HTML-Anhänge funktionieren nach wie vor als gefährlichster Dateityp

Hypertext Markup Language – kurz HTML – dient dazu, online dargestellte Inhalte zu erstellen und zu strukturieren. Dies passiert häufig auch in der E-Mail-Kommunikation, so in automatisiertem Content wie Newslettern oder Marketingdokumenten, die Benutzer regelmäßig erhalten. Nun kann man aber davon ausgehen, dass praktische, gut gedachte Technologien meistens auch bei Kriminellen sehr beliebt sind.

Und tatsächlich ist HTML ein über die Maßen willkommenes Angriffstool der Art, dass gut gestaltete Nachrichten, kompromittierte Webseiten und bösartige HTML-Dateianhänge Benutzer mittels Phishing täuschen sollen, um etwa den Diebstahl von Anmeldedaten zu verschleiern. Mehr noch: Innerhalb der letzten zehn Monate hat sich die Zahl der von Barracuda-Systemen gescannten HTML-Anhänge, die sich als bösartig herausstellten, mehr als verdoppelt. Waren es im Mai vergangenen Jahres bereits 21 Prozent, stieg die Zahl der im Ergebnis auf bösartig gescannten HTML-Dateien im März 2023 auf 45,7 Prozent.

Viele verschiedene Attacken mit individuellen Dateien

Öffnet der Empfänger die HTML-Datei, wird er über mehrere Umleitungen über JavaScript-Bibliotheken, die an anderer Stelle gehostet werden, auf eine Phishing-Website oder andere bösartige Inhalte geleitet, die die Kriminellen kontrollieren. Die Benutzer werden aufgefordert, sich anzumelden, um auf gewünschte Informationen zugreifen oder eine Datei herunterladen zu können, die möglicherweise Malware enthält. Doch es geht immer noch perfider. In einigen Fällen haben Barracuda-Forscher beobachtet, dass die HTML-Datei selbst ausgeklügelte Malware enthält, in die die gesamte bösartige Nutzlast eingebettet ist, einschließlich potenter Skripte und ausführbarer Dateien. Diese Angriffstechnik kommt mittlerweile im Gegensatz zu extern gehosteten JavaScript-Dateien immer häufiger zum Zuge. Deshalb ist es wichtig, die gesamte E-Mail mit HTML-Anhängen, allen Weiterleitungen sowie den Inhalt der E-Mail auf bösartige Absichten hin zu analysieren.

Ein weiteres neues Merkmal der Angriffe ist deren Unterschiedlichkeit. Die wachsende Zahl der entdeckten bösartigen Dateien ist nicht einfach das Ergebnis einer begrenzten Anzahl von Massenangriffen, sondern vielmehr handelt es sich um viele verschiedenartige Angriffe, die jeweils eigens gestaltete Dateien verwenden. Mittlerweile sind rund ein Viertel (27 Prozent) der entdeckten Dateien singulär, die restlichen Dreiviertel waren Wiederholungen oder Massenverteilungen dieser Dateien.
HTML-Anhänge stehen auf der Liste der für bösartige Zwecke verwendeten Dateitypen ganz oben. Nicht nur das Gesamtvolumen bösartiger HTML-Anhänge nimmt zu, sondern sie sind weiterhin der am häufigsten für bösartige Zwecke verwendete Dateityp. Warum ist das so? Weil es immer noch zuverlässig funktioniert!

Was schützt vor bösartigen HTML-Anhängen?

• Ein wirksamer E-Mail-Schutz erkennt bösartige HTML-Anhänge und kann diese blockieren. Da diese wie beschrieben nicht immer leicht zu erkennen sind, umfassen leistungsfähige Lösungen maschinelles Lernen und statische Codeanalyse, die den Inhalt einer E-Mail und nicht nur deren Anhang prüft.

• Aufklärung und Sensibilisierung der Mitarbeiter, um potenziell bösartige HTML-Anhänge zu erkennen und zu melden. Angesichts des Umfangs und der Vielfalt dieser Art von Angriffen ist es geraten, bei allen HTML-Anhängen stets vorsichtig zu sein, insbesondere bei solchen, die von unbekannten Quellen stammen. Anmeldedaten dürfen niemals an Dritte weitergegeben werden.

• Multifaktor-Authentifizierung (MFA) ist nach wie vor eine gute Zugangskontrolle. Nichtsdestotrotz wenden Kriminelle zunehmend fortgeschrittene Social-Engineering-Techniken an, indem sie beispielsweise auf die MFA-Müdigkeit der Mitarbeiter setzen. Zero-Trust-Access-Maßnahmen erhöhen die Sicherheit. Eine effektive Zero-Trust-Lösung überwacht dynamisch mehrere Parameter: Benutzer, Gerät, Standort, Zeit, Ressourcen und weitere, auf die zugegriffen wird. Dadurch wird es für Angreifer deutlich schwieriger, das Netzwerk mit gestohlenen Anmeldedaten zu kompromittieren.

• Sollte eine bösartige HTML-Datei dennoch durchkommen, sollten Tools zur Beseitigung bereitstehen, um bösartige E-Mails schnell zu identifizieren und aus den Posteingängen aller Benutzer zu entfernen. Eine automatisierte Incident Response kann dabei helfen, dies zu tun, bevor sich der Angriff in einem Unternehmen ausbreitet. Darüber hinaus kann der Schutz vor Kontoübernahmen verdächtige Kontoaktivitäten überwachen und davor warnen, wenn Anmeldedaten kompromittiert werden.

Eine adäquate Cybersecurity ist angesichts der steigenden Zahl an HTML-Angriffen grundlegend. Ein mehrschichtiger Ansatz aus Sicherheitstools und Mitarbeiteraufklärung unterstützt Unternehmen jedoch dabei, sich gegen diese Bedrohung effektiv zu verteidigen.