Als Türöffner fungiert die Schadsoftware GuLoader, die dann im Verlauf der Infektion die Ransomware Hakbit herunterlädt, installiert und damit den Rechner des Opfers verschlüsselt. Die Angreifer weisen in ihren E-Mails darauf hin, dass der Empfänger die Nachricht auf einem PC öffnen soll, weil ein mobiles Gerät wie ein Smartphone die Datei nicht richtig darstellen könne. Dies soll den Erfolg ihrer Attacke sicherstellen, da Microsoft Office-VBA-Makros nicht auf mobilen Geräten ausgeführt werden.

Als Sendeadresse nutzen die Kriminellen eine GMX-Adresse. Nachdem GMX zur 1&1-Gruppe gehört, erhöht dies zunächst auch die Glaubwürdigkeit der eingehenden E-Mail. Die Empfänger sind in vielen Fällen in mittleren Positionen von Unternehmen tätig. Die Hakbit-Kampagne wurde an Firmen folgender Branchen versendet: Pharmazie, Recht, Finanzen, Geschäftsdienstleistungen, Einzelhandel und Gesundheitswesen. Der größte Anteil der beobachteten Hakbit-Nachrichten ging jedoch an Unternehmen aus den Branchen Informationstechnologie, Fertigung, Versicherung und Technologie.

Die Proofpoint-Sicherheitsexperten haben zudem festgestellt, dass die Mehrzahl, der in den Hakbit-Kampagnen anvisierten Positionen in irgendeiner Weise Kundenkontakt haben. Die Angreifer haben dafür öffentlich verfügbare Informationen über die Empfänger recherchiert, beispielsweise über Websites der Unternehmen sowie Anzeigen. Zum Empfängerkreis gehören Rechtsanwälte, Kundenberater, Direktoren, Versicherungsberater, Geschäftsführer und Projektmanager. Auch dies ist ein Faktor, der die Glaubwürdigkeit der E-Mails verstärkt. Gleichzeitig wird damit auch deutlich, wie gezielt Angreifer heutzutage vorgehen, um ihren potenziellen Erfolg zu maximieren.

„Bei der aktuellen Kampagne mit der Ransomware Hakbit nehmen Kriminelle Unternehmen aus Deutschland, Österreich und der Schweiz ins Visier. Sie setzen dabei auf Mails und Dokumente in deutscher Sprache,“ erklärt Michael Heuer, Vice President DACH von Proofpoint. „Bemerkenswert ist, dass es in dieser Kampagne überhaupt keinen Bezug zur aktuellen COVID-19-Pandemie gibt. Dies sollte für alle Anwender eine Warnung sein. Denn auch abseits der COVID-19 bedingten Unsicherheit, haben es Cyberkriminelle nach wie vor mit Ransomware- und anderen Cyberangriffen auf Unternehmen und private Anwender abgesehen. Während jeder bei E-Mails, deren Inhalt einen Bezug zu COVID-19 aufweist, mittlerweile Vorsicht walten lässt, sollte man sich klar machen, dass das selbstverständlich auch für alle anderen E-Mails gelten muss.“

Im Folgenden finden sich Beispiele für Köder und den Infektionsverlauf bei der Hakbit-Kampange, in der viele Nachrichten mit Betreffzeilen wie „Fwd: Steuerrückzahlung“ und „Ihre Rechnung" versandt wurden.

Dieser Köder ist auf Deutsch verfasst und missbraucht das Logo und Branding von 1&1. Die Nachricht enthält einen Microsoft Excel-Anhang namens 379710.xlsm, der bösartige Makros nutzt. Da die Makros und die Malware auf einem mobilen Gerät nicht funktionieren, wird in der Nachricht der Empfänger angewiesen, einen Computer zu verwenden, um den Anhang lesen zu können. Nach dem Öffnen des Excel-Arbeitsblatts wird der Empfänger in Deutsch und Englisch angewiesen, die Makros zu aktivieren (Abbildung 2).

Sobald die Makros aktiviert sind, lädt die Datei die Schadsoftware GuLoader herunter und führt sie aus. Dabei handelt es sich um einen relativ neuen, in VB 6.0 geschriebenen Downloader. Wenn GuLoader ausgeführt wird, lädt er die Ransomware Hakbit nach und führt sie ebenfalls aus. In der Folge werden die Dateien auf dem Rechner auf Basis von AES-256 verschlüsselt.

Die Kriminellen verlangen in ihrer Lösegeldforderung die Zahlung von 250 Euro in Bitcoin, um die verschlüsselten Dateien wieder freizugeben. Die Text-Datei enthält hierzu Anweisungen, wie das Lösegeld zu zahlen ist.

Hakbit ist ein Beispiel einer besonders gut gemachten Cyberkampagne, die auf den Menschen abzielt, anstatt technische Schwachstellen auszunutzen. Sie belegt, wie zielgerichtet Cyberkriminelle ein bestimmtes Publikum, also bestimmte Personen und Positionen im Unternehmen in bestimmten Branchen, in deren Muttersprache angreifen. Je individueller und spezifischer die für die Angriffe verwendeten E-Mails gestaltet und geschrieben werden, desto höher ist ihre Glaubwürdigkeit und somit die damit verbundene Gefahr, dass Anwender dem Köder auf den Leim gehen. Es gilt daher auch bei E-Mails ohne einen Bezug zu COVID-19 stets die Augen offen zu halten und größte Vorsicht walten zu lassen.