Sicherer Umgang mit Dateiendungen

Was ist Sicherer Umgang mit Dateiendungen?

Windows verbirgt bekannte Dateiendungen standardmäßig, sodass Invoice_Final.pdf.exe wie eine PDF-Datei aussieht. Bei dieser Übung wird ein dateibasierter Angriff durchgehend durchgeführt: eine gefälschte Dateifreigabebenachrichtigung, eine überzeugende, aber betrügerische Freigabeseite und eine getarnte ausführbare Datei zwischen legitimen Dokumenten. Sie erfahren, welche Dateiendungen Code ausführen können, einschließlich .scr, .msi, .cmd, .vbs, .js und .ps1, wie Sie den wahren Typ einer Datei erkennen und warum das Ignorieren einer Antivirenwarnung zu den schlechtesten Klicks gehört, die Sie machen können.

Was Sie lernen in Sicherer Umgang mit Dateiendungen

• Angriffe mit Doppelendung und andere Manipulationen von Dateinamen erkennen, mit denen schädliche Dateien getarnt werden
• Erklären, wie Windows bekannte Dateiendungen verbirgt und wie sich vor dem Öffnen der vollständige Name und der wahre Typ einer Datei sichtbar machen lassen
• Die vollständige Liste gefährlicher ausführbarer Dateiendungen erkennen, darunter .exe, .scr, .msi, .bat, .cmd, .vbs, .js und .ps1
• Auf Antivirenwarnungen richtig reagieren, indem erkannte Dateien in Quarantäne verschoben und dem Sicherheitsteam gemeldet werden
• Vor dem Öffnen freigegebener Dokumente die Echtheit der Datei durch Rückfrage beim Absender und Prüfung der Dateieigenschaften bestätigen

Sicherer Umgang mit Dateiendungen — Trainingsschritte

1. Ein arbeitsreicher Donnerstag

   Es ist Donnerstagmorgen. Morgen steht die Quartalsbesprechung mit Sentinel Analytics an, einem der wichtigsten Kunden des Unternehmens. Ihnen fehlen noch mehrere Unterlagen des Kundenteams, um Ihre Präsentation fertigzustellen.

2. Dateien vom Kunden

   Eine E-Mail trifft ein, die von David Park zu stammen scheint, Ihrem wichtigsten Ansprechpartner bei Sentinel Analytics. Sie enthält einen Download-Link zu den erwarteten Projektunterlagen für Q4.

3. Link zur Dateifreigabe öffnen

   Alice klickt auf den CloudDocs-Link, um die freigegebenen Dateien aufzurufen. Es erscheint eine aufgeräumte Oberfläche mit vier Projektdateien zum Herunterladen.

4. Dateien herunterladen

   Auf der CloudDocs-Seite werden vier von „David Park“ freigegebene Dateien angezeigt. Alles wirkt normal: Tabellenkalkulationen, Dokumente und eine vermeintliche PDF-Rechnung. Alice klickt auf die Schaltfläche zum Herunterladen aller Dateien.

5. Downloads durchsuchen

   Nachdem der Download abgeschlossen ist, entpackt Alice die Dateien. Sie öffnet den Dateimanager, um die Projektunterlagen zu prüfen. Zuerst benötigt sie die Datei Q4 Revenue Summary, denn diese Daten sind für die morgige Präsentation besonders dringend.

6. Die verdächtige Datei

   Die Umsatzzahlen stimmen. Alice wendet sich den übrigen Dateien zu. Sie entdeckt die vermeintliche PDF-Datei „Invoice_Final.pdf“ und öffnet sie per Doppelklick. Doch in dem Moment, in dem die Datei ausgeführt wird, schlägt das Antivirenprogramm Alarm. Alice zögert. Die Quartalsbesprechung morgen ist entscheidend, und sie hat noch stundenlange Vorbereitung vor sich. Das Antivirenprogramm meldet seit einer Woche bei jeder Installation neuer Software Fehlalarme. Sie beschließt, die Warnung zu ignorieren und sich später darum zu kümmern.

7. Ein altbekannter Fehler

8. Der Sicherheitsvorfall

   Fünfundzwanzig Minuten später geht in Alices Postfach eine automatische Sicherheitswarnung ein. Jemand hat sich von einem unbekannten Ort aus bei ihrem Ridgeline-Konto angemeldet. Der durch eine Doppelendung getarnte Trojaner hat ihre Zugangsdaten in den Augenblicken abgegriffen, bevor das Antivirenprogramm ihn als Bedrohung markierte.

9. Den Angriff nachvollziehen

   Alice erkennt nun, dass das vermeintliche „PDF“ tatsächlich ein ausführbares Programm war, das durch eine Doppelendung getarnt wurde. Die Datei hieß Invoice_Final.pdf.exe : „.pdf“ war nur Teil des Dateinamens und sollte den Eindruck eines Dokuments erwecken. Die tatsächliche Endung „.exe“ machte die Datei zu einem ausführbaren Programm. Als sie die ursprüngliche E-Mail noch einmal betrachtet, fällt ihr etwas auf, das sie in ihrer Eile übersehen hat.

10. Die gefälschte Dateifreigabeseite

    Die E-Mail stammte nicht vom echten David Park. Auch die CloudDocs-Dateifreigabeseite wies Warnsignale auf.