Exotische Dateien: Cyber-Bedrohungen aus unerwarteten Quellen

Angreifer entwickeln am laufenden Band neue Angriffsschemata, wie zuletzt den Diebstahl von OAuth-Token und Angriffe auf KI-Agenten. Die Klassiker verschwinden jedoch nie ganz aus ihrem Repertoire. Nach wie vor kann im Postfach Malware landen, die direkt an eine E-Mail angehängt ist oder sich hinter einem Link versteckt. Solche Angriffe erfordern noch immer eine gewisse Kreativität, und in den letzten Jahren tauchen bei Angriffen zunehmend exotische Dateiformate auf. Unbekannte Formate wirken unter Umständen weniger verdächtig. Und noch wichtiger: Viele EDR- und E-Mail-Sicherheitslösungen untersuchen solcher Formate überhaupt nicht. Darum haben sich unbekannte Dateiformate bei der Verbreitung von Malware und dem Diebstahl von Anmeldeinformationen als äußerst effektiv erwiesen.

Im Folgenden schauen wir uns Dateitypen an, die in der Erkennungsstrategie deines Unternehmens möglicherweise eine Leerstelle darstellen, obwohl sie bei realen Angriffen durchaus vorkommen.

Disk-Images

Dies ist die umfangreichste und gefährlichste Kategorie von Anhängen. Ein Disk-Image kann einen einsatzbereiten, korrekt strukturierten Satz von Dateien enthalten, der sich für verschiedene Angriffsszenarien eignet. Es wird als separates Volume (eigenständiges virtuelles Laufwerk) eingebunden, häufig mithilfe integrierter Tools des Betriebssystems. Das Opfer muss nichts extrahieren und auch keine verdächtigen Ordner auf der Festplatte erstellen.

ISO ist das vielseitigste Format und stammt aus einer Zeit, in der Multimedia-CDs boomten. ISO-Images werden nativ und ohne zusätzliche Dienstprogramme auf allen gängigen Betriebssystemen eingebunden, sei es durch einfache Tools wie den Datei-Explorer oder über die Befehlszeilenschnittstelle. Genau aus diesem Grund hängen Angreifer ISO-Dateien gerne an E-Mails dran.

Etwas seltener sind IMG-Container. Auch sie werden bei macOS oder Linux ohne zusätzliche Tools aktiviert. Unter Windows erfordern sie die Installation eines kleinen, kostenlosen Programms (z. B. OSFMount) oder verwenden WSL2 (Windows Subsystem for Linux), das in neueren Windows-Versionen integriert ist. Eine Datei mit identischem Inhalt kann auch die Erweiterung DD besitzen.

Angreifer verwenden auch VHD, ein Windows-eigenes virtuelles Disk-Format, das meist auch auf Linux-Computern funktioniert (via qemu-nbd oder guestmount). Unter macOS ist ein zusätzliches Dienstprogramm erforderlich (beispielsweise qemu-nbd), um das Image zu aktivieren. Achtung! Auf ungepatchten Windows-Systemen finden Angreifer nach dem Einbinden des Images einen gedeckten Tisch vor: Die Schwachstelle CVE-2025-24993, die bei realen Angriffen aktiv ausgenutzt wird, löst den bösartigen Code sofort aus, nachdem das Image eingebunden wurde.

Der Vollständigkeit erwähnen wir auch VMDK, das Disk-Image-Format von VMware. Bei Angriffen auf gewöhnliche Nutzer ist es allerdings weitgehend wirkungslos, da alle gängigen Betriebssysteme zusätzliche Software benötigen, um es einzubinden.

Alle genannten Image-Formate können nicht nur mit speziellen Tools, sondern auch mit Standard-Archivierungsdienstprogrammen (7-Zip oder RAR) angezeigt und entpackt werden. Nicht zuletzt darum ist die Wahrscheinlichkeit, dass Nutzer auf solche Köder hereinfallen, ziemlich hoch.

Image-Dateien sind nicht nur ein relativ unbekanntes, potenziell gefährliches Format, sondern bieten Angreifern einen weiteren Vorteil: Dateien, die unter Windows aus Disk-Images extrahiert wurden, haben häufig kein Mark of the Web (MoTW) und können daher ohne weitere Systemwarnungen gestartet werden.

Noch ein Grund, warum EPP/EDR-Lösungen bei virtuellen Maschinen und Disk-Images kein Auge zudrücken dürfen: Diese Formate werden auch in späteren Angriffsphasen eingesetzt. Manche Ransomware-Banden führen beispielsweise die Verschlüsselung komplett in einer auf dem angegriffenen Computer installierten virtuellen Maschine aus, damit Überwachungs-Tools die Aktivität im Dateisystem nicht bemerken. Der Ransomware-Stamm RagnarLocker nutzte zu diesem Zweck VirtualBox. Die CRON#TRAP-Kampagne stützte sich dagegen auf eine QEMU-Umgebung.

MS Office-Dateien

Hier geht es nicht etwa um DOC-Dateien mit Makros. Microsoft hat diese uralte Angriffsmethode mittlerweile gründlich satt. Darum werden Makros in heruntergeladenen Dokumenten inzwischen vollständig blockiert und können nur unter ziemlichem Aufwand aktiviert werden. Dafür verwendet Office Dutzende von Dateiformaten, darunter auch relativ seltene, die von Angreifern immer wieder gerne ausgenutzt werden.

