Neptune RAT Malware in Windows: Vorsicht vor YouTube- & Telegram-Links

Featured Image: Neptune RAT Malware betrifft Windows-PCs.

Neptune RAT gehört zu den intelligentesten Malware-Bedrohungen, die Windows-Geräte anvisieren. Es nutzt Seiten wie YouTube und Telegram, um Windows Defender und andere Antiviren-Tools zu umgehen. Zu den Auswirkungen gehören Ransomware, die Dateien sperrt, das Stehlen von Passwörtern und das Löschen des Master Boot Records (MBR) von Windows 11. Trotz dieser Schwere ist es überraschend einfach, Ihr Windows-Gerät vor Neptune RAT zu schützen.

Was macht Neptune RAT so gefährlich

Die Neptune RAT-Malware wurde erstmals von der Sicherheitsfirma Cyfirma entdeckt. Das „RAT“ steht für Remote Access Trojans. Es handelt sich um eine Datei, die beim Öffnen einem Angreifer die Kontrolle über Ihren Computer aus der Ferne ermöglicht. Normalerweise blockiert Windows diese Versuche. Dafür sind schließlich Antivirenprogramme zuständig.

Neptune RAT ist jedoch extrem heimlich, es versteckt seinen schädlichen Code mit arabischen Wörtern und Emojis und schlüpft so an Ihrer Firewall, Windows Defender und anderen Antiviren-Tools vorbei. Es erkennt sogar, ob Sie eine virtuelle Maschine (VM) verwenden. An der Benutzeroberfläche ruft es zwei einfache PowerShell-Befehle auf, um Ihren PC zu infizieren:

irm (Invoke-RestMethod): zieht Inhalte wie Software von Webseiten, wie GitHub.
iex (Invoke-Expression): führt die heruntergeladenen Inhalte als Skriptprogramm aus.

Herunterladen von GitHub Desktop-Software mit dem

Irgendwann landet ein Batch-Skript in Ihren Windows-Ordnern. Danach verbindet sich Ihr Computer mit dem Server des Angreifers.

So eine gefährliche und hartnäckige Malware hat Windows seit langem nicht mehr gesehen. Es verwendet viele DLL-Dateien, um Ihr System zu beschädigen. Sie können Ihre PC-Daten sperren (Ransomware), Passwörter aus über 270 Programmen wie Chrome und Brave-Browser stehlen, was auch immer Sie kopieren und einfügen, erfassen, Ihre Registrierungseinstellungen ändern und sogar Ihren Master Boot Record (MBR) löschen.

Der schlimmste Teil? Neptune RAT breitet sich derzeit über Social Media aus: YouTube, GitHub, Telegram und andere Links. Die meisten Menschen vertrauen YouTube von Natur aus, und zum ersten Mal wurde dieses Vertrauen missbraucht. Es ist jetzt sehr einfach für Hacker, ein Video zu posten mit dem Titel „Klicken Sie auf den Link unter der Videobeschreibung, um 500 $ Bargeld zu erhalten“, und dann eine Neptune RAT ausführbare Datei bereitzustellen, die als Klartext getarnt werden kann.

Lösungen gegen Neptune RAT Malware

Die Gefahren von Neptune RAT sind zahlreich. Es schleicht sich an jedem Malware-Analysetool vorbei und benötigt nicht einmal Dateidownloads. Trotz der großen Verwundbarkeit sind die Lösungen für Windows-Nutzer recht einfach.

Für Windows-Nutzer, die PowerShell kennen

PowerShell verwendet eine Funktion namens „Eingeschränkter Sprachmodus“, die die Anwendung auf grundlegende Aufgaben beschränkt. Nach dieser Anweisung kann es nicht mehr auf Webressourcen über irm und iex zugreifen, wodurch Neptune RAT blockiert wird.

$ExecutionContext.SessionState.LanguageMode ="EingeschränkteSprache"

Um die eingeschränkte Spracheinstellung für alle Benutzer Ihres PCs zu erzwingen, wenden Sie Folgendes an:

Set-ExecutionPolicy-Scope LocalMachine -ExecutionPolicy Restricted -Force

Ändern von PowerShell in eine eingeschränkte Spracheinstellung, um Webbefehle zu vermeiden.

Um die obige Einstellung rückgängig zu machen, kehren Sie einfach zum „Vollsprach“-Modus zurück, und Sie können die irm- und iex-Cmdlets wieder herunterladen.

$ExecutionContext.SessionState.LanguageMode ="VollSprache"

Bis Windows eine ordentliche Lösung herausgibt, ist es am besten, sie deaktiviert zu lassen.

Es gibt eine weitere Option. Wenn Sie PowerShell nicht häufig verwenden, können Sie den Zugriff von PowerShell auf das Internet vollständig deaktivieren. Danach wird beim Ausführen der irm/iex-Befehle in PowerShell ein Fehler generiert.

New-NetFirewallRule -Name"BlockPowerShellOutbound"-DisplayName"Blockiere PowerShell ausgehend"-Enabled True -Direction Outbound -Program "%SystemRoot%\System32\WindowsPowerShell\v1.0\powershell.exe"-Action Block

Blockieren aller ausgehenden Netzwerkverbindungen in PowerShell.

Um die Netzwerkebene Blockregel zu entfernen, verwenden Sie folgendes Kommando:

Remove-NetFirewallRule -Name"BlockPowerShellOutbound"

Während die Unfähigkeit, PowerShell für Online-Aktivitäten zu nutzen, eine kleine Unannehmlichkeit ist, sehe ich dies angesichts der Schwere der Neptune RAT-Bedrohung als die beste Lösung.

Für nicht-technische Benutzer

Wenn Sie YouTube oder Telegram auf einem Windows-Computer nutzen, können Sie sich vor Neptune RAT schützen, indem Sie Links in Videobeschreibungen vermeiden – selbst wenn die Videoersteller Sie dazu auffordern. Sie könnten Rabatte anbieten oder versprechen, Sicherheitsprobleme zu beheben. Diese Links tauchen häufig in Gaming- oder ethischen Hacking-Videos auf, können aber auch in Filmclips oder anderen Themen vorkommen. Sie sollten aufhören, unbekannte Links zu klicken, selbst wenn Freunde oder Familie sie in sozialen Medien teilen.

Weitere Empfehlungen, die wir für gelegentliche Windows-Nutzer haben, die mit Neptune RAT umgehen:

Verwenden Sie eine Authenticator-App: Auf einem Windows-Gerät ist eine Authenticator-App der beste Weg, um sich vor Eindringlingen zu schützen, die versuchen, auf sensible Konten zuzugreifen.
Verwenden Sie Endpoint-Sicherheitslösungen: Die einzige Möglichkeit, dateilose Malware wie Neptune RAT zu erkennen, besteht darin, Endpoint-Sicherheitssoftware wie Microsoft Defender zu verwenden, die sich von Windows-Sicherheit unterscheidet. Sie leisten einen viel besseren Job bei der Reaktion auf verdächtige Aktivitäten in PowerShell.