Manipulierte TamperedChef-Malware in gefälschtem PDF-Editor zielt auf europäische Organisationen ab

Eine neue Malware-Kampagne namens TamperedChef nimmt europäische Organisationen ins Visier.
Über einen gefälschten PDF-Editor namens AppSuite PDF Editor verbreitet, gelangt die Schadsoftware über manipulierte Websites und sogar durch Google-Ads-Kampagnen zu den Opfern.
Die auf das Abgreifen von Zugangsdaten spezialisierte Malware stellt ein erhebliches Risiko für Unternehmen in verschiedensten Branchen dar.

Wie TamperedChef funktioniert

Angreifer haben mehrere gefälschte Websites eingerichtet, um das manipulierte PDF-Tool zu verbreiten. Nach der Installation bleibt die Malware etwa 56 Tage inaktiv – ein Zeitraum, der der typischen Dauer von Google-Ads-Kampagnen entspricht. Durch diese Verzögerung gelingt es ihr, bei frühen Sicherheitsprüfungen unentdeckt zu bleiben.

Wenn TamperedChef aktiviert wird:

• Erstellt Persistenz über Windows-Registry-Einträge und geplante Tasks.
• Stiehlt Browser-Anmeldedaten, Session-Cookies und sensible Informationen, indem es Browser-Prozesse beendet und die DPAPI ausnutzt.
• Führt Systemaufklärung durch, um installierte Sicherheitslösungen zu identifizieren.
• Dient als Backdoor zur Auslieferung zukünftiger Schadmodule.

Warum das wichtig ist

Bestätigte Infektionen haben bereits Unternehmen in Europa betroffen. Die lange Ruhephase der Malware ermöglicht es Angreifern, unbemerkt Kontrolle aufzubauen und sich seitlich im Netzwerk zu bewegen. Ihre fortschrittlichen Verschleierungstechniken machen eine Erkennung durch herkömmliche Antiviren-Programme äußerst schwierig.

Unmittelbare Maßnahmen zur Risikominimierung

Um das Infektionsrisiko zu verringern, sollten Sie sofort die folgenden Maßnahmen ergreifen:

1. Blockieren oder überwachen Sie Downloads von AppSuite PDF Editor und ähnlichen Tools aus nicht verifizierten Quellen.
2. Warnen Sie Mitarbeiter – insbesondere jene, die häufig externe Software herunterladen – vor dem Risiko gefälschter PDF-Editoren.
3. Ergänzen Sie Erkennungsmechanismen für Persistenz-Indikatoren, wie ungewöhnliche Registry-Einträge oder geplante Tasks, die auf PDFEditorUpdater verweisen.
4. Setzen Sie verhaltensbasierte Erkennungstools (EDR, Sysmon) ein, um folgende Aktivitäten zu markieren:
   - Registry-Autorun-Einträge
   - Erzwungene Beendigung von Browsern und DPAPI-Zugriffsversuche
   - Verdächtige ausgehende Netzwerkverbindungen
5. Erzwingen Sie Application Whitelisting und strikte Installationsrichtlinien für Drittanbieter-Tools.
6. Melden Sie verdächtige Aktivitäten umgehend an Ihr IT-Sicherheitsteam.

Wie Nomios helfen kann

Nomios unterstützt Organisationen bei der Abwehr fortschrittlicher Bedrohungen wie TamperedChef mit modernen Cybersecurity-Lösungen und Managed Services. Unser Managed Detection and Response (MDR)-Service bietet Ihnen 24/7-Überwachung, fortschrittliche Bedrohungserkennung und schnelle Incident Response. Darüber hinaus stellen wir Endpoint Security, die Implementierung von EDR-Lösungen sowie Security-Awareness-Programme bereit, um das Risiko von Malware-Infektionen zu minimieren.

Wenn Sie Ihre Sicherheitsstrategie gegen Kampagnen wie TamperedChef stärken möchten, sprechen Sie noch heute mit unseren Experten.