Warnung vor Phishingmails mit Qakbot/Qbot Malware

Securitymeldung
Systemname: Mail

Aktuell verbreiten sich neue, schädliche Phisingmails, die sogenannte Qakbot/Qbot Malware enthalten. Die meisten schadhaften Mails werden zwar von unseren Sicherheitssystemen abgefangen, in Einzelfällen misslingt das allerdings, da diese Phishingmails zum Teil neue Methodiken verwenden, um bestehende Sicherungsmaßnahmen zu umgehen.

Wir bitten Sie daher, eingehende E-Mails besonders sorgfältig zu prüfen und vor allem vorsichtig zu sein vor dem Öffnen von Mail-Anhängen oder Anklicken von Links.

Wir geben Ihnen gerne ein paar Beispiele an denen Sie aber mittels verschiedener Prüfungen diesen Angriffsvektor besser erkennen können.

Merkmale dieser Phishingmails können sein:

  1. Absende-Adresse: Die Absende-Adresse passt meistens nicht zum Namen des erwarteten Kommunikationspartners.
  2. Betreff: Meist tauchen doppelte Buchstaben im ursprünglichen Betreff auf.
  3. Erwartete Handlung: In der Mail werden Sie meistens aus dem Kontext gerissen zum Herunterladen oder Öffnen einer verschlüsselten Datei aufgefordert.
  4. Vorangegangene Kommunikation: Die Mails beziehen sich auf vorangegangene Kommunikation mit einer Ihnen bekannten Person. Das Vorgehen nennt sich Thread Hijacking. Meist fehlen jedoch Umlaute in den zitierten Texten. Oft lässt sich auch nicht mehr nachvollziehen wann die letzte Kommunikation mit der ursprünglichen Kontaktperson stattgefunden hat.
Screenshot Qbot mit den oben erwähnten Erkennungsmerkmalen:1. Absende-Adresse: Die Absende-Adresse passt meistens nicht zum Namen des erwarteten Kommunikationspartners. Beispiel: Fernuni hagen <nesenesrweook.iakbjlu@pantaujkn.com> 2. Betreff: Meist tauchen doppelte Buchstaben im ursprünglichen Betreff auf. Beispiel: [Extern] Wichtige Hinwweisse zu den 3. Erwartete Handlung: In der Mail werden Sie meistens aus dem Kontext gerissen zum Herunterladen oder Öffnen einer verschlüsselten Datei aufgefordert. Beispiel: Hi. Hier sind Dokumente für Ihre Filiale: https://fis***ios.ch/ia/mtcuu Dateikennwort BN*** 4. Vorangegangene Kommunikation: Die Mails beziehen sich auf vorangegangene Kommunikation mit einer Ihnen bekannten Person. Das Vorgehen nennt sich Thread Hijacking. Meist fehlen jedoch Umlaute in den zitierten Texten. Oft lässt sich auch nicht mehr nachvollziehen wann die letzte Kommunkation mit der ursprünglichen Kontaktperson stattgefunden hat. Beispiel: Liebe Studierende, auf diesem Wege informieren wir Sie, dass die Modulabschlussprfungen der Fakultt fr Wirtschaftswissenschaft im September – abhngig vom einzelnen Modul – entweder online oder in Prsenz durchgefhrt werden.
(Abb: Beispielmail Qbot – Klick um Bild in originaler Größe anzuzeigen)

Bislang haben wir in sehr vielen untersuchten Fällen Hinweise gefunden, dass die Kommunikationspartner Opfer von Identitätsdiebstahl (Mailadresse + Passwort) geworden sind. In keinem der untersuchten Fälle gab es Hinweise, dass die Daten auf unserer Seite kompromittiert worden sind.

Durch folgende Merkmale ist die automatisierte Kategorisierung durch unsere Sicherheitssysteme nicht in allen Fällen zuverlässig möglich:

  • Betreff ist nicht einheitlich
  • Absende-Adressen sind meist unterschiedlich
  • Text ist nicht einheitlich
  • Malware wird teilweise als Anhang (verschlüsseltes ZIP-Archiv), teilweise auch mit Links zu Webseiten, von wo aus der Schadcode dann heruntergeladen wird, auch sind die jeweiligen Dateien randomisiert

Falls Sie sich unsicher beim Öffnen von Mail sind, wenden Sie sich gerne schriftlich an den ZDI Helpdesk (helpdesk@fernuni-hagen.de) und leiten uns die Originalmail als Anhang weiter.



