Sicherheitsforschende haben einen ausgefeilten Angriff dokumentiert, bei dem nordkoreanische Hacker gefälschte Jobangebote als Köder einsetzen. Ziel dieser Kampagne ist es, ahnungslose Opfer dazu zu bringen, Schadcode herunterzuladen. Das Besondere an dieser Attacke ist die Kombination mit einer Windows-Kernel-Schwachstelle, die es den Angreifern ermöglicht, Sicherheitssoftware auszuschalten.
Der Angriffsablauf verläuft typischerweise so: Potenzielle Opfer erhalten eine täuschend echte Jobangebot-E-Mail, die von einer renommierten Firma zu stammen scheint. Im Anhang befindet sich oder in den Links versteckt ist Schadsoftware. Wenn ein Benutzer diese öffnet, wird der Malware-Code ausgeführt. Anschliessend nutzen die Angreifer die Windows-Lücke aus, um laufende Antivirus-Programme und andere Sicherheitstools zu deaktivieren.
Ohne funktionierende Sicherheitssoftware können die Angreifer dann ungehindert weitere Malware installieren, Daten stehlen oder das System für andere Zwecke missbrauchen. Diese Technik ist besonders tückisch, da sie Unternehmen der falschen Sicherheit wiegt: Sie glauben, durch Antivirus-Lösungen geschützt zu sein, während diese bereits ausgeschaltet wurden.
Für Administatoren und KMU-Betriebe ergeben sich mehrere praktische Konsequenzen: Zunächst sollten Windows-Systeme mit dem aktuellen Sicherheitspatch aktualisiert werden, um die Kernel-Lücke zu schliessen. Zweitens sollten Mitarbeitende intensiv geschult werden, um Phishing-E-Mails und verdächtige Jobangebote zu erkennen. Drittens empfiehlt sich eine Sicherheitsarchitektur, die über mehrstufige Schutzmechanismen verfügt, so dass das Ausschalten eines Schutzsystems nicht automatisch zu einem Sicherheitsversagen führt.