Die Sicherheitsanalysten von Zscaler ThreatLabz haben einen neuen, in C++ geschriebenen Trojaner für Windows-Systeme identifiziert. Die unter dem Namen Abyssos RAT bekannte Schadsoftware fungiert als modularer Post-Exploitation-Trojaner und vereint verschiedene Funktionen zum Datendiebstahl sowie zur Fernsteuerung infizierter Endgeräte. Beobachtungen der Experten zufolge ist die Malware seit Ende Juni 2026 im Umlauf.
Umfangreiche Funktionen zur Exfiltration und Fernsteuerung
Abyssos RAT zeichnet sich durch einen modularen Aufbau aus, der es den Hintermännern ermöglicht, verschiedene bösartige Aktivitäten auf Zielsystemen durchzuführen. Zu den Kernfähigkeiten des Trojaners gehören der Diebstahl von Zugangsdaten (Credential-Theft), das Ausleiten von Dateien (File-Exfiltration) sowie das Mitloggen von Tastatureingaben (Keylogging).
Besonders hervorgehoben wird in der Analyse die Fähigkeit zum Browser-Session-Hijacking. Hierbei nutzt die Schadsoftware gezielt das Chrome DevTools Protocol über den Port 9222. Durch den Befehl chrome_cdp können Angreifer aktive Browsersitzungen übernehmen und so Zugriff auf passwortgeschützte Webdienste erhalten, ohne die eigentlichen Anmeldedaten entwenden zu müssen. Zudem verfügt Abyssos RAT über Funktionen für einen versteckten VNC-Zugriff (Hidden VNC), der es ermöglicht, den infizierten Rechner unbemerkt fernzusteuern. Hierfür kommen spezifische Befehle wie HVNC_START, HVNC_INPUT und HVNC_CLONE_START zum Einsatz.
Angesichts immer komplexerer Trojaner, die gezielt Browsersitzungen und Passwörter angreifen, wird eine moderne Absicherung Ihrer digitalen Konten zur Pflicht. Dieser kostenlose Report zeigt Ihnen, wie Sie mit der neuen Passkey-Technologie Ihre Logins bei Amazon, WhatsApp und Co. für Hacker unangreifbar machen. Sicher, bequem und passwortlos – den Gratis-Report jetzt herunterladen
Technische Merkmale und Abwehrmechanismen
In der untersuchten Version 2.4F setzt die Malware auf verschiedene Techniken zur Obfuskation und zur Vermeidung von Analysen durch Sicherheitssysteme. Abyssos RAT nutzt Anti-VM-Mechanismen, um festzustellen, ob er in einer virtuellen Umgebung ausgeführt wird. Dabei werden spezifische Prüfungen für Plattformen wie VMware, KVM, Xen und VirtualBox sowie CPUID-Abfragen durchgeführt.
Die interne Kommunikation und der Aufruf von Systemfunktionen werden durch eine API-Auflösung auf Basis von CRC32-Hashes verschleiert. Für den Datenaustausch mit dem Command-and-Control-Server (C2) verwendet der Trojaner eine AES-GCM-Verschlüsselung, die mit einem 32-Byte-Schlüssel arbeitet. Als einer der genutzten C2-Server wurde im Rahmen der Untersuchung die IP-Adresse 213.145.86.42 identifiziert.
Allein in Deutschland werden pro Quartal rund 4,7 Millionen Online-Konten gehackt, oft weil klassische Passwörter nicht mehr ausreichen. Erfahren Sie in diesem kostenlosen Leitfaden, warum Experten den Umstieg auf Passkeys empfehlen, um Phishing und Datenklau effektiv zu verhindern. Kostenlosen Passkey-Guide hier sichern
Variationen in den Analyse-Fähigkeiten
Die Experten von Zscaler ThreatLabz stellten fest, dass die verschiedenen Versionen von Abyssos RAT unterschiedliche Ausprägungen bei den Anti-Analyse-Fähigkeiten aufweisen. Während einige Varianten stark auf Verschleierung setzen, konzentrieren sich andere primär auf die Effizienz der Datenausschleusung. Erste Hinweise auf die Existenz des Trojaners gab es bereits in sozialen Medien, doch erst die aktuelle technische Tiefenanalyse belegt den vollen Funktionsumfang der Schadsoftware.
Zur Identifizierung von Infektionen verweisen die Sicherheitsforscher auf spezifische Kompromittierungsindikatoren (IOCs). Dazu gehört neben der genannten C2-Infrastruktur auch eine Datei mit dem SHA256-Hashwert 52b400c552b400c552b400c552b400c552b400c552b400c552b400c552b400c5. Unternehmen wird empfohlen, ihre Netzwerkprotokolle insbesondere auf ungewöhnliche Aktivitäten im Zusammenhang mit dem Port 9222 und den beschriebenen Kommunikationsmustern zu prüfen.