Jetzt updaten: Zero-Day-Fehler im Kernel von iOS und iPadOS wird ausgenutzt

Securitymeldung
Systemname: iPhone, iPad

iOS und iPadOS 16.1 beheben einen schwerwiegenden Kernel-Bug in den Betriebssystemen für iPhone und iPad. Derzeit gibt es noch keine Aussage darüber, ob die schwerwiegende Sicherheitslücke nur unter iOS/iPadOS 16.0 auftritt, oder auch ältere Betriebssystemversionen davon betroffen sind.

Wir bitten daher alle Nutzer*innen von mobilen Endgeräten des Herstellers Apple, zeitnah auf die aktuellste Version 16.1 zu aktualisieren.

Unter Einstellungen -> Allgemein -> Softwareupdate können Sie die neuste Version auswählen und installieren.

Falls Ihr Gerät die Version 16.1 nicht unterstützt, oder Sie allgemein Fragen zu dem Thema haben, kontaktieren Sie uns bitte per E-Mail an den Helpdesk (helpdesk@fernuni-hagen.de) mit dem Betreff „Sicherheitslücke iOS/iPadOS MDM“.

Weitere Informationen dazu finden Sie hier:

https://www.heise.de/news/Zero-Day-Fehler-im-Kernel-von-iOS-und-iPadOS-wird-ausgenutzt-7319500.html

 



Jetzt updaten: Apple warnt vor Sicherheitslücken – Mac, iPhone und iPad betroffen

Securitymeldung
Systemname: iPhones, iPads, Macs

Apple hat am vergangenden Mittwoch außerplanmäßig Sicherheitsupdates für Mac, iPhone und iPad bereitgestellt.

Das Softwareupdate schließt hierbei Sicherheitlücken, die nach Angaben des Unternehmens bereits aktiv ausgenutzt worden sein sollen.

Um die bekannten Sicherheitslücken auszunutzen reicht es nach aktuellen Informationen bereits eine manipulierte Webseite aufzurufen, um auf dem Gerät Schadcode auszuführen und dadurch zu übernehmen.

Bitte prüfen Sie daher Ihre Apple-Geräte dingend auf ausstehende Updates und installieren Sie diese schnellstmöglich.

Die aktuellen Betriebssystem-Versionen sind iOS 15.6.1 beim iPhone und iPadOS 15.6.1 bei den iPads sowie MacOS Monterey 12.5.1 bei Macs.

Für die Beriebssysteme MacOS BigSur und Catalina stellt Apple Sicherheitsupdates für Safari bereit.

Weitere Informationen beim Hersteller finden Sie hier:

Oder auf heise online:



Adobe schließt kritische Sicherheitslücken

Adobe empfiehlt Anwendern, Updates zügig einzuspielen, um nicht Opfer von Angriffen mit Malware zu werden.

Betroffen sind z.B. Adobe Acrobat und Reader, Photoshop, RoboHelp und Character Animator.

Wir empfehlen Ihnen daher dringend Ihre installierten Adobe-Anwendungen zu aktualisieren.

Dies können Sie lokal durchführen: Öffnen von Creative Cloud Desktop ->  Applikationen -> Alle Applikationen. In der Liste der von Ihnen installierten Anwendungen finden Sie die Update-Möglichkeiten.



Erneute Aufforderung zur Aktualisierung der Zoom App

Aufgrund von Sicherheitslücken in Zoom werden Nutzer*innen erneut beim nächsten Start der Zoom App aufgefordert auf die neueste Version zu aktualisieren. Dies gilt sowohl für Personen mit einem Zoom-Konto der FernUni, als auch für Personen, die als Gast an einem Zoom-Meeting der FernUni teilnehmen.

Genauere Informationen zum Hintergrund erhalten Sie bei heise.de.



✓Abgeschlossen

Schließen einer kritischen Sicherheitslücke innerhalb der Telefonanlage am heutigen Abend (9. März)

Cisco hat eine kritische Sicherheitslücke in einer Komponente der Telefonanlage entdeckt, die durch den Einsatz der Jabber App genutzt wird. Einen Patch zur Absicherung dieser kritischen Sicherheitslücke hat Cisco zur Verfügung gestellt. Dieser wird nach der heutigen Klausurphase (09. März) um 17:45 Uhr in die Telefonanlage eingespielt. Der Vorgang wird etwa 30 Minuten Zeit in Anspruch nehmen. Während dieser Zeit ist ein telefonieren über die Jabber App nicht möglich. Die Telefonie über das Bürotelefon ist hiervon nicht betroffen und steht während des Einspielens des Patches weiterhin zur Verfügung. Das ZDI bittet darum, dies bei der Planung von Telefonaten zu berücksichtigen und bittet um Verständnis.