Ein Bericht von Cofense behauptet, dass Angreifer Erweiterungen manipulieren, um Sicherheits-Gateways zu umgehen. Mehrschichtige Verteidigungen sind entscheidend im Kampf gegen archivbasierte Malware-Bedrohungen. Mitarbeiterbewusstsein stärkt die Abwehr gegen verdächtige Archivdateien.

Die Verwendung von Archivdateien als Malware-Übermittlungsmechanismen entwickelt sich weiter und stellt eine Herausforderung für Secure Email Gateways dar, so die neue Forschung. Ein kürzlich veröffentlichter Bericht von Cofense zeigt auf, wie Cyberkriminelle verschiedene Archivformate ausnutzen, um Sicherheitsprotokolle zu umgehen, insbesondere nach einem wichtigen Update für Windows Ende 2023. Traditionell wurden .zip-Dateien am häufigsten für Malware-Kampagnen verwendet, aufgrund ihrer weiten Verbreitung und Kompatibilität mit Betriebssystemen. Jedoch hat die Einführung nativer Unterstützung für zusätzliche Formate wie .rar, .7z und .tar durch Microsoft das Arsenal der von Angreifern verwendeten Formate erweitert. Diese neuen Formate machen mittlerweile einen wachsenden Anteil an bösartigen Anhängen aus, die in SEG-geschützten Umgebungen beobachtet werden.

Warum Archive als Malware-Vektoren funktionieren?
Das Passwortschützen von Archiven ist eine gängige Taktik, die von Angreifern verwendet wird, um automatisierte Tools davon abzuhalten, den Inhalt der Datei zu analysieren. Zwischen Mai 2023 und Mai 2024 identifizierte Cofense 15 Archivformate, die in Malware-Kampagnen verwendet wurden. Während .zip-Dateien dominierend waren und bis zu 50% ausmachten, stiegen Formate wie .rar, .7z und .gz in ihrer Beliebtheit, insbesondere nach dem Update von Microsoft Ende 2023. Bestimmte Malware-Familien bevorzugen bestimmte Archivtypen. Zum Beispiel werden StrelaStealer und NetSupport RAT konsequent über .zip-Dateien übermittelt. Andere Malware, wie Informationsdiebe und Remote-Zugriffstrojaner (RATs), nutzen eine Vielzahl von Formaten, abhängig von der Angriffsmethode.

Passwortgeschützte Archive stellen eine zusätzliche Herausforderung für SEGs dar. Obwohl nur etwa 5% der beobachteten bösartigen Archive passwortgeschützt waren, entgehen diese Dateien oft der Erkennung, da SEGs Schwierigkeiten haben, eingebettete Passwörter in Lockvogel-E-Mails zu unterscheiden. Diese Taktik, kombiniert mit eingebetteten URLs, die zu Malware-hostenden Websites führen, ermöglicht es Angreifern, herkömmliche Abwehrmechanismen zu umgehen.

Um der wachsenden Bedrohung durch mit Malware beladene Archive entgegenzuwirken, wird Organisationen empfohlen, eine mehrschichtige Verteidigungsstrategie zu übernehmen. Mitarbeiterbewusstsein ist entscheidend, da gut geschulte Mitarbeiter verdächtige Dateien identifizieren können, insbesondere solche mit ungewöhnlichen Erweiterungen oder täuschenden Doppelendungen wie „docx.zip“. Organisationen sollten auch die Verwendung von Archivformaten einschränken, die keinen klaren geschäftlichen Zweck haben, wie .vhd(x)-Dateien, die selten für E-Mail-Kommunikation benötigt werden. Darüber hinaus sollten SEGs über fortschrittliche Fähigkeiten zur Analyse von tatsächlichen Dateiformaten, zur Erkennung von Diskrepanzen und zur Verwaltung von passwortgeschützten Archiven verfügen.