Ein Beispiel sind OneNote-Dateien (.one), ein Format, das sowohl Nutzern als auch Sicherheitslösungen eher unbekannt ist. Eigentlich sind es nur einfache Notizen. Sie können jedoch eingebettete Anhänge enthalten. Und zwar nicht nur Bilder und Links, sondern auch VBS/WSF/BAT-Skripte. Normalerweise wird ein Anhang innerhalb einer Notiz als Symbol angezeigt. Angreifer überlagern ihn jedoch durch ein Bild, das eine Nachricht mit der Schaltfläche „Anzeigen“ enthält.

Auch das Excel-Add-in ist bei Angreifern ein beliebtes Office-Format. Diese Dateien verwenden die Erweiterung .xll. Eigentlich sind es aber vollwertige Dynamic Link Libraries (DLLs) für Windows und können daher umfangreiche Funktionen beinhalten. Die Opfer erhalten eine schädliche E-Mail, die wie eine Rechnung aussieht. Das Symbol deutet darauf hin, dass die Datei in Excel geöffnet wird. Wer die Sicherheitswarnung ignoriert, riskiert eine Infizierung mit einem Infostealer.

SVG-„Grafiken“

Die Beschreibung des Formats SVG (Scalable Vector Graphics) klingt völlig harmlos. Tatsächlich sind 99 % der SVG-Dateien einfach nur Logos und Symbole für Benutzeroberflächen. Im Gegensatz zu PNG oder JPG handelt es sich bei SVG-Dateien jedoch um XML-Dokumente, die nicht nur Punkte, Linien und Farben enthalten können, sondern auch JavaScript. Was das schädliche Potenzial angeht, ist SVG beinahe ebenbürtig mit einer vollständigen Webseite. Bei echten Angriffen können SVG-Dateien einen Nutzer sofort nach dem Öffnen auf eine Phishing-Seite umleiten oder die Phishing-Seite direkt rendern. Dazu wird ein Base64-codierter Block in vollständiges HTML-Format verwandelt.

Für Unternehmensportale, die den Upload von Benutzerdateien zulassen, bergen SVG-Dateien ein spezielles Risiko. Wenn das Content-Sicherheitskonzept (CSP) eines Portals zu locker ist und das Hochladen einer schädlichen SVG-Datei zulässt, kann das eingebettete JavaScript Cookies von der Seite stehlen, nicht autorisierte Inhalte einschleusen und ähnliche Angriffe orchestrieren.

Mehrsprachige Dateien

Polyglotte Dateiformate sind an sich weniger exotisch, können jedoch mehr Überraschungen enthalten, als man auf den ersten Blick vermutet. Sie werden polyglott genannt, weil Angreifer eine Datei erstellen, die auf verschiedene Weise interpretiert werden kann: Die Datei kann beispielsweise gleichzeitig ein gültiges ZIP-Archiv und eine gültige ausführbare Datei sein. Zu welchem Zweck? Die Datei soll Sicherheitslösungen entgehen und den Nutzer täuschen. Über Polyglotte haben wir in einem separaten Blog-Beitrag berichtet.

Der Hauptgewinn in unserer Übersicht geht an eine schädliche Kampagne, die den Infostealer IcedID verbreitet. Die Opfer erhalten E-Mails mit einem ZIP-Anhang, aus dem ein ISO-Disk-Image entpackt wird. Daraus wird eine CHM-Datei (Windows-Hilfeformat) extrahiert, die korrekt als mshta-Anwendung (Microsoft HTML Application Host) verarbeitet wird und dann die primäre Malware herunterlädt.

Schutz vor exotischen Dateien

Die wichtigste Voraussetzung für diese Angriffe ist, dass Sicherheitslösungen ungewöhnliche Dateiformate entweder gar nicht oder nur oberflächlich untersuchen. Wie lässt sich diese Bedrohung abwehren? Beginne einfach bei deiner Infrastruktur:

• Konfiguriere EDR-, Web- und E-Mail-Filter so, dass alle oben beschriebenen Dateiformate untersucht werden.
• Sorge dafür, dass Archive und Disk-Images genauso sorgfältig untersucht werden wie ausführbare Dateien.
• Starte potenziell gefährliche Dateitypen in einer Sandbox und konfiguriere das rekursive Entpacken verschachtelter Formate bis zum Ende der Kette: ZIP → ISO → CHM.
• Verschiebe nach Möglichkeit alle Dateiformate, die für E-Mails ungewöhnlich sind, in die Quarantäne. Dies gilt in erster Linie für Disk-Images.
• Erstelle Erkennungsregeln für eine anomale Nutzung exotischer Dateien. Ungewöhnlich kleine Disk-Images sind beispielsweise selten und sollten daher untersucht werden.
• Wirf einen Blick in die technische Dokumentation deiner Sicherheitslösungen: Komplexe Formate sollten durch eine tiefgreifende Strukturanalyse erkannt werden, nicht nur durch Magic-Byte-Prüfungen.
• Stelle eine Verhaltensanalyse bereit, die anomale, aus einem unerwarteten Kontext gestartete Ausführungsmuster und legitime Dienstprogramme erkennt. Die üblichen Verdächtigen sind mshta, git, wscript, hh und rundll32.
• SVG-Dateien benötigen eine spezielle Richtlinie. Behandle SVGs im E-Mail- und Web-Perimeter wie aktiven Inhalt. Setze auf Unternehmensportalen eine strenge CSP durch und stelle von Nutzern hochgeladene Dateien in einer separaten Subdomäne bereit. Dadurch kann ein schädliches Skript, das in eine SVG-Datei eingebettet ist, nicht auf die Sitzung im Hauptportal zugreifen.