Sicherheitsanalysten haben eine dringende Warnung zu einer aktiven Ransomware-Kampagne herausgegeben, bei der makrofähige Excel-Dateien, die als Rechnungen getarnt sind, Menschen dazu verleiten, ihre eigenen Geräte zu infizieren. Der Angriff beruht auf einem bekannten, aber nach wie vor wirksamen Trick: einem Dokument, das wie eine routinemäßige Geschäftsrechnung aussieht, kombiniert mit einer Aufforderung an den Empfänger, „Inhalte aktivieren“ zu wählen, damit ein verborgenes Makro ausgeführt werden kann. Einmal aktiviert, startet dieses Makro ein Skript, das Ransomware herunterlädt und installiert, wodurch Angreifer Dateien sperren und Zahlung fordern können.

Obwohl die Technik selbst nicht neu ist, zeigt die Tatsache, dass sie weiterhin aktiv und wirksam genug ist, um eine erneute Warnung zu rechtfertigen, wie wichtig Social Engineering bei modernen Cyberangriffen nach wie vor ist. Technische Abwehrmaßnahmen haben sich im Laufe der Jahre dramatisch verbessert, doch Angreifer haben weiterhin Erfolg, indem sie auf die menschliche Urteilskraft statt auf Software-Schwachstellen abzielen.

Wie der Excel-Rechnungsbetrug funktioniert

Laut der Warnung dreht sich die Kampagne um makrofähige Excel-Dokumente, also Dateien mit der Endung .xlsm, die eingebettete Skripte namens Makros ausführen können. Makros wurden ursprünglich entwickelt, um repetitive Aufgaben in Tabellenkalkulationen zu automatisieren, doch sie werden seit Langem als Übermittlungsmechanismus für Malware missbraucht, da sie Code ausführen können, sobald ein Benutzer die Berechtigung erteilt.

In dieser Kampagne sind die bösartigen Tabellenkalkulationen so aufgemacht, dass sie wie legitime Rechnungen aussehen – ein Format, das die Wachsamkeit eines Empfängers auf natürliche Weise senkt, weil es routinemäßige Geschäftskorrespondenz nachahmt. Wenn die Datei geöffnet wird, zeigt Excel in der Regel eine Sicherheitswarnung an und blockiert Makros standardmäßig. Der Angriff gelingt nur, wenn das Opfer diesen Schutz manuell außer Kraft setzt, meist weil das Dokument einen gefälschten Hinweis enthält, der behauptet, der Inhalt sei nicht lesbar, solange Makros nicht aktiviert sind.

Sobald diese Hürde überwunden ist, löst das eingebettete Makro ein Skript aus, das einen externen Server kontaktiert, zusätzlichen bösartigen Code herunterlädt und Ransomware auf dem System des Opfers installiert. Von dort aus können Dateien verschlüsselt und gegen Lösegeld zurückgehalten werden, was je nach Zielperson persönliche Daten, Geschäftsabläufe oder beides stört.

Warum skriptbasierte Übermittlung schwer zu erkennen ist

Ein Grund, warum diese Art von Angriff hartnäckig bleibt, ist, dass skriptbasierte Übermittlung einige traditionelle Erkennungswerkzeuge umgehen kann. Anstatt die Ransomware-Nutzlast direkt in die Excel-Datei einzubetten, verwenden Angreifer das Makro als Startrampe, die bösartigen Code separat abruft. Dieser gestufte Ansatz kann dazu führen, dass das ursprüngliche Dokument für automatisierte Scan-Tools weniger verdächtig erscheint, da die wirklich schädliche Komponente erst nach der Ausführung des Skripts vorhanden ist.

Dies spiegelt einen breiteren Trend wider, bei dem Angreifer geschichtete oder getarnte Methoden nutzen, um bösartigen Code an Sicherheitssoftware vorbeizuschleusen. In einem separaten Fall, über den vpn.social berichtete, nutzten russische Hacker einen gefälschten nuklearen Prompt, um KI-Scanner zu täuschen, der in ein bösartiges Skript eingebettet war – ein weiteres Beispiel dafür, dass Bedrohungsakteure ihre Nutzlasten gezielt so konstruieren, dass sie automatisierte Abwehrmaßnahmen verwirren oder umgehen, anstatt sich allein auf brachiale technische Exploits zu verlassen.

Was das für Sie bedeutet

Für Alltagsnutzer und kleine Unternehmen ist diese Kampagne eine Erinnerung daran, dass Ransomware nicht immer einen ausgeklügelten technischen Exploit erfordert. Oft genügt es, dass eine Person bei einer Datei, die legitim aussieht, auf „Inhalte aktivieren“ klickt. Rechnungen, Quittungen und Abrechnungsdokumente sind besonders wirksame Köder, weil sie ein Gefühl von Dringlichkeit oder routinemäßiger Verpflichtung erzeugen, wodurch Menschen seltener innehalten und die Datei vor dem Öffnen genau prüfen.

Wenn Ihre berufliche oder private E-Mail regelmäßig Rechnungen, Bestellungen oder finanzielle Anhänge enthält, sollten Sie diese Kampagne ernst nehmen. Ransomware, die über ein kompromittiertes Gerät verbreitet wird, kann sich auf gemeinsam genutzte Laufwerke, cloud-synchronisierte Ordner und verbundene Netzwerke ausbreiten, was bedeutet, dass ein einziger unachtsamer Klick Konsequenzen weit über einen einzelnen Computer hinaus haben kann.

Konkrete Handlungsempfehlungen

Behandeln Sie unerwartete Rechnungsanhänge mit Vorsicht, insbesondere von unbekannten Absendern oder unbekannten E-Mail-Adressen, die echte Lieferanten nachahmen. Aktivieren Sie niemals Makros in einem Office-Dokument, es sei denn, Sie sind sich der Quelle sicher und haben einen konkreten geschäftlichen Grund dafür. Lassen Sie die Makroeinstellungen in Excel und anderen Office-Anwendungen standardmäßig deaktiviert, da die meisten legitimen Dokumente sie nicht benötigen. Pflegen Sie regelmäßige Offline-Backups wichtiger Dateien, damit Ransomware nicht Ihre einzigen Kopien als Geisel halten kann. Halten Sie Endpoint-Sicherheitssoftware und Betriebssysteme aktuell, da viele Erkennungswerkzeuge kontinuierlich weiterentwickelt werden, um diese sich entwickelnden skriptbasierten Übermittlungsmethoden zu erkennen.

Ransomware-Kampagnen wie diese haben Erfolg, indem sie Vertrauen und Routine ausnutzen, nicht nur technische Schwächen. Wachsam gegenüber unerwarteten Anhängen zu bleiben, Absender vor dem Öffnen von Dateien zu überprüfen und Makros standardmäßig deaktiviert zu lassen, gehören nach wie vor zu den einfachsten und wirksamsten Verteidigungsmaßnahmen, die sowohl Einzelpersonen als auch Organisationen zur Verfügung stehen.