Sicherheit

Fake-Captcha statt Sicherheitsprüfung: BSI warnt nach Angriff auf Berliner Landes-IT

KI-Generiertes Foto

Ein Captcha soll eigentlich verhindern, dass Bots eine Webseite missbrauchen. Bei einer aktuellen Angriffskampagne wird genau dieser Sicherheitsmechanismus jedoch als Falle eingesetzt: Besucher sollen angeblich bestätigen, dass sie ein Mensch sind – und führen dabei unwissentlich Schadcode auf ihrem eigenen Rechner aus.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnt vor dieser Methode, die unter dem Namen TerminalFix bekannt ist. Die Erkenntnisse stehen offenbar auch im Zusammenhang mit dem Cyberangriff auf die Berliner Landes-IT, der Mitte August bekannt wurde.

So funktioniert die Masche mit dem falschen Captcha

Der Einstieg kann über eine kompromittierte Webseite erfolgen, die auf den ersten Blick völlig normal aussieht. Plötzlich erscheint eine angebliche Sicherheitsprüfung, beispielsweise im Stil eines bekannten Captcha-Dienstes.

Statt einfach ein Kästchen anzuklicken, wird der Besucher aufgefordert, einen Befehl in Windows Terminal oder PowerShell auszuführen. Der vermeintliche Prüfcode wird dabei in die Zwischenablage kopiert.

Genau hier liegt die Falle: Ein echtes Captcha verlangt normalerweise nicht, dass man einen Befehl in der Windows-Konsole ausführt.

Wer den Anweisungen trotzdem folgt, startet möglicherweise selbst die Schadsoftware. Die Webseite meldet anschließend sogar, dass die Prüfung erfolgreich gewesen sei. Für den Nutzer sieht es damit so aus, als wäre alles erledigt.

Im Hintergrund beginnt der eigentliche Angriff

Nach Angaben des BSI lädt der ausgeführte Befehl ein ZIP-Archiv herunter, entpackt es und startet die darin enthaltenen Dateien. Anschließend werden weitere Schadcode-Bestandteile nachgeladen.

Die Angreifer nutzen dabei verschiedene Techniken, um die Infektion möglichst unauffällig zu halten. Dazu gehört unter anderem das DLL-Sideloading, bei dem eine manipulierte DLL zusammen mit einem eigentlich legitimen Programm geladen wird. Weitere Schadcode-Bestandteile können sogar in PNG-Bilddateien versteckt sein.

Ist der Rechner erst einmal kompromittiert, kann sich die Malware dauerhaft im System festsetzen. Danach wird es besonders kritisch: Die Angreifer können versuchen, weitere Rechner, Server, Benutzerrechte und Backup-Systeme innerhalb des Netzwerks auszuspähen.

Aus einem einzelnen infizierten Arbeitsplatz kann so ein Angriff auf eine ganze Organisation werden.

Verbindung zur Ransomware-Gruppe Rhysida

Das BSI ordnet die beobachtete Kampagne dem Umfeld der finanziell motivierten Gruppe Rhysida zu. Bei den Angriffen geht es offenbar nicht nur darum, einen einzelnen Rechner zu infizieren.

Vielmehr können die Täter versuchen, sich weiter im Netzwerk auszubreiten, Daten zu stehlen und anschließend Ransomware einzusetzen. Die Kombination aus Datendiebstahl und der Drohung, gestohlene Informationen zu veröffentlichen, wird auch als Double Extortion bezeichnet.

Im Fall der Berliner Landes-IT hatte sich Rhysida zu dem Angriff bekannt. Die Gruppe forderte 30 Bitcoin, umgerechnet rund zwei Millionen Euro. Berlin erklärte, sich nicht erpressen zu lassen. Nach Ablauf des Ultimatums wurden gestohlene Daten veröffentlicht.

Die genaue Verbindung zwischen dem Berliner Vorfall und der TerminalFix-Kampagne wird derzeit weiter untersucht. Die BSI-Mitteilung beschreibt den betroffenen Fall allgemein als Angriff auf eine staatliche Institution.

Warum diese Methode so gefährlich ist

Das Besondere an TerminalFix ist, dass die Angreifer nicht unbedingt eine komplizierte Sicherheitslücke im Browser benötigen.

Stattdessen bringen sie den Nutzer dazu, den entscheidenden Schritt selbst auszuführen.

Die vermeintliche Sicherheitsprüfung erzeugt dabei Vertrauen: Man möchte nur schnell auf die Webseite, bekommt eine bekannte Captcha-Oberfläche angezeigt und folgt den Anweisungen.

Genau deshalb funktioniert diese Art von Social Engineering so gut.

Was Sie dagegen tun können

Die wichtigste Regel ist einfach: Keine Befehle ausführen, nur weil eine Webseite das für eine Captcha-Prüfung verlangt.

  • Fordert eine Webseite dazu auf, PowerShell, Windows Terminal oder die Eingabeaufforderung zu öffnen, sollten Sie die Prüfung abbrechen.

  • Kopieren Sie keine unbekannten Befehle aus Webseiten in die Windows-Konsole.

  • Halten Sie Browser, Windows und Sicherheitssoftware aktuell.

  • Wenn Sie einen solchen Befehl bereits ausgeführt haben, informieren Sie in einer Unternehmensumgebung sofort die IT. Der Rechner sollte nicht einfach als unproblematisch betrachtet werden, nur weil zunächst nichts Auffälliges passiert.

Für Administratoren empfiehlt das BSI außerdem aktuelle Endpoint- und Netzwerkschutzlösungen, eine geeignete PowerShell-Protokollierung und die Prüfung, ob ein kompromittierter Rechner bereits als Einstiegspunkt für weitere Angriffe genutzt wurde.

Fazit

Der Angriff auf die Berliner Landes-IT zeigt, wie weitreichend die Folgen einer zunächst unscheinbaren Infektion sein können.

Bei TerminalFix beginnt alles mit einer angeblichen Sicherheitsprüfung. Im Hintergrund kann daraus jedoch eine mehrstufige Angriffskette entstehen, die bis zum Datendiebstahl und zur Erpressung einer ganzen Organisation reicht.

Für normale Nutzer bleibt vor allem eine Regel wichtig: Ein Captcha, das Sie zum Ausführen eines Windows-Befehls auffordert, ist ein deutliches Warnsignal.

Lieber die Webseite schließen, als einen unbekannten Befehl auszuführen.

Weitere Informationen: Microsofts technische Analyse der TerminalFix-Kampagne · Aktuelle Informationen des Landes Berlin zum Cyberangriff