Direkt zum Inhalt

Die Landesbehörde für Cybersicherheit in Baden-Württemberg

Neue Malware Airstalk

- Warnmeldung

Sicherheitsforscher von Palo Alto Networks entdeckten eine neue Malware mit dem Namen Airstalk. Sie nutzt die API von Workspace ONE UEM von Omnissa aus, um Daten auszuschleusen. Betreibende sollten die verfügbaren IoCs nutzen, um ihre Systeme auf eine mögliche Kompromittierung zu prüfen.
Auf Handy wird Nachricht angezeigt E-Mail

© Adobe Stock

Vertrauliche Daten auslesbar

Laut Palo Alto Networks setzt Airstalk an der Programmierschnittstelle (API) von Workspace ONE Unified Endpoint Management (UEM) an. Über die API könnten Angreifende einen C2-Kanal (Command and Control) einrichten und darüber vertrauliche Browser-Daten auslesen. Dazu gehören Cookies, Verlauf, Lesezeichen und Screenshots.

Dem Bericht der Sicherheitsforscher zufolge gibt es von Airstalk eine PowerShell- und eine .NET-Variante. Beide hätten Windows-Systeme im Visier. Während die PowerShell-Version eine Persistenz einrichten könne, besitze die andere Variante keinen derartigen Mechanismus.

Die Sicherheitsforscher vermuten, dass sich hinter Airstalk staatlich gesteuerte Akteure verbergen.

Workspace ONE Unified Endpoint Management ist ein MDM-System (Mobile Device Management) zur zentralen Verwaltung mobiler Endgeräte. Hersteller ist Omnissa. Workspace ONE UEM hieß früher AirWatch.

Empfehlungen der Sicherheitsforscher

  • Prüfen Sie Ihre Systeme auf eine mögliche Kompromittierung. Nutzen Sie hierfür die verfügbaren Kompromittierungsindikatoren (IoC: Indicator of Compromise) (siehe Link unten).
  • Das Angreiferverhalten unterscheidet sich von regulärem Nutzerverhalten. Richten Sie deshalb eine verhaltensbasierte Überwachung ein.

Weitere Informationen