Neue Bedrohung: RMM-Software als Einfallstor für Cyberangriffe in Brasilien

BRASILIEN / MÜNCHEN (IT BOLTWISE) – Eine neue Cyberkampagne zielt auf portugiesischsprachige Nutzer in Brasilien ab, indem sie Testversionen kommerzieller Remote-Monitoring- und Management-Software (RMM) missbraucht.

In Brasilien wird derzeit eine neue Cyberbedrohung beobachtet, die sich gezielt gegen portugiesischsprachige Nutzer richtet. Seit Januar 2025 nutzen Angreifer Testversionen kommerzieller Remote-Monitoring- und Management-Software (RMM), um unbefugten Zugriff auf Systeme zu erlangen. Diese Kampagne nutzt das brasilianische elektronische Rechnungssystem NF-e als Köder, um Nutzer dazu zu bringen, auf schädliche Links zu klicken, die in Dropbox gehostet werden.

Die Angriffsstrategie beginnt mit speziell gestalteten Spam-E-Mails, die angeblich von Finanzinstituten oder Mobilfunkanbietern stammen. Diese E-Mails warnen vor überfälligen Rechnungen oder ausstehenden Zahlungen, um die Empfänger dazu zu verleiten, auf gefälschte Dropbox-Links zu klicken. Diese Links führen zu einem Binärinstaller für das RMM-Tool, das den Angreifern die Möglichkeit gibt, Dateien auf dem entfernten Dateisystem zu lesen und zu schreiben.

Besonders auffällig sind die RMM-Tools N-able RMM Remote Access und PDQ Connect, die von den Angreifern genutzt werden. In einigen Fällen laden die Bedrohungsakteure nach der ersten Kompromittierung zusätzliche RMM-Software wie ScreenConnect herunter und installieren sie. Die Kampagne zielt hauptsächlich auf Führungskräfte und Finanz- sowie Personalabteilungen in verschiedenen Branchen ab, darunter auch Bildungseinrichtungen und Regierungsinstitutionen.

Experten sind sich einig, dass es sich bei dieser Aktivität um das Werk eines Initial Access Brokers (IAB) handelt, der die kostenlosen Testzeiträume verschiedener RMM-Programme ausnutzt, um unbefugten Zugriff zu erlangen. N-able hat bereits Maßnahmen ergriffen, um die betroffenen Testkonten zu deaktivieren. Die missbräuchliche Nutzung kommerzieller RMM-Tools durch Angreifer hat in den letzten Jahren stetig zugenommen, da diese Tools in der Regel von anerkannten Stellen digital signiert sind und als vollwertige Hintertüren fungieren.

Diese Entwicklung erfolgt parallel zu einer Vielzahl von Phishing-Kampagnen, die darauf abzielen, moderne Sicherheitsmaßnahmen zu umgehen und eine breite Palette von Malware-Familien zu verbreiten oder die Anmeldedaten der Opfer zu sammeln. Dazu gehören Kampagnen, die legitime Dateifreigabedienste nutzen, um Sicherheitsvorkehrungen zu umgehen, sowie solche, die auf Schwachstellen in Microsoft Word-Dokumenten setzen, um Malware zu verbreiten.

Die Angreifer entwickeln kontinuierlich neue Taktiken, um moderne E-Mail- und Endpunktsicherheitslösungen zu umgehen, was die Erkennung und Abwehr von Phishing-Versuchen zunehmend erschwert. Trotz Fortschritten in der Cybersicherheit erreichen viele Phishing-Kampagnen immer noch erfolgreich die Posteingänge der Nutzer, wie der Forscher Yuval Guri von Intezer kürzlich feststellte.

Unseren KI-Morning-Newsletter «Der KI News Espresso» mit den besten KI-News des letzten Tages gratis per eMail - ohne Werbung: Hier kostenlos eintragen!