HP warnt Urlauber vor Würmern in ihren Cookies
HP Wolf Security-Studie deckt gefälschte Reisebuchungs-Websites mit bösartigen Cookie-Popups auf, die es auf Urlauber abgesehen haben, bevor die Sommerferien beginnen.
Der neueste "HP Threat Insights Report" zeigt, dass gefälschte Reise-Websites mit bösartigen Cookie-Zustimmungsbannern verwendet werden, um die Kontrolle über die Geräte von Urlaubsbuchern zu übernehmen - Bericht zeigt, dass Bedrohungsakteure Windows-Bibliotheksdateien verwenden, um Malware als PDF-Dateien in vertraut wirkenden lokalen Ordnern wie "Dokumente" zu tarnen
HP (Hewlett-Packard) hat ihren neuesten Threat Insights Report veröffentlicht, aus dem hervorgeht, dass Angreifer weiterhin die "Klickmüdigkeit" von Nutzern ausnutzen – insbesondere in schnelllebigen, zeitkritischen Browsing-Momenten wie der Buchung von Reisen. Anhand von Analysen realer Angriffe unterstützt der Bericht Unternehmen, mit den neuesten Techniken von Bedrohungsakteuren in der sich schnell verändernden Cyberkriminalitätslandschaft Schritt zu halten. Angreifer setzen diese Techniken ein, um sich der Entdeckung zu entziehen und PCs zu übernehmen (Diese Daten wurden von Januar bis März 2025 von zustimmenden HP Wolf Security1-Kunden und einer unabhängigen Untersuchung des HP Threat Research Teams gesammelt).
Der Report beschreibt eine Untersuchung verdächtiger Domains – im Zusammenhang mit einer früheren CAPTCHA-Kampagne –, bei der gefälschte Reisebuchungs-Websites aufgedeckt wurden. Diese gefälschten Websites imitieren in ihrem Branding booking.com. Der Inhalt wird jedoch unscharf dargestellt. Dazu zeigt die Site ein trügerisches Cookie-Banner, das die Benutzer dazu verleiten soll, auf "Akzeptieren" zu klicken, was den Download einer bösartigen JavaScript-Datei auslöst.
Beim Öffnen der Datei wird XWorm installiert, ein Fernzugriffstrojaner (RAT), der den Angreifern Kontrolle über das Gerät gibt, einschließlich des Zugriffs auf Dateien, Webcams und Mikrofone sowie der Möglichkeit, weitere Malware zu installieren oder Sicherheitstools zu deaktivieren.
Die Kampagne wurde erstmals im 1. Quartal 2025 entdeckt und fiel damit in die Hauptbuchungszeit für Sommerurlaube – eine Zeit, in der die Nutzer besonders anfällig für reiserelevante Köder sind. Die Kampagne ist jedoch nach wie vor aktiv. Es werden immer wieder neue Domains registriert und für die gleichen buchungsbezogenen Köder verwendet.
Patrick Schläpfer, Principal Threat Researcher im HP Security Lab, kommentiert: "Seit der Einführung von Datenschutzbestimmungen wie der DSGVO sind Cookie-Aufforderungen so normal geworden, dass die meisten Nutzer sich angewöhnt haben, erst zu klicken und dann zu denken. Indem sie das Erscheinungsbild einer Buchungswebsite zu einem Zeitpunkt imitieren, an dem die Urlauber sich beeilen, ihre Reisepläne zu schmieden, benötigen Angreifer keine fortschrittlichen Techniken – nur eine gut getimte Aufforderung und den Instinkt des Benutzers, zu klicken."
Auf der Grundlage von Daten von Millionen von Endgeräten, auf denen "HP Wolf Security" läuft, entdeckten HP-Bedrohungsforscher außerdem:
>> Impostor-Dateien: Angreifer nutzten Windows Library-Dateien, um Malware in vertrauten lokalen Ordnern wie "Dokumente" oder "Downloads" zu verstecken. Den Opfern wurde im Windows Explorer ein Popup-Fenster angezeigt, das einen entfernten WebDAV-Ordner mit einer PDF-ähnlichen Verknüpfung lud, die beim Anklicken Malware startete.
>> Die PowerPoint-Falle imitiert das Öffnen von Ordnern: Eine bösartige PowerPoint-Datei, die im Vollbildmodus geöffnet wird und den Start eines Standardordners imitiert. Der Klick der Benutzer, um die Ansicht zu verlassen, löst ein Archiv-Download aus, der ein VBScript und eine ausführbare Datei enthält. Diese ruft eine auf GitHub gehostete Nutzlast ab, um das Gerät zu infizieren.
>> MSI-Installer auf dem Vormarsch: MSI-Installer gehören mittlerweile zu den meistgenutzten Dateitypen für die Verbreitung von Malware, was vor allem auf die ChromeLoader-Kampagnen zurückzuführen ist. Diese Installationsprogramme werden häufig über gefälschte Software-Websites und Malvertising verbreitet und verwenden gültige, kürzlich ausgestellte Code-Signatur-Zertifikate, um vertrauenswürdig zu erscheinen und Windows-Sicherheitswarnungen zu umgehen.
Durch die Isolierung von Bedrohungen, die sich den Erkennungstools auf PCs entzogen haben, aber dennoch eine sichere Entschärfung von Malware in sicheren Containern ermöglichen, verfügt HP Wolf Security1 über einen spezifischen Einblick in die neuesten Techniken von Cyberkriminellen. Bis heute haben Kunden von HP Wolf Security1 auf über 50 Milliarden E-Mail-Anhänge, Webseiten und heruntergeladene Dateien geklickt, ohne dass ein Datenleck gemeldet wurde.
Dr. Ian Pratt, Global Head of Security for Personal Systems bei HP Inc. kommentiert: "Benutzer sind zunehmend desensibilisiert gegenüber Pop-ups und Genehmigungsanfragen, was es Angreifern erleichtert, sich einzuschleichen. Oft sind es keine ausgefeilten Techniken, sondern Routinen, die Benutzer überraschen. Je anfälliger diese Interaktionen sind, desto größer ist das Risiko. Die Isolierung risikoreicher Momente, wie das Klicken auf nicht vertrauenswürdige Inhalte, hilft Unternehmen, ihre Angriffsfläche zu reduzieren, ohne jeden Angriff vorhersehen zu müssen." (Hewlett-Packard: ra)
eingetragen: 26.06.25
Hewlett-Packard: Kontakt und Steckbrief
Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.