Fin7
Erpressungs-Trojaner im USB-Stick: Berüchtigte Hacker-Gruppe verseucht Rechner per Post

Über USB-Sticks per Post wollten die Hacker ins System gelangen (Symbolbild)

© M-A-U / Getty Images

von Malte Mansholt
10.01.2022, 16:00 Uhr

Um Unternehmen und Behörden zu knacken, bedienen sich Hacker ausgefeilter Werkzeuge und komplexer Schwachstellen. Eine besonders gefürchtete Truppe versuchte es zuletzt aber quasi durch die Vordertür – und schickte den Schadcode per Post.

Waren es jahrelang Zufallsopfer, die einige Hundert Euro an Lösegeld zahlen sollten, haben sich Erpressungstrojaner längst zum Milliardengeschäft entwickelt. Und die Hackergruppen nehmen vermehrt ertragreiche Ziele aus der Wirtschaft und den Behörden ins Visier. Die US-Bundespolizei FBI warnt nun vor einer besonders dreisten Angriffs-Masche.

Die klingt ein bisschen, als würde sie aus dem letzten Jahrtausend stammen: Statt über das Internet und etwa eine E-Mail kam der Angriff diesmal aus der physischen Welt – und landete per Paket auf den Schreibtischen der attackierten Firmen. Die darin enthaltenen USB-Sticks hatten es aber in sich: Auf ihnen befanden sich die Programme „BadUSB“ und „Bad Beetle USB“, mit denen sich Rechner durch den blossen Anschluss des Sticks übernehmen lassen.

Gefahr aus der Postabteilung

Nach Angaben der Ermittler kamen die Pakete zwischen August und November bei verschiedenen Unternehmen an, unter anderem sollen Betriebe im Transport- und Versicherungswesen sowie aus dem Verteidigungssektor beliefert worden sein. Um den Opfern das Einstecken der Sticks schmackhaft zu machen, bedienten sich die Angreifer verschiedener Tarnungen. Die Pakete stammten vorgeblich mal von Amazon, mal von der Gesundheitsbehörde. Je nach Ziel sollten die Empfänger etwa Gutscheinkarten auf den Sticks finden oder wichtige Daten zu neuen Covid-Richtlinien.