Schutz vor neuer Angriffstechnik „OneDrive als Command & Control Server“
Während auf der einen Seite Cyberattacken wie Ransomware-as-a-Service auch für Techniklaien leicht im Darknet zu erwerben und durchzuführen sind, werden auf der anderen Seite auch immer mehr technisch anspruchsvolle Cyberattacken bekannt. So zum Beispiel die neue, von den Trellix Threat Labs entdeckte Angriffstechnik, die OneDrive als Command & Control Server nutzt. Bei einem Command & Control Server handelt es sich um den zentralen Computer, der Befehle an ein sogenanntes Botnet absetzt und anschließend die zurückgesandten Berichte der ausgewählten Computer empfängt. Der Angriff galt laut Trellix Threat Labs höchstwahrscheinlich Regierungsbeamten und Personen aus der Verteidigungsindustrie Westasiens.
Der Angriff lief wie folgt ab: Das Opfer erhält eine Spear-Phishing-E-Mail und beginnt mit der Ausführung eines Excel-Downloads. Dieser nutzte mit CVE-2021-40444 eine bekannte Schwachstelle in Microsofts proprietärer Browser-Engine für den Internet Explorer, MSHTML, aus, um eine bösartige Datei im Speicher auszuführen. Daraufhin wurde Malware eingesetzt, um OneDrive als Command & Control-Server zu nutzen – eine Technik, die auch für das Team des Trellix Threat Labs neu ist.
Auch vor so einem technisch versierten Angriff schützt der virtuelle Browser mit Netzwerktrennung - R&S®Browser in the Box. Zum einen, da Microsoft Office durch die allumfängliche Netzwerktrennung gar keinen Internetzugang mehr hat. Zum anderen haben auch andere Virusvarianten keine Chance, denn die Lösung setzt nicht auf ein reaktives Erkennen und Abwehren, sondern auf eine proaktive Isolation. Dafür müssen Betriebssystem und Browser sowie Internet und lokales Netzwerk voneinander getrennt sein. Nur dann bleibt eindringende Schadsoftware in der virtuellen Umgebung eingeschlossen und kann sich nicht auf dem Rechner und im lokalen Netzwerk ausbreiten. Ein direkter Zugriff auf das Internet für Malware ist so ebenfalls proaktiv unterbunden und der Datenabgriff wird verhindert. Nutzer des virtuellen Browsers können trotz strikter Internettrennung vollumfänglich im Internet surfen und bestehende Workflows bleiben erhalten. R&S®Browser in the Box wurde im Auftrag des BSI entwickelt und erfüllt ebenso wie vom BSI zugelassene Lösungen besonders strenge Vorgaben und hohe Sicherheitsstandards.