Sicherheitsanalysten von SOCRadar haben eine neue, hochentwickelte Malware-Infrastruktur identifiziert, die unter dem Namen DOUBLECUP firmiert. Bei dem System handelt es sich um eine sogenannte Loader-as-a-Service-Plattform russischen Ursprungs, die bereits seit Juni 2026 im operativen Betrieb ist. Die Hintermänner setzen auf eine Kombination aus Social Engineering und technisch anspruchsvollen Verschleierungsmethoden, um Schadcode in Unternehmensnetzwerke einzuschleusen.
Tarnung durch Steganografie und Browser