PowerPoint-Add-on für die Verbreitung von Malware benutzt

Cyberkriminelle benutzen derzeit ein Add-on für PowerPoint, um Schadsoftware zu verteilen. Das hat der Sicherheitsanbieter Avanan herausgefunden. Demnach verstecken Hacker in Dateien im “.ppam”-Format, das zusätzliche Befehle und Makros unterstützt, ausführbare Dateien.

Die ausführbaren Dateien wiederum sind der seit Januar laufenden Untersuchung von Avanan geeignet, den Angreifern die vollständige Kontrolle über ein System zu verschaffen. Die Angriffe selbst wiederum sollen in erster Linie per E-Mail erfolgen.

“Die an die E-Mail angehängte Datei ist eine .ppam-Datei. Bei einer .ppam-Datei handelt es sich um ein PowerPoint-Add-on, das bestimmte Funktionen erweitert und hinzufügt. Diese Datei umhüllt jedoch einen bösartigen Prozess, bei dem die Registrierungseinstellungen überschrieben werden”, sagte Jeremy Fuchs, Marketing Content Manager bei der Check-Point-Tochter Avanan. “Mit .ppam-Dateien können Hacker bösartige Dateien verpacken und somit verstecken. In diesem Fall überschreibt die Datei die Registrierungseinstellungen in Windows, so dass der Angreifer die Kontrolle über den Computer übernehmen kann und sich selbst aktiv hält, indem er sich dauerhaft im Speicher des Computers einnistet.”

Avanan zufolge erlauben es die nur selten genutzten PPAM-Dateien auch, Sicherheitsanwendungen zu umgehen. Fuchs zufolge wurde dieser Dateityp auch schon verwendet, um Ransomware zu verbreiten.

Für Aaron Turner, Vice President bei Vectra, ist die von Avanan aufgedeckte Kampagne nur eine Beispiel dafür, wie Hacker seit mehr als 20 Jahren die Office-Dateiformate von Microsoft für ihre Zwecke einsetzen. “Unternehmen, die für ihre E-Mails auf Exchange Online angewiesen sind, sollten ihre im Microsoft 365 Defender-Portal konfigurierten Anti-Malware-Richtlinien überprüfen. Wenn ein hohes Angriffsrisiko besteht, das außerhalb der Defender-Richtlinien behandelt werden muss, können bestimmte Anhangsdateitypen in einer dedizierten .ppam-Blockierungsrichtlinie als Exchange Online-Mailflow-Richtlinie blockiert werden.”

“Wenn wir unsere Sicherheitsüberprüfung für Exchange Online durchführen, überprüfen wir die konfigurierte Richtlinie und vergleichen sie mit unserer Empfehlung, über 100 verschiedene Dateitypen zu blockieren. Als Ergebnis dieser Untersuchung werden wir .ppam zu unserer Liste der zu blockierenden Dateierweiterungen hinzufügen, da diese spezielle PowerPoint-Dateierweiterung relativ unbekannt ist und kaum verwendet wird.”

Stefan Beiersmann

Stefan unterstützt seit 2006 als Freier Mitarbeiter die Redaktionen von Silicon.de und ZDNet.de. Wenn andere noch schlafen, sichtet er bereits die Nachrichtenlage, sodass die ersten News des Tages meistens von ihm stammen.

Recent Posts

Braucht der Mittelstand eine Sovereign Cloud?

"In der Regel nicht", sagt Oliver Queck von Skaylink im Interview.

5 Tagen ago

Lockbit wirklich endgültig zerschlagen?

Trotz des großen Erfolgs der Operation "Cronos" warnen Security-Experten vor zu frühen Feiern.

6 Tagen ago

Umfrage: In diesen Branchen soll KI den Personalmangel lindern

Eine Mehrheit der Deutschen spricht sich für mehr KI in der Industrie und im Transportwesen…

6 Tagen ago

Kaspersky: Jeder Fünfte von digitalem Stalking betroffen

42% der Nutzer:innen berichten von Gewalt oder Missbrauch durch eigenen Partner. 17% wurden bereits ohne…

6 Tagen ago

Handwerker-Recruiting 2.0

Warum ChatGPT bei der Mitarbeitergewinnung den Unterschied machen kann, verrät Julian Jehn von Jehn &…

7 Tagen ago

NIS 2: “Zeitlich wird es knackig”

Es stellt sich nicht die Frage, ob Unternehmen NIS 2 noch schaffen, sondern eher wie,…

7 Tagen ago