Neue Bedrohung: Malware nutzt Google-Links zur Umgehung von Antivirus-Software

LONDON (IT BOLTWISE) – Eine neue Malware-Kampagne zeigt, wie Angreifer vertrauenswürdige Domains wie Google.com nutzen, um traditionelle Antivirus-Schutzmaßnahmen zu umgehen.

In der digitalen Welt, in der Sicherheit eine immer größere Rolle spielt, haben Cyberkriminelle eine neue Methode entwickelt, um Malware in Browser zu schleusen. Diese Bedrohung nutzt echte Google-URLs, um sich unbemerkt an Antivirus-Software vorbeizuschleichen. Besonders heimtückisch ist, dass die Malware erst während des Bezahlvorgangs aktiv wird, was sie zu einer stillen Gefahr für Online-Zahlungen macht.

Der Angriff beginnt mit einem Skript, das in einer kompromittierten Magento-basierten E-Commerce-Website eingebettet ist. Dieses Skript verweist auf eine scheinbar harmlose Google OAuth-Abmelde-URL, die jedoch einen manipulierten Callback-Parameter enthält. Dieser Parameter dekodiert und führt eine obfuskierte JavaScript-Nutzlast aus, die vollen Zugriff auf die Browsersitzung des Nutzers hat.

Die Nutzung der Google-Domain ist zentral für die Täuschung. Da das Skript von einer vertrauenswürdigen Quelle geladen wird, erlauben die meisten Content Security Policies (CSPs) und DNS-Filter es ohne weiteres. Das Skript aktiviert sich nur unter bestimmten Bedingungen. Wenn der Browser automatisiert erscheint oder die URL das Wort „checkout“ enthält, öffnet es stillschweigend eine WebSocket-Verbindung zu einem bösartigen Server. Dies ermöglicht es dem Angreifer, das Verhalten der Malware an die Aktionen des Nutzers anzupassen.

Ein entscheidender Faktor für die Wirksamkeit dieses Angriffs ist seine Fähigkeit, viele der besten Antivirus-Programme auf dem Markt zu umgehen. Die Logik des Skripts ist stark obfuskiert und aktiviert sich nur unter bestimmten Bedingungen, was es unwahrscheinlich macht, dass selbst die besten Android-Antivirus-Apps und statische Malware-Scanner es erkennen. DNS-basierte Filter oder Firewall-Regeln bieten ebenfalls nur begrenzten Schutz, da die anfängliche Anfrage an die legitime Google-Domain gerichtet ist.

In Unternehmensumgebungen könnten selbst einige der besten Endpoint-Schutztools Schwierigkeiten haben, diese Aktivität zu erkennen, wenn sie stark auf Domain-Reputation setzen oder die dynamische Skriptausführung innerhalb von Browsern nicht inspizieren. Während fortgeschrittene Nutzer und Cybersicherheitsteams Inhaltsinspektionsproxies oder Verhaltensanalysen verwenden könnten, um Anomalien wie diese zu identifizieren, bleiben durchschnittliche Nutzer weiterhin gefährdet.

Um das Risiko kurzfristig zu reduzieren, könnten Maßnahmen wie die Einschränkung von Drittanbieter-Skripten, die Trennung von Browsersitzungen für Finanztransaktionen und die Wachsamkeit gegenüber unerwartetem Verhalten von Websites hilfreich sein.

Unseren KI-Morning-Newsletter «Der KI News Espresso» mit den besten KI-News des letzten Tages gratis per eMail - ohne Werbung: Hier kostenlos eintragen!