Die Sicherheitsexperten von TrendAI Research, einer Abteilung von Trend Micro, haben einen aktuellen Sicherheitshinweis veröffentlicht, der vor gezielten Angriffen auf die Infrastruktur von Booking.com warnt.
Im Fokus der kriminellen Aktivitäten stehen dabei insbesondere die Extranet-Konten von Partnerbetrieben sowie die direkten Kommunikationskanäle zu den Gästen. Die Angreifer nutzen Phishing-Methoden, um Zugriff auf sensible Systeme zu erhalten und Schadsoftware zu verbreiten.
Gezielte Kampagnen gegen Partnerunterkünfte
Die aktuellen Warnungen stützen sich unter anderem auf Erkenntnisse aus einer Phishing-Kampagne, die Ende Mai 2026 gegen Partnerunterkünfte von Booking.com in Japan entdeckt wurde. Dabei versendeten die Akteure E-Mails mit dem japanischsprachigen Betreff „Important: Guest Stay Review Request“. Ziel dieser Nachrichten war es, die Empfänger zum Öffnen eines schädlichen Dateianhangs zu bewegen.
In den untersuchten Fällen enthielten die E-Mails eine ZIP-Datei. Innerhalb dieses Archivs befand sich eine LNK-Datei, die gezielt als harmloses Foto getarnt war. Sobald ein Nutzer diese Datei ausführte, wurde der Trojaner TrojanSpy.JS.TONRESOLVER.A auf dem System installiert. Dabei handelt es sich um einen sogenannten Remote Access Trojaner (RAT), der den Angreifern weitreichenden Zugriff auf den infizierten Rechner ermöglicht.
Technologische Raffinesse durch Blockchain-Integration
Ein besonderes Merkmal dieser Malware-Kampagne ist ihre technische Komplexität. Die Sicherheitsforscher von TrendAI Research stellten fest, dass die Schadsoftware auf der TON-Blockchain gehostet wird. Dabei nutzt die Malware einen Smart Contract als Resolver für die Command-and-Control-Infrastruktur (C2).
Rekord-Schäden durch Phishing zeigen, wie wichtig eine proaktive Absicherung für Betriebe heute ist. In diesem kostenlosen Anti-Phishing-Paket erklären Experten, wie Unternehmen ihre Abwehr in vier Schritten effektiv stärken können. Kostenlosen Anti-Phishing-Leitfaden jetzt herunterladen
Diese Methode erschwert die Erkennung und Blockierung durch herkömmliche Sicherheitslösungen erheblich, da die Kommunikation über dezentrale Netzwerkstrukturen abgewickelt wird.
Die Malware selbst operiert als Node.js-Anwendung und setzt Techniken zur Obfuskation in virtuellen Maschinen (VM) ein, um eine Analyse durch Sicherheitstools zu verhindern. Da der C2-Server über den Smart Contract jederzeit aktualisiert werden kann, behalten die Angreifer eine hohe Flexibilität bei der Steuerung ihrer Infrastruktur.
Zudem nutzt die Software sogenannte Dead-Drop-Resolver für Updates und stellt eine dauerhafte Keepalive-Verbindung her, um die Kontrolle über das infizierte System aufrechtzuerhalten.
Wer die Sicherheit in der eigenen Organisation ohne hohe Investitionen erhöhen möchte, findet in diesem Report wertvolle Ansätze. Das gratis E-Book liefert fundierte Informationen zu aktuellen Bedrohungen und zeigt, wie Sie Sicherheitslücken proaktiv schließen. Gratis E-Book zur Cyber-Security anfordern
Empfohlene Schutzmaßnahmen für Unternehmen
Angesichts der professionellen Vorgehensweise der Angreifer raten die Experten von Trend Micro zu spezifischen Sicherheitsvorkehrungen. Unternehmen im Reisesektor sollten den Zugriff auf Blockchain-Plattformen und insbesondere das TON-Netzwerk innerhalb ihrer Unternehmensnetzwerke einschränken oder vollständig blockieren.
Des Weiteren wird empfohlen, die Ausführung von Node.js-Anwendungen streng zu überwachen und die Kommunikation über die PowerShell zu unterbinden, sofern diese nicht zwingend für den Betrieb erforderlich ist.
Ein zusätzlicher Schutz könne durch den Einsatz von Proxy-Gateways erreicht werden, um den Datenverkehr zu filtern und verdächtige Verbindungen frühzeitig zu identifizieren. Die Sensibilisierung der Mitarbeiter für Phishing-Versuche, die über offizielle Buchungskanäle oder Partner-E-Mails eingehen, bleibe zudem ein wesentlicher Bestandteil der Verteidigungsstrategie.
