Sicherheitsforscher haben in den vergangenen Tagen mehrere hochentwickelte Malware-Kampagnen identifiziert, die gezielt Schwachstellen in der menschlichen Interaktion ausnutzen.
Im Mittelpunkt stehen dabei sogenannte ClickFix-Angriffe und Phishing-Versuche über gängige Kollaborationsplattformen wie Microsoft Teams. Besonders die neu entdeckten Loader-Programme WordlistLoader, SynkLoader und PavinLoader stellen derzeit eine erhebliche Bedrohung für Windows-Infrastrukturen dar.
WordlistLoader nutzt innovative Verschleierungstechniken
Analysen von Gen Threat Labs zeigen, dass der neu identifizierte WordlistLoader verstärkt auf die Verbreitung des Amatera Stealers setzt. Dabei kommt die Version 4.3.3-alpha1 zum Einsatz, die über zusätzliche Verschleierungsmechanismen verfügt. Der Loader nutzt Techniken wie ClickFix und EtherHiding, um Nutzer zur Ausführung bösartiger Befehle zu verleiten.
Ein besonderes Merkmal des WordlistLoaders ist die Methode der Payload-Rekonstruktion. Die Malware versteckt Shellcode innerhalb gewöhnlicher englischer Wörter. Über eine spezifische Zuordnung von 256 Wörtern wird der bösartige Code auf dem Zielsystem wieder zusammengesetzt.
Um einer Entdeckung zu entgehen, entfernt die Software aktive Überwachungs-Hooks und umgeht das Event Tracing for Windows (ETW). Für die eigentliche Auslieferung der Schadsoftware greifen die Angreifer auf WebDAV und das Systemwerkzeug rundll32 zurück.
Der verbreitete Amatera Infostealer, der auf dem ACR Stealer basiert, ist bereits seit über einem Jahr als beliebtes Modell im Bereich Malware-as-a-Service aktiv.
Passwortdiebstahl über Microsoft Teams durch SynkLoader
Parallel dazu beobachten Experten eine Kampagne des SynkLoaders, die gezielt Nutzer von Microsoft Teams angreift. Durch Phishing-Nachrichten innerhalb der Plattform versuchen Angreifer, Windows-Passwörter zu entwenden und Fernzugriff auf infizierte Systeme zu erlangen.
Wer sich mit der zunehmenden Gefahr von Passwortdiebstahl und gehackten Konten befasst, sollte moderne Alternativen zur klassischen Anmeldung prüfen. Dieser kostenlose Report zeigt, wie Sie mit Passkeys eine sicherere Umgebung schaffen und Hackerangriffe effektiv verhindern. Sicher, bequem und passwortlos: Jetzt Gratis-Report sichern
Der SynkLoader ist modular aufgebaut und verfügt unter anderem über Komponenten zur Systemprofilerstellung, Persistenzsicherung und zur interaktiven Shell-Steuerung. Weitere Module wie PhishLocker und StreamMaster erweitern das Funktionsspektrum der Malware, die zudem in der Lage ist, Netzwerkverkehr umzuleiten.
PavinLoader und die Nutzung der Blockchain-Infrastruktur
Eine weitere Bedrohung stellt der PavinLoader dar, der laut Untersuchungen von Malwarebytes in ClickFix-Kampagnen sowie über gefälschte Software-Downloads verbreitet wird. Diese Malware nutzt die Binance Smart Chain für ihre Command-and-Control-Kommunikation (C2), ein Verfahren, das als EtherHiding bekannt ist.
Die Infektionskette des PavinLoaders umfasst vier Stufen, beginnend mit einer Loader-DLL bis hin zu einem PE-Loader, der schließlich den Amatera Stealer in der Version 4.2.3-alpha1 installiert.
Angesichts der komplexen Angriffsmethoden auf Unternehmen wird proaktiver Schutz vor Cyberangriffen immer wichtiger. Ein kostenloses E-Book liefert fundierte Informationen zu aktuellen Bedrohungen und zeigt, wie Sie Sicherheitslücken ohne hohe Investitionen schließen. Kostenloses E-Book: Cyber Security Bedrohungen abwenden
Zum Schutz vor Sicherheitsanalysen prüft die Software die Umgebung auf Virtualisierung und gleicht das Tastaturlayout ab, wobei mehr als 17 Sprachen berücksichtigt werden. Sicherheitsforscher konnten in diesem Zusammenhang bereits 13 C2-Domains und mehrere IP-Adressen identifizieren.
Plattformübergreifende Angriffe und gefälschte Installationsmedien
Die Angreifer beschränken sich nicht nur auf Windows-Systeme. Unter dem Namen Codex wurde eine Kampagne entdeckt, die über gefälschte macOS-Installationsseiten und Google Sites den AMOS-Stealer verbreitet. Die Infrastruktur erkennt dabei das Betriebssystem des Besuchers; während macOS-Nutzer zum Einfügen schädlicher Skripte in das Terminal verleitet werden, erhalten Nutzer anderer Systeme harmlose Inhalte.
Zusätzlich warnten Experten vor betrügerischen Webseiten, die vermeintliche Demo-Versionen des Spiels GTA 6 anbieten. Der dort verbreitete Installer mit einer Größe von 1,1 MB enthält den Vidar-Stealer. Diese Schadsoftware zielt auf Daten aus 19 verschiedenen Browsern ab, um Cookies und Sitzungsinformationen zu entwenden.
Abgerundet wird das aktuelle Bedrohungsbild durch Funde von OX Security. In offiziellen npm-Registern wurden 24 bösartige Pakete entdeckt, die gefälschte Cloudflare-CAPTCHA-Seiten enthalten. Diese Pakete, die teilweise zwischen 50 und 300 Mal pro Woche heruntergeladen wurden, nutzen verschlüsselte Payloads, um unbemerkt Daten von Entwicklersystemen abzugreifen.
