Die Angreifer nutzten den kürzlich bekannt gewordenen Update-Fehler in CrowdStrikes Falcon-Sensor aus. Sie erstellten ihre Phishing-Seite nur einen Tag nach der Veröffentlichung des Patches für diesen Fehler. Die Website verwendete ein Subdomänen-Registrierungssystem, was die Rückverfolgung erschwert.

Der Installationsprozess des Schadsoftware-Pakets war komplex gestaltet. Er enthielt deutsche Spracheinstellungen und erforderte ein spezielles Passwort zur Fortsetzung der Installation. Dies deutet auf eine gezielte Kampagne gegen deutschsprachige CrowdStrike-Kunden hin.

CrowdStrike betont in einem ausführlichen Blogpost die hohe technische Raffinesse der Angreifer. Sie setzten fortschrittliche Techniken ein, um Forensik zu erschweren, darunter die Verschleierung von Zeitstempeln und die Verschlüsselung des Installers.

Zur Prävention empfiehlt CrowdStrike, nur offiziell bereitgestellte Updates zu akzeptieren, Webseitenzertifikate sorgfältig zu prüfen und Mitarbeiter im Umgang mit verdächtigen Downloads zu schulen. Die Ermittlungen zu den Hintermännern des Angriffs dauern an.