Quelle: MELANI

Wie die Melde- und Analysestelle fürInformationssicherheit MELANI meldet sind wieder vermehrt Fälle von Dridex Infektionen gemeldet worden.

Dridex wendet sich an Offline-Zahlungsprogramme und benutzt diese um Überweisungen an dritte zu tätigen.

Bei den gemeldeten Fällen wurde versucht, gleich mehrere Zahlungen innerhalb kürzester Zeit zu tätigen.

Verbreitet wird Dridex vor allem über Mails mit  Office Dokumente welche mit Makros versehen sind und von vermeintlichen legitimen Absendern kommen.

Nach der Infektion sucht der Trojaner nach Offline Zahlungs-Software. Findet Dridex solche Software wird weitere Schadsoftware aus dem Internet nachgeladen, diese führt die Zahlungen schlussendlich aus.

Software folgender Hersteller ist betroffen:

Abacus
Abrantix
Alphasys
Argo-Office
Bellin
Cashcomm
CoCoNet
Crealogix
Epsitec
financesuite
Financesuite
Macrogram
Mammut
Mmulticash
Moneta
Multiversa
Myaccessweb
Omikron
Quatersoft
Softcash
Softcrew
Starmoney
Trinity

Die Tipps von MELANI zur Prävention sind:

• Verwenden Sie für offline Zahlungs-Software und eBanking einen dedizierten Computer, auf welchem Sie nicht im Internet surfen oder Emails empfangen.
• Verwenden Sie für die Visierung von Zahlungen eine Kollektivunterschrift über einen Zweitkanal (z.B. eBanking). Erkundigen Sie sich bei Ihrer Bank über entsprechende Möglichkeiten.
• Falls Sie einen Hardware-Token (z.B. Smart Card, USB-Dongle) verwenden, entfernen Sie diesen nach Gebrauch der Zahlungs-Software.
• Speichern Sie Zugangsdaten (Vertragsnummer, Passwort, etc.) für eBanking und Zahlungs-Software nicht auf dem Computer bzw. in der Software.
• Erkundigen Sie sich beim Hersteller Ihrer Zahlungs-Software über zusätzliche Sicherheitsmassnahmen und aktivieren Sie die automatischen Softwareupdates.
• Melden Sie verdächtige Zahlungen umgehend Ihrer Bank. 

Um eine Infektion mit Dridex und anderer Schadsoftware in Ihrem Unternehmen zu verhindern, empfiehlt MELANI zudem folgende Massnahmen:

• Stellen Sie sicher, dass potenziell schädliche Email Anhänge bereits auf Ihrem Email-Gateway bzw. Spam-Filter blockiert bzw. gefiltert werden. Gefährliche Email Anhänge verwenden unter anderem folgende Dateieendungen:

            .js (JavaScript)
            .jar (Java)
            .bat (Batch file)
            .exe (Windows executable)
            .cpl (Control Panel)
            .scr (Screensaver)
            .com (COM file)
            .pif (Program Information File)
            .vbs (Visual Basic Script)
            .ps1 (Windows PowerShell)
            .wsf (Windows Script File) 
            .docm (Microsoft Word mit Makros)
            .xlsm (Microsoft Excel mit Makros)
            .pptm (Microsoft PowerPoint mit Makros)         

• Versichern Sie sich, dass solche gefährlichen E-Mail-Anhänge auch dann blockiert werden, wenn diese in Archiv-Dateien wie Beispielsweise ZIP, RAR oder aber auch in geschützen Archiv-Dateien (z.B. in einem passwortgeschützten ZIP) an Empfänger in Ihrem Unternehmen versendet werden.
• Zusätzlich sollten sämtliche E-Mail-Anhänge blockiert werden, welche Makros enthalten (z.B. Word, Excel oder PowerPoint Anhänge mit Makros).