In den letzten Jahren sind mit der Polyglott-Technik erstellte Dateien immer h\u00e4ufiger bei Cyberangriffen aufgetaucht. Sie erm\u00f6glichen es Angreifern, Malware an E-Mail-Filtern und Dateiscannern vorbei zu schleusen, Opfer bei Phishing-Angriffen zu t\u00e4uschen und die Untersuchung von Vorf\u00e4llen zu erschweren. Um dies zu erreichen, erstellen Angreifer absichtlich eine Datei, die ein System als unterschiedliche Formate interpretieren kann, je nachdem, welches Programm sie \u00f6ffnet.\u00a0 Ein klassisches Beispiel ist eine Datei, die als PNG-Bild oder als ZIP-Archiv behandelt werden kann. Es gen\u00fcgt, die Erweiterung der Datei zu \u00e4ndern oder die Datei mit dem einen oder anderen Programm zu \u00f6ffnen.<\/p>\n
Lass uns einen Blick darauf werfen, warum Dateien wie diese \u00fcberhaupt erstellt werden k\u00f6nnen, welche Formatkombinationen bei realen Angriffen aufgetreten sind und wie sich Unternehmen vor dieser Bedrohung sch\u00fctzen k\u00f6nnen.<\/p>\n
Die Datenformate hinter Polyglott-Dateien sind selten exotisch. Es kommt auf eine geschickte Kombination g\u00e4ngiger Formate an, die zuf\u00e4llig strukturell kompatibel sind. Polyglotten machen sich in bestimmten Dateiformaten mindestens eine der folgenden Eigenarten zunutze:<\/p>\n
Das GitHub-Repository von Polydet<\/a> beschreibt zahlreiche Beispiele f\u00fcr m\u00f6gliche Dateikombinationen, um ein Polyglott zu erstellen. Unter der MITRE-Klassifikation f\u00e4llt diese Technik in die Kategorie Maskerade (T1036.008<\/a>, Dateityp Maskerade).<\/p>\n \u00d6ffentlich verf\u00fcgbare Analysen von Malware-Kampagnen enth\u00fcllen alle Arten von Polyglotten. Angreifer passen das gesamte Angriffsszenario an eine bestimmte Kombination von Dateitypen an.<\/p>\n Die Gruppe Head Mare lieferte die Malware PhantomPyramid<\/a> als ZIP-Anhang. Die Datei bestand aus ausf\u00fchrbarem Windows-Code (EXE) mit einem kleinen ZIP-Archiv, das am Ende angef\u00fcgt war. Als das Opfer das Archiv \u00f6ffnete, enthielt es eine Datei mit der Erweiterung PDF.LNK, die dann denselben Polyglott-Anhang startete \u2013 diesmal als ausf\u00fchrbare Datei.<\/p>\n Bei dem von JPCERT dokumentierten<\/a> Angriff erstellten Angreifer eine PDF-Datei, die von den meisten Scannern als PDF erkannt wurde, aber die Erweiterung DOC trug und in Office-Programmen als g\u00fcltige DOC-Datei mit b\u00f6sartigen Makros ge\u00f6ffnet wurde.<\/p>\n Bei den Angriffen zur Verbreitung der Trojaner StrRAT und Ratty<\/a> wurde ein Polyglott verwendet, das aus einem signierten Windows-Installer-Paket (MSI) mit angeh\u00e4ngtem b\u00f6sartigem Java-Code (JAR) erstellt wurde.<\/p>\n Bei den StrelaStealer-Angriffen<\/a> wurde ein Polyglott mit einer HTML-Erweiterung verwendet: eine Windows-Bibliothek (DLL) mit einem angef\u00fcgten HTML-Dokument als Lockvogel. Eine Verkn\u00fcpfung im Archiv startete die Datei zweimal: einmal \u00fcber den Startbefehl (das entspricht einem Doppelklick, wodurch ein Browser ge\u00f6ffnet wird, in dem das HTML-Dokument angezeigt wird) und einmal \u00fcber rundll32 (wodurch die sch\u00e4dliche DLL gestartet wird).<\/p>\nBeispiele f\u00fcr Polyglott-Dateien bei bekannten Cyberangriffen<\/h2>\n