ZYPERN / LONDON (IT BOLTWISE) – Das US-Justizministerium wirft einem mutmaßlichen russischen Täter vor, über eine Freelance-Plattform rund 255 gefälschte Konten betrieben zu haben. Darüber sollen zwischen 2016 und 2017 Excel-Anhänge mit versteckten Makros an etwa 80.000 Nutzer verteilt worden sein. Nach den Angaben der Anklage soll die Ausführung der Makros Malware nachgeladen haben und dabei Daten exfiltriert worden sein. Der Angeklagte wurde aus Zypern in die USA ausgeliefert, um sich unter anderem Vorwürfen wegen Identitätsmissbrauch zu stellen.
Im Zentrum der aktuellen Strafverfolgung steht ein vergleichsweise alltäglicher Angriffsweg: vermeintliche Arbeitsangebote auf einer beliebten Freelance-Plattform, die in der Praxis als Verteiler für Schadcode dienten. Nach den Angaben des US-Justizministeriums soll ein mutmaßlicher russischer Staatsangehöriger zwischen 2016 und 2017 ungefähr 255 Fake-Accounts genutzt haben, um Excel-Dateien mit schädlichem Inhalt an rund 80.000 Nutzer zu bringen. Auffällig ist dabei nicht nur die Zielgröße, sondern auch die Wahl des Dateiformats, denn Excel-Anhänge sind im beruflichen Alltag ein „Normalfall“ und damit besonders geeignet, Misstrauen zu senken. Dass in den Akten von Tausenden infizierten Computern die Rede ist, zeigt zudem, wie gut sich ein skalierbares Verteilschema auf eine große Nutzerbasis ausrollen kann.
Technisch beschreibt die Anklage einen mehrstufigen Ablauf, der an der Schnittstelle zwischen Dateiformat und Office-Ausführungspolitik ansetzt. Demnach sollen E-Mails mit Excel-Anhängen versendet worden sein, deren Öffnen die Empfänger dazu veranlasst hätte, ein Makro auszuführen. Dieses Makro wiederum soll anschließend eine von zwei Malware-Varianten nachgeladen haben: eine Abwandlung von TVRAT, das auch als TeamSpy bekannt ist, oder DarkVNC. Beide Familien dienen laut Anklagebetreuung als Remote-Access-Tool, also als Grundlage für Fernsteuerung infizierter Systeme. Gleichzeitig wird die klassische „Post-Exploitation“-Phase betont: Die Malware soll dabei nicht nur Zugriff gewährt, sondern auch gestohlene Daten über Command-and-Control-Server exfiltriert haben.
Ein Detail der Anklage macht deutlich, wie eng der Angriff mit der Identitäts- und Datenökonomie der Opfer verzahnt war. Im Shared-Document-Kontext, so die Darstellung, soll ein Dokument in dem für die Kampagne genutzten E-Mail-Konto neben anderen Informationen auch E-Commerce-Login-Daten enthalten haben. Dazu kamen persönlich identifizierbare Informationen für Hunderte Betroffene. Solche Kombinationen sind für Angreifer besonders wertvoll, weil sie nicht bei einmaligen „Beweisen“ für einen Zugriff stehen bleiben, sondern direkt die nächste Monetarisierungsstufe vorbereiten: Konten können übernommen, Zahlungs- oder Bestellprozesse missbraucht und Identitäten wiederverwendet werden. Dass zudem etwa die Hälfte der infizierten Rechner in den USA verortet sein soll, unterstreicht die grenzüberschreitende Reichweite von Kampagnen, die über Plattformen und standardisierte Dateiformate funktionieren.
Dass der strafrechtliche Fall inzwischen auch prozessual international aufgezogen wird, verdeutlicht der konkrete Verfahrensstand: Der mutmaßlich Beschuldigte, 40 Jahre alt, soll aus Zypern ausgeliefert worden sein, um sich vor einem US-Verfahren zu verantworten. In diesem Kontext geht es laut Anklage unter anderem um Verschwörung zu Drahtbetrug sowie um aggravated identity theft. Wichtig für die Einordnung: Bis zu einer rechtskräftigen Entscheidung bleibt dies der Rahmen der Vorwürfe. Für Unternehmen und Sicherheitsverantwortliche ist jedoch unabhängig vom Ausgang des Verfahrens die operative Lehre relevant: Angriffe dieser Art leben davon, dass Makros und Inhalte in Office-Dateien in vielen Umgebungen lange Zeit als „benutzerinitiierte“ Aktionen galten. Genau dort setzen Schutzmechanismen an, etwa indem Office-Makros aus nicht vertrauenswürdigen Quellen standardmäßig blockiert werden, statt sie dem Anwender automatisch zur Ausführung anzubieten.
Das Vorgehen erinnert zugleich an einen breiteren Trend in der Malware-Ökonomie: Statt auf komplexe Zero-Day-Exploits zu setzen, werden oft recht zuverlässige Standardvektoren genutzt und dann über Social Engineering sowie bekannte Dateiinteraktionen skaliert. Dass in den Akten ein TVRAT/TeamSpy- und ein DarkVNC-Nachladeszenario gegenübergestellt werden, verweist auf die Flexibilität solcher Tätergruppen: Je nach Opferumgebung oder Kampagnenphase kann ein anderes Remote-Access-Modul gewählt werden. In der Praxis bedeutet das für Blue-Teams, dass Signaturen allein nicht reichen. Entscheidend sind Anzeichen für Makroausführung, ungewöhnliche Prozesse im Kontext von Office-Anwendungen und später Netzwerkverbindungen zu Command-and-Control-Infrastrukturen. Wenn außerdem Plattform- und E-Mail-Konten als „Werkzeuge“ in einem gemeinsamen Schema dienen, sollte auch die Forensik über mehrere Accounts hinweg konsistent ausgerollt werden.
Für die Unternehmensseite wird damit ein harter Zielkonflikt sichtbar: Office-Funktionalität ist produktivitätskritisch, während Makros historisch wiederholt als Einfallstor missbraucht wurden. In den letzten Jahren haben Hersteller deshalb schrittweise Sicherheitsvoreinstellungen verschärft, einschließlich der Blockade von VBA-Makros aus dem Internet. Der konkrete Fall liefert dafür eine zusätzliche Begründung aus der Ermittlungsrealität: Selbst scheinbar harmlose Anhänge können als Träger dienen, der Schaden entsteht erst bei der Makroausführung. Wer heute die Risikoanalyse für „Phishing mit Office-Anhängen“ aktualisiert, sollte dabei nicht nur auf Endpunkt-Schutz setzen, sondern auch auf Konfigurationshygiene, Email-Gateways, Threat-Intelligence gegen C2-Indikatoren und konsequentes Monitoring von Makro-Events. Dazu passt, dass Exfiltration und Identitätsdaten in der Anklage im Vordergrund stehen: Es geht nicht um einen einmaligen Zugriff, sondern um Nutzwert für die Angreifer.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "US erhebt Anklage: Malware über Excel-Makros trifft offenbar 80.000 Nutzer" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "US erhebt Anklage: Malware über Excel-Makros trifft offenbar 80.000 Nutzer" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »US erhebt Anklage: Malware über Excel-Makros trifft offenbar 80.000 Nutzer« bei Google Deutschland suchen, bei Bing oder Google News!