Schützen Sie sich vor dem neuen FileFix-Angriff, der Windows-Benutzer dazu verleitet, die Malware StealC zu installieren

Eine ausgeklügelte Angriffsmethode, der sogenannte FileFix-Angriff, zielt derzeit auf Windows-Nutzer ab und verleitet sie erfolgreich zur Installation des Infostealers StealC. Es sind verschiedene Social-Engineering-Kampagnen aufgetaucht, die diese Technik zur Ausführung des Angriffs nutzen. Dieser Artikel erläutert die Mechanismen des FileFix-Angriffs und bietet Strategien zum Schutz Ihrer Geräte.

Den FileFix-Angriff verstehen: So verbreitet er die StealC-Malware

Aufbauend auf der vorherigen Version, die das Windows Mark of the Web (MoTW) umging, nutzt der aktuelle FileFix-Angriff Schwachstellen im Dateisystem aus, um ein schädliches Image herunterzuladen, das den Infostealer StealC – analog zu EDDIESTEALER – aktiviert. Nach der Ausführung birgt diese Methode erhebliche Risiken, da sie im Arbeitsspeicher des PCs agiert und so von herkömmlichen Sicherheitsmaßnahmen nicht erkannt wird.

Hier ist eine detaillierte Aufschlüsselung des Ablaufs des FileFix-Angriffs:

Das Opfer wird auf eine Phishing-Seite geleitet, die oft als Warnung vor einer Facebook-Kontosperrung getarnt ist. Benutzer werden aufgefordert, einen bestimmten Dateipfad in den Datei-Explorer zu kopieren, um angeblich einen Vorfallsbericht anzuzeigen. Dieser Pfad verbirgt jedoch eine schädliche Nutzlast und erscheint dem Benutzer daher legitim.

Gefälschte Benachrichtigung zur Sperrung eines Facebook-Kontos — Bildquelle: Acronis

Bei der Ausführung löst der Angriff einen PowerShell-Befehl aus, um eine Bilddatei herunterzuladen, in die ein verstecktes Skript eingebettet ist.
PowerShell dekodiert anschließend den verborgenen Inhalt und lädt die StealC-Malware in den Systemspeicher. Dadurch hinterlässt sie keine Spuren auf der Festplatte und macht eine Erkennung nahezu unmöglich. Dieser spezielle Infostealer zielt auf sensible Daten wie Browser-Cookies, gespeicherte Anmeldeinformationen und Informationen aus Kryptowährungs-Wallets ab.

Während beim FileFix-Angriff der Infostealer StealC und Facebook-Phishing-Seiten im Vordergrund stehen, ist sein Framework vielseitig genug, um für verschiedene Phishing-Operationen mit dem Ziel, unterschiedliche Malware-Varianten einzusetzen, wiederverwendet zu werden.

Schutz vor dem FileFix-Angriff

Trotz der raffinierten Natur des FileFix-Angriffs können Sie proaktive Maßnahmen ergreifen, um Ihre Sicherheit zu erhöhen. Nachfolgend finden Sie praktische Empfehlungen zum Schutz vor dieser bösartigen Kampagne:

Vermeiden Sie das Kopieren/Einfügen von Befehlen: Vermeiden Sie das Kopieren und Einfügen von Dateipfaden oder Befehlen in allen Bereichen des Betriebssystems, einschließlich Ausführen, CMD oder Datei-Explorer. Geben Sie Befehle nach Möglichkeit manuell ein, um die versehentliche Ausführung von Schadcode zu verhindern.
Verbessern Sie die PowerShell-Sicherheit: Da viele Angriffe PowerShell-Skripte ausnutzen, sollten Sie die Sicherheitseinstellungen verstärken, um die Ausführung nicht autorisierter Skripte zu verhindern. Lesen Sie eine umfassende Anleitung zur Sicherung von PowerShell.
Wählen Sie ein Antivirenprogramm mit Speicherscan: Wählen Sie eine Antivirenlösung mit Echtzeit-Speicherscan. Programme wie Bitdefender und ESET bieten leistungsstarke Speicherscan-Funktionen.
Verwenden Sie ein Standardbenutzerkonto: Führen Sie alltägliche Aufgaben mit einem Standardbenutzerkonto statt mit einem Administratorkonto aus, da letzteres anfälliger für Malware-Angriffe ist, die erhöhte Berechtigungen erfordern.

Schritte, die Sie unternehmen müssen, wenn Sie den bösartigen Befehl ausgeführt haben

Wenn Sie vermuten, dass Ihr Gerät durch den FileFix-Angriff kompromittiert wurde, ist sofortiges Handeln unerlässlich. Befolgen Sie diese Schritte systematisch, um Ihren PC und Ihre Konten zu schützen:

Trennen Sie die Internetverbindung: Durch die sofortige Trennung vom Netzwerk wird verhindert, dass der Infostealer gestohlene Daten an seinen Command-and-Control-Server (C2) überträgt. Schnelles Handeln erhöht Ihre Chancen, den Schaden zu begrenzen.
Ändern Sie Ihre Passwörter: Ändern Sie auf einem anderen, sicheren Gerät die Passwörter aller Konten, auf die Sie über Ihren infizierten PC zugreifen. Tun Sie dies unverzüglich, da Angreifer in der Regel schnell handeln, nachdem sie Zugriff auf die Anmeldeinformationen erlangt haben.
Führen Sie den Offline-Scan von Microsoft Defender aus: Ein Offline-Scan nutzt eine vertrauenswürdige Umgebung, um eine umfassende Systemprüfung durchzuführen. Greifen Sie über die Windows-Sicherheits-App auf die Scan-Option zu: Viren- und Bedrohungsschutz → Scan-Optionen → Microsoft Defender Antivirus (Offline-Scan).

Überwachen Sie Start- und laufende Prozesse: Überprüfen Sie nach dem Scan Startelemente und laufende Prozesse, um schädliche Dateien zu identifizieren und zu entfernen. Nutzen Sie Autoruns und Process Explorer, um die Prozesslegitimität zu überprüfen.

Autoruns zeigen eine Liste von Prozessen an

Windows zurücksetzen oder wiederherstellen: Wenn die vorherigen Maßnahmen das Problem nicht beheben, sollten Sie Windows zurücksetzen oder wiederherstellen, um hartnäckige Infostealer zu entfernen. Wählen Sie je nach Bedarf zwischen einer Systemwiederherstellung oder einer Neuinstallation.

Zusammenfassend lässt sich sagen, dass Angriffe wie FileFix Phishing- und Social-Engineering-Taktiken nutzen, um ihre schädlichen Befehle auszuführen. Bleiben Sie stets wachsam und vermeiden Sie unerwünschte Anfragen, die die Sicherheit Ihres Systems gefährden könnten. Der Einsatz zuverlässiger Online-Sicherheitstools kann Ihre Fähigkeit zur Bedrohungserkennung verbessern.

Quelle & Bilder