BERLIN–(BUSINESS WIRE)–Für die Cybersicherheit gilt wie fast nirgendwo sonst, Zeit ist Geld. Das Wettrennen der Verteidiger gegen die Angreifer um den geschickteren Einsatz neuartiger Technologien steht niemals still. Die ungleich schwierigere Aufgabe haben dabei die Sicherheitsspezialisten unserer Organisationen zu erfüllen. Sie müssen alle möglichen Angriffswege antizipieren, bevor sie von Angreifern ausgenutzt werden. Ein intensiver Schlagabtausch ist unumgänglich.
Anhänge von Emails sind immer wieder beliebte Angriffsvektoren. Laut einer Analyse des Sicherheitsanbieters Avanan sind in diesem Jahr ausführbare Dateien und Office-Dokumente als bösartige Anhänge so gut wie nicht mehr vorhanden – dank der soliden Bemühungen von Sicherheitsunternehmen und E-Mail-Anbietern. Microsoft deaktiviert Makros. Das bedeutet nichts anderes, als dass die IT-Welt nun eine Post-Marko-Welt ist, was für Angreifer ein sehr großer Rückschlag ist, waren sie doch sehr erfolgreich damit ihre Schadsoftware in Markos zu verstecken.
Nun sind Cyberkriminelle verstärkt auf HTML-Dateien ausgewischen. Nach Angaben der Check Point-Tochter sind 53 Prozent der bösartigen Anhänge HTML-Dateien. Diese Anhänge selbst sind nicht gefährlich, d. h. sie enthält keinen bösartigen Code. Diese Entwicklung ist bemerkenswert, waren zwar HTML-Phishing schon immer ein beliebter und gefährlicher Trend, wie nicht zuletzt die Sicherheitsforscher von Trustwave im Oktober letzten Jahres herausfanden. Die Ergebnisse zeigen etwa, dass HTML-Dateien bei Cyberkriminellen als Anhang noch beliebter als Exe-Dateien waren. Am häufigsten analysierten die Forscher HTML-Anhänge, die auf Phishing-Seiten verlinken. Microsoft hat in der Vergangenheit auch HTML-Anhänge entdeckt, bei denen Cyberkriminelle sogar Keylogger übertrugen.
Diese Entwicklungen zeigen auf eindrucksvolle Art und Weise auf, dass der Wettlauf um das neuste technische Einfallstor munter weiter geht. Auch in Zukunft werden Cyberkriminelle immer wieder Wege finden Sicherheitsmaßnahmen zu umgehen, sodass Links zu schädlicher Software oder gefälschten Anmeldeportalen bei den Mitarbeitenden landen. Mit Vertrautem, mit Interessantem und mit einer betonten Dringlichkeit Verhaltensweisen herbeizuführen sind Standardtricks aus dem Social Engineering Handbuch. Hier setzt das Security Awareness Training an. Ziel der Maßnahmen ist es sichere Verhaltensweisen zu kultivieren und somit das Unternehmen sowie die Mitarbeitenden vor den Angriffen der Cyberkriminellen zu schützen. Security Awareness Training kommt dabei den Mitarbeitenden privat wie auch beruflich sehr zu Gute.
