Aktuell | Security | c't | heise magazine

Neue Top-Level-Domain .zip lädt zu Phishing-Attacken ein

Ein Sicherheitsforscher hat demonstriert, wie Angreifer die neue .zip-Domain für Phishing-Attacken nutzen können, etwa um Trojaner auf Opfersystemen einzuschleusen oder Zugangsdaten zu stehlen.

Mitte Mai hat Google mehrere neue Top-Level-Domains freigegeben, darunter .zip, .dad, .phd und .mov. Unter IT-Sicherheitsexperten wurden Bedenken laut, dass die neuen Top-Level-Domains mit Dateiendungen verwechselt werden könnten und so eine weitere Phishing-Gefahr darstellten.

In diesem Nachbau der Bedienoberfläche des Packprogramms WinRAR im Browser hat der Entwickler auch Funktionen wie den Scan-Button gefälscht, um die Imitation echt wirken zu lassen.

Bild: https://mrd0x.com/file-archiver-in-the-browser/

Ein Sicherheitsforscher, der über das Twitter-Handle @mrd0x bekannt ist, hat aufgezeigt, wie Angreifer die neue Top-Level-Domain .zip – gleichnamig zur Dateiendung von Zip-Archiven – für Phishing-Attacken nutzen können. Bei seiner Phishing-Attacke hat er das Packprogramm WinRAR und den Dateiexplorer von Windows 11 mittels HTML und CSS als Website nachgebaut.

Um die Fälschungen glaubhaft wirken zu lassen, hat er seine Imitationen mit weiteren Funktionen ausgestattet; etwa bestätigt das Scan-Icon in seiner WinRAR-Imitation beim Klicken, dass die Dateien im vermeintlichen .zip-Archiv sicher seien. Opfer können um Beispiel über eine Phishing-Mail dazu gebracht werden, die .zip-Domain, hinter der sich die Angreiferwebsite verbirgt, anzusteuern. Ein weiterer Klick auf die scheinbar entpackte Datei könnte dann auf eine Phishing-Seite führen, die das Opfer auffordert, Zugangsdaten einzugeben.

In einem anderen Szenario startet der Klick auf eine anscheinend nicht ausführbare Datei (etwa .pdf) den Download einer ausführbaren .exe-Datei, die ein Trojaner sein könnte. Damit wäre das Opfersystem infiziert.

Problematisch ist auch der Umgang des Windows-Dateiexplorers mit der neuen .zip-Domain. Sucht ein Nutzer in der Suchleiste des Explorers nach einer .zip-Datei und sie befindet sich nicht auf dem Gerät, öffnet das System automatisch den Dateinamen als Website im Browser. Für das beschriebene Angriffsszenario wäre das perfekt, schließlich bekäme der arglose Nutzer mit den Imitationen von WinRAR und Datei-Explorer genau das zu sehen, was er beim Klick auf eine .zip-Datei erwartet. Der Angreifer könnte sein Opfer auffordern, eine bestimmte Zip-Datei auf diese Weise zu öffnen, die sich dem Anschein nach bereits auf dem System befindet.

Die Demonstration des Sicherheitsforschers zeigt, dass die neue Top-Level-Domain Angreifern neue Phishing-Möglichkeiten bietet. Admins empfiehlt er, die Top-Level-Domain .zip vorerst global zu blockieren. (kst@ct.de)

Spyware in 193 Android-Apps

Virenanalysten von Doctor Web haben in 101 Apps aus Googles Play Store die Android-Spyware SpinOk entdeckt. Kurze Zeit später entdeckten Sicherheitsforscher von CloudSEK die Spyware in 92 weiteren Android-Apps. Insgesamt kommen die betroffenen Apps auf 451 Millionen Downloads. Google ist informiert, bei Redaktionsschluss waren jedoch nicht alle infizierten Versionen aus dem Verkehr gezogen. Nutzer sollten betroffene Apps sofort deinstallieren.

Die schadhafte Komponente späht Dateien auf infizierten Geräten aus und kann Informationen ausschleusen. Außerdem könne der Schädling Inhalte der Zwischenablage modifizieren oder sie an einen Server unter der Kontrolle der Drahtzieher übertragen, schreiben die Sicherheitsforscher von Doctor Web in einem Blogpost.

Getarnt ist die Schadsoftware als Marketing-SDK, wie es Entwickler oft in ihre Apps integrieren. Den Nutzern zeigt sich SpinOk als Sammlung von Mini-Spielen, die mit angeblichen Gewinnen locken. Bei der Initialisierung verbindet sich das trojanisierte SDK mit einem Command-and-Control-Server (C&C). Dabei überträgt es viele technische Daten über das infizierte Gerät, darunter Informationen von verfügbaren Sensoren, wie Magnetometern oder Gyroskop. Enthalten diese Daten Informationen über das Vorhandensein einer Emulator-Umgebung, kann die Malware ihr Verhalten anpassen, um ihre Entdeckung zu erschweren. So ignoriert SpinOK während der Analyse die Proxy-Einstellungen, um verräterische Netzwerkverbindungen an Analyseproxies vorbeizuschleusen.

Der C&C-Server antwortet, indem er eine Liste von URLs, die auf Werbebanner verweisen, an die Schadsoftware zurückschickt. Mittels der Android-Systemkomponente WebView spielt SpinOk die Werbebanner an die Nutzer aus.

Von den entdeckten Apps im Google Play Store enthielten einige das Spyware-SDK oder Varianten noch bei Redaktionsschluss. Andere enthielten es nur in bestimmten Versionen, manche wurden inzwischen vollständig aus dem Store entfernt. In einem GitHub-Repository listen die Analysten sogenannte Indicators of Compromise (IoC), darunter Paketnamen, Hashwerte und App-Titel. Wer eine der betroffenen Apps installiert hat, sollte sie umgehend deinstallieren. Die Sicherheitsexperten haben Google nach eigenen Angaben über die Funde informiert, einige der Apps stehen im Play Store aber nach wie vor zum Download bereit. (kst@ct.de)