Rechnung.docm: Wie Makro-Angriffe ablaufen und wie Sie sich schützen
Eine angebliche Rechnung, ein Klick auf „Inhalt aktivieren“, und der Rechner ist kompromittiert. So funktioniert eine der ältesten und immer noch erfolgreichsten Angriffsmethoden.
Von unserem SOC-Team
Die E-Mail wirkt echt: Absender ein bekannter Lieferant, Betreff „Offene Rechnung“, im Anhang ein Word-Dokument. Beim Öffnen erscheint ein gelber Balken: Um den Inhalt anzuzeigen, solle man die Bearbeitung und Makros aktivieren. Genau dieser Klick ist der Angriff.
Was im Hintergrund passiert
Zwischen dem Klick und dem Nachladen vergehen oft nur Sekunden. Deshalb ist es so wichtig, das Muster sofort zu erkennen.
- Das Makro startet unsichtbar ein Programm, oft PowerShell, mit einem verschleierten Befehl.
- Dieser Befehl lädt Schadsoftware von einem Server im Internet nach.
- Die Schadsoftware nistet sich ein, späht Zugangsdaten aus oder bereitet eine Verschlüsselung vor.
So erkennen wir es
Dass Word ein Kommandozeilenprogramm startet, ist im normalen Büroalltag sehr ungewöhnlich. Unser SOC meldet dieses Verhalten als kritisch, bewertet es mit Kontext und kann das Gerät auf Wunsch vorsorglich vom Netz trennen, bevor sich etwas ausbreitet.
Schutz in vier Schritten
- Makros aus dem Internet per Richtlinie blockieren (in aktuellen Office-Versionen Standard, aber oft wieder aufgeweicht).
- Mitarbeitende sensibilisieren: Eine Rechnung braucht nie aktivierte Makros.
- E-Mail-Anhänge mit Makros (.docm, .xlsm) am Mailserver filtern oder in Quarantäne geben.
- Rechner überwachen lassen, damit ein Fehlklick nicht unbemerkt bleibt.
Kein einzelner Schutz ist perfekt. Die Kombination aus Blockieren, Schulung und Überwachung macht den Unterschied.