[ziesell]

Via Typosquatting: Angreifer verbreiten Zenrat-Malware als Bitwarden-Setup

Die als Bitwarden-Setup getarnte Malware Zenrat sammelt unter anderem Browser- und Zugangsdaten von Windows-Systemen.



Cyberkriminelle haben eine neue Malware namens Zenrat über gefälschte Webseiten verbreitet, die jener des weit verbreiteten Passwortmanagers Bitwarden nachempfunden sind. Bei der Schadsoftware handelt es sich um einen Remote-Access-Trojaner (Rat), der unter anderem dem Diebstahl von Systeminformationen sowie Browser- und Zugangsdaten von Windows-Nutzern dient und an einen vom Angreifer kontrollierten Server übermittelt.

Entdeckt wurde Zenrat einem Bericht von Bleeping Computer zufolge von Sicherheitsforschern des Cybersecurity-Unternehmens Proofpoint, die im August eine Probe der Malware von einem Kollegen von Malwarebytes erhielten.

Für die Verbreitung der Schadsoftware machen sich die Angreifer offenbar Typosquatting zunutze – eine Angriffsmethode, die darauf beruht, dass die Zielpersonen eine Webadresse versehentlich falsch eintippen und daraufhin auf einer anderen Webseite landen. So weist die Domain, über die Zenrat zuletzt verbreitet wurde, mit bitwariden[.]com eine große Ähnlichkeit zur echten Domain des Passwortmanagers Bitwarden auf, der unter bitwarden.com erhältlich ist.

Zenrat zielt nur auf Windows-Nutzer

Wie die Proofpoint-Forscher in ihrem Bericht erklären, zielten die Angreifer speziell auf Windows-Nutzer ab und leiteten Personen, die andere Betriebssysteme verwenden, direkt auf eine harmlose Webseite um. Wer versucht habe, das vermeintliche Bitwarden-Setup von einem Windows-Rechner aus für Linux oder MacOS herunterzuladen, sei außerdem automatisch auf die echte Bitwarden-Webseite umgeleitet worden, hieß es weiter.

Hätten Windows-Nutzer hingegen versucht, das Windows-Setup von bitwariden[.]com zu beziehen, so hätten sie eine ausführbare und unter crazygameis[.]com gehostete Datei namens Bitwarden-Installer-version-2023-7-1.exe erhalten, die die Zenrat-Malware auf ihrem System installiert habe. Inzwischen soll die bösartige Installationsdatei dort aber nicht mehr verfügbar sein.

Ob die Zielpersonen abgesehen von unabsichtlichen Falscheingaben auch noch auf anderem Wege auf die gefälschte Bitwarden-Webseite gelangten, ist unklar. In der Vergangenheit wurden für solche Zwecke aber auch schon Werbeanzeigen von Google missbraucht. Die Ähnlichkeit der Domain zum Original sorgt in solchen Fällen dafür, dass vielen Besuchern die betrügerische Umleitung nicht sofort auffällt.

[ Link nur für registrierte Mitglieder sichtbar. Bitte einloggen oder neu registrieren ]
[ Link nur für registrierte Mitglieder sichtbar. Bitte einloggen oder neu registrieren ]
[ Link nur für registrierte Mitglieder sichtbar. Bitte einloggen oder neu registrieren ]