VBScript (Visual Basic Scripting Edition) ist eine 1996 eingeführte, in Windows integrierte Skriptsprache von Microsoft, die Angreifer lange missbraucht haben, um Malware über E-Mail-Anhänge und Downloads zu verbreiten.
Wie VBScript funktioniert
VBScript ist eine schlanke, von Visual Basic abgeleitete Sprache. Skriptdateien mit der Endung .vbs werden per Doppelklick vom Windows Script Host (wscript.exe oder cscript.exe) ausgeführt; die Sprache steckte außerdem in Webseiten für den Internet Explorer und in klassischen ASP-Websites. Administratoren nutzten sie für Anmeldeskripte und Automatisierung, bevor PowerShell sie ablöste.
Microsoft hat VBScript abgekündigt: 2019 wurde es im Internet Explorer standardmäßig deaktiviert, in Windows 11 Version 24H2 zu einem optionalen „Feature on Demand“ gemacht, und in einer künftigen Version soll es ganz aus Windows entfernt werden.
Warum VBScript für die Sicherheit wichtig ist
Weil VBScript auf jedem Windows-Rechner nativ läuft, war es ein beliebtes Werkzeug von Angreifern; MITRE ATT&CK führt es als T1059.005 (Command and Scripting Interpreter: Visual Basic):
- ILOVEYOU (2000) – ein VBScript-Wurm, der als LOVE-LETTER-FOR-YOU.TXT.vbs verschickt wurde und binnen Tagen Millionen Computer infizierte.
- E-Mail-Anhänge – .vbs-Dateien, oft in ZIP-Archiven versteckt oder mit doppelten Dateiendungen getarnt, dienen als erste Stufe eines Malware-Loaders, der Banking-Trojaner, Infostealer oder Ransomware nachlädt.
- Office-Makros – VBA in Makro-Malware ist ein naher Verwandter und legt häufig VBScript-Dateien ab.
- Browser-Exploits – Lücken in der VBScript-Engine des Internet Explorers wurden für Drive-by-Angriffe genutzt.
Da wscript.exe eine legitime Windows-Komponente ist, gehören solche Angriffe auch zum Living off the Land.
So schützen Sie sich vor VBScript-Missbrauch
- Das VBScript-Feature entfernen, wo es nicht mehr benötigt wird, und seine Abschaffung einplanen.
- Anhänge mit den Endungen .vbs, .vbe und .wsf am E-Mail-Gateway blockieren.
- Skriptendungen mit dem Editor verknüpfen, damit ein Doppelklick sie nicht ausführt.
- Mit Anwendungskontrolle wscript.exe und cscript.exe einschränken.
