McAfee ClickProtect führt zu Banking-Trojaner

Schutzdienst zweckentfremdet

Es war einem Sicherheitsforscher aus Paris begegnet, ein schädliches Word-Dokument, das ihm über eine von McAfee gehostete Domain angeboten wurde, wie zdnet.de dazu berichtete. Die URL cp.mcafee.com gehört zum McAfee-Dienst ClickProtect, den das Unternehmen mit der Aussage „schützen Sie Ihr Unternehmen vor Hacking“ bewirbt.

Eigentlich ist Sinn und Zweck von ClickProtect, vor Phishing-Angriffen und Malware-Links in E-Mails zu schützen. Der Dienst soll auch verhindern, dass Nutzer gefährliche Websites besuchen. Zwar befand sich die fragliche Malware an sich auf einer Website eines Drittanbieters, dorthin gelangten Nutzer jedoch über die McAfee-Domain.

McAfee- Erklärung

In diesem Zusammenhang erklärte  ein McAfee-Sprecher, dass die Angelegenheit untersucht wird, der Dienst aber wie vorgesehen arbeite.

„In den frühen Stunden des 13. November war das fragliche Ziel noch nicht als Quelle einer Malware identifiziert worden. Im Lauf des Tages identifizierte McAfees Global Threat Intelligence Service die Website tatsächlich als Bedrohung und änderte ihren Bedrohungsstatus von ‚gering‘ zu ‚hoch'“.

Ab diesem Zeitpunkt war die Seite McAfee-Kunden nicht mehr erreichbar.

Widersprüchliche Lageeinschätzung

Dazu heißt es, dass Untersuchungen von ZDNet USA zufolge die Seite jedoch kurz nach dem Zeitpunkt, zu dem sie laut McAfee bereits blockiert wurde, noch erreichbar war. Unklar ist demnach auch, warum McAfee die Seite zwar einerseits irgendwann als gefährlich einstufte, andererseits aber noch den Download der Malware erlaubte. Mit den Widersprüchen konfrontiert ergänzte der Sprecher, der genaue zeitliche Ablauf sei noch nicht geklärt.

Banking-Trojaner Emotet

Bei der Malware, die über das schädliche Word-Dokument verteilt wurde, handelt es sich um den Banking-Trojaner Emotet. In der Vergangenheit ist der gefährliche Schädling mehrfach aktiv geworden. So hatte kürzlich auch Microsoft darauf hingewiesen, dass neue Varianten des Trojaners über Funktionen der Ransomware WannaCry: Sie können sich über eine von Microsoft bereits gepatchte Lücke im SMB-Protokoll in Unternehmensnetzwerken verbreiten.

Die Infektion der Opfer gelingt nach dem Öffnen des Word-Dokuments, mit Hilfe eines Sicherheitshinweises. Danach muss die Ausführung von  Makros aktiviert werden, um Inhalte anzuzeigen. Diese seien nicht zugänglich, weil das Dokument mit einer alten Version von Microsoft Office erstellt worden sei. Fällt ein Opfer auf diesen Trick herein, installiert er Emotet.