Threat Spotlight: Die geschäftlichen Risiken von Raubkopien

Mitarbeiter, die illegale Softwareversionen herunterladen, riskieren Datenpannen und mehr, da die meisten Versionen mit Malware infiziert sind.

Die wichtigsten Erkenntnisse

• Im letzten Monat hat das SOC von Barracuda mehrere Versuche von Nutzern festgestellt, raubkopierte bzw. gecrackte Software herunterzuladen.
• Illegale Software birgt das Risiko von Malware-Infektionen, Diebstahl von Zugangsdaten, Kryptomining, Session-Hijacking, Softwarekompromittierung, Ransomware und vielem mehr.
• Warnzeichen sind unter anderem nicht zu erklärende ausführbare Dateien, ZIP-Dateien aus dem Internet, die im Download-Ordner gespeichert wurden, und manuelle Aktivierungsschritte.
• Raubkopien oder gecrackte Software können nicht mit Updates versorgt werden, sodass Sicherheitslücken entstehen.

Im vergangenen Monat haben die SOC-Tools und Analysten von Barracuda mehrere Fälle entdeckt, in denen Nutzer versuchten, Raubkopien oder gecrackte Softwareversionen sowie unautorisierte Installationsprogramme auf Unternehmensendpunkten herunterzuladen und zu aktivieren.

Raubkopien und gecrackte Software werden traditionell mit der Gaming-Szene in Verbindung gebracht – mit Spielern, die nach kostenlosen Upgrades, Erweiterungen oder speziellen Hacks suchen. Raubkopien meint Programme, die illegal kopiert wurden, während sich geknackte Software auf Programme bezieht, die so verändert wurden, dass sie Lizenzierung oder Schutzmechanismen zur Verhinderung von Piraterie umgehen.

Beide stellen ein erhebliches Geschäftsrisiko dar. Mitarbeiter, die kostenlose, inoffizielle und nicht lizenzierte Tools für Produktivität, einfache Zugänglichkeit oder Kosteneinsparungen suchen, können unbeabsichtigt zum Eintrittspunkt für schwerwiegende Sicherheitsvorfälle werden.

Schadsoftware als Risiko

Raubkopien und gecrackte Software sind lebensgefährlich. Studien zeigen, dass mindestens 80 % dieser Programme bösartige Inhalte enthalten. Erschwerend kommt hinzu, dass die Software nicht wie die Originalversion gepatcht und aktualisiert werden kann, sodass Sicherheitslücken bestehen bleiben.

Wenn Mitarbeiter in der Lage sind, gecrackte Software auf Unternehmensendpunkten zu installieren, können sie das Unternehmen Malware-Infektionen, dem Diebstahl von Zugangsdaten, Kryptominern, Session Hijacking, Softwarekompromittierung, Ransomware und vielem mehr aussetzen.

Wie man gecrackte Software-Downloads erkennt

Das SOC hat mehrere verdächtige ausführbare Dateien entdeckt, die an Orten erscheinen, an denen Nutzer auch Inhalte hinzufügen können, wie z. B. in den Download-Ordnern. Die Daten zeigten außerdem, dass die Dateien kurz nach Browseraktivitäten manuell gestartet wurden, beispielsweise von Chrome oder Microsoft Edge und oft über explorer.exe.  

Das alles sind bekannte Anzeichen dafür, dass das jemand versuchte, gecrackte Software zu installieren. Alle Instanzen wurden vom SOC neutralisiert, bevor sie sich dauerhaft etablieren konnten.

Es gibt keinen harmlosen ausführbaren Download

Die Erkennung neuer oder unerwarteter ausführbarer – oder binärer – Dateien führt unweigerlich zu Problemen. Eine eigene Analyse von Barracuda ergab, dass 87 % der per E-Mail versendeten ausführbaren Dateien bösartig waren.

Die aktuellsten SOC-Daten weisen auf wiederholte Erkennungen von drei Arten ausführbarer Dateien hin: activate.exe, activate.x86.exe und activate.x64.exe.

Diese Dateinamen sind generisch. Sie wurden bewusst so ausgewählt, dass sie seriös klingen und beruhigend und normal wirken. Sie werden häufig in raubkopierten bzw. gecrackten Softwarepaketen, Phishing-Anhängen, gefälschten Software-Installationsprogrammen und vielem mehr verwendet.

In den meisten bösartigen Fällen: eine „activate.exe“. aktiviert eigentlich nichts. Stattdessen lädt sie Malware, Dropper, die zusätzliche Malware installieren können, oder dient als Wrapper zum Starten versteckter Nutzdaten.

Die x86- und x64-Versionen der activate.exe-Dateien tragen dazu bei, eine erfolgreiche Ausführung auf verschiedenen Windows-Systemen zu gewährleisten.

Diese Dateinamen werden oft in gecrackten Versionen von Microsoft, Adobe und anderen Arbeitstools verwendet.

Warnsignale im Nutzerverhalten

Raubkopierte bzw. gecrackte Software erfordert eine manuelle Interaktion zur Installation und Aktivierung des Programms – und damit auch der schädlichen Nutzlast. Dies ist eine gute Nachricht für die Verteidiger, denn in einer zunehmend automatisierten Computerumgebung ist jedes Anzeichen einer manuellen Aktivität im Zusammenhang mit einem Software-Download ein starker Hinweis auf illegale Software.

Anzeichen im Netzwerk, die auf das absichtliche Herunterladen einer verdächtigen Datei hinweisen:

• Die eingehende Datei stammte von einem Torrent-Client (Streaming-Client), wie zum Beispiel BitTorrent.
• Die eingehenden Dateien stammten von einer bekannten Webseite für kostenlose Downloads oder Cracks.
• Die eingehende Datei stammte von einer Dateifreigabe-Website, die große, komprimierte ZIP-, RAR- oder 7z-Dateien hosten kann.
• Die Dateien wurden in Paketen heruntergeladen.
• Die Dateien wurden als passwortgeschützte ZIP/RAR-Dateien heruntergeladen.

Seriöse Softwareanbieter vertreiben Software und deren Aktivierungswerkzeuge nicht auf diese Weise.

Nutzerverhalten, das auf die Installation und Aktivierung verdächtiger Dateien hindeutet:

• Manuelles Entpacken eines Archivs mit Windows Explorer, WinRAR oder 7-Zip
• Inhalte in den Ordnern „Downloads“ oder „Dokumente\Software“ erstellen oder hinzufügen
• Dateien einzeln öffnen, anstatt alles automatisch laufen zu lassen
• Bei Eingabeaufforderungen auf „Ja“ klicken oder Dateien manuell ausführen

Raubkopierte/gecrackte Software erfordert in der Regel eine schrittweise manuelle Installation.

IT-Security-Teams können auch Versuche zur Blockierung von Lizenzprüfungen erkennen.

Kurz gesagt: Wenn das IT-Sicherheitsteam activate.exe zusammen mit manuellen Downloads, extrahierten Crack-Ordnern, Anleitungsdateien, Administratorgenehmigungen und Lizenzumgehungsänderungen entdeckt, ist es sehr wahrscheinlich, dass der Benutzer absichtlich versucht hat, raubkopierte/gecrackte Software zu installieren.

Was tun, wenn Sie raubkopierte/gecrackte Software entdecken?

So reinigen Sie das Netzwerk von bösartiger illegaler Software:

• Entfernen Sie die raubkopierte/gecrackte Software und die Aktivierungsdateien. Löschen Sie die Ordner „Installer“, „Crack“, „Keygen“ und die extrahierten Ordner.
• Deinstallieren Sie die betroffene Anwendung und installieren Sie sie bei Bedarf von einer zugelassenen, lizenzierten Quelle neu.
• Führen Sie einen vollständigen Malware-Scan durch – gecrackte Software enthält oft unerwünschte Zusatzprogramme wie Infostealer, selbst wenn die ursprüngliche Absicht die Piraterie war.
• Machen Sie Änderungen an der Lizenzumgehung rückgängig.
• Das Gerät muss neu aufgesetzt oder neu erstellt werden, wenn eine der folgenden Bedingungen zutrifft:
• Antivirus oder Endpoint Detection and Response (EDR) haben zusätzliche Malware erkannt.
• Systemdateien oder Kernanwendungsdateien wurden ersetzt.
• Sie können nicht mit Sicherheit alle Änderungen rückgängig machen, die durch den Crack vorgenommen wurden.
• Der Benutzer hat die Sicherheitskontrollen (Antivirus, EDR, Firewall) deaktiviert.

Fazit

Um sowohl Mitarbeiter als auch ihre Einrichtungen vor den Schäden durch Raubkopien/gecrackte Software zu schützen, können Unternehmen folgende Schritte unternehmen:

• Erzwingen Sie Endpunktschutzmaßnahmen, um unbekannte oder nicht autorisierte ausführbare Dateien automatisch in Echtzeit zu blockieren, auch wenn sie manuell gestartet werden.
• Beschränken Sie die lokalen Administratorrechte und verlangen Sie eine Genehmigung für alle Softwareinstallationen.
• Implementieren Sie eine Anwendungssteuerung, um nur die Ausführung genehmigter Software auf Unternehmensgeräten zuzulassen.
• Überwachen Sie das Auftreten von ausführbaren Dateien in Ordnern, in denen Benutzer Inhalte speichern können, wie z. B. die Ordner Downloads und Temp.
• Kombinieren Sie technische Kontrollen mit klaren Richtlinien für die akzeptable Nutzung und Schulungen zur Sensibilisierung der Nutzer, um risikoreiches Verhalten zu reduzieren.