Microsoft deckt Schwachstelle bei CyberLink auf

Microsoft Threat Intelligence hat einen Angriff des in Nordkorea ansässigen Bedrohungsakteurs Diamond Sleet (ZINC) aufgedeckt. Die haben es geschafft, bei CyberLink einzudringen, dem Hersteller von Multimedia-Softwareprodukten. Bei der schädlichen Datei handelt es sich um ein legitimes CyberLink-Update, das so geändert wurde, dass es schädlichen Code enthält, der eine Nutzlast herunterlädt, entschlüsselt und lädt.

Die Datei, die mit einem gültigen, an CyberLink Corp. ausgestellten Zertifikat signiert wurde, wird auf einer legitimen Update-Infrastruktur von CyberLink gehostet und enthält Prüfungen, um das Zeitfenster für die Ausführung zu begrenzen und der Erkennung durch Sicherheitsprodukte zu entgehen. Bisher waren von der böswilligen Aktivität über 100 Geräte in mehreren Ländern betroffen, darunter Japan, Taiwan, Kanada und die Vereinigten Staaten.

Mittlerweile ist da aber eingegriffen worden. Das Zertifikat von CyberLink wurde als ungültig klassifiziert, der Payload, der auf Github lagerte, wurde entfernt und auch der Microsoft Defender Antivirus erkennt die Malware als Trojan:Win32/LambLoad. Wer es etwas technischer mag, der kann bei Microsoft einsteigen.

Transparenz: In diesem Artikel sind Partnerlinks enthalten. Durch einen Klick darauf ge­lan­gt ihr direkt zum Anbieter. Solltet ihr euch dort für einen Kauf entscheiden, erhalten wir ei­ne kleine Provision. Für euch ändert sich am Preis nichts. Partnerlinks haben keinerlei Einfluss auf unsere Berichterstattung.