-Richtlinien behandelt werden muss, können bestimmte Anhangsdateitypen in einer dedizierten .ppam-Blockierungsrichtlinie als Exchange Online-Mailflow-Richtlinie blockiert werden.”
“Wenn wir unsere Sicherheitsüberprüfung für Exchange Online durchführen, überprüfen wir die konfigurierte Richtlinie und vergleichen sie mit unserer Empfehlung, über 100 verschiedene Dateitypen zu blockieren. Als Ergebnis dieser Untersuchung werden wir .ppam zu unserer Liste der zu blockierenden Dateierweiterungen hinzufügen, da diese spezielle PowerPoint-Dateierweiterung relativ unbekannt ist und kaum verwendet wird.”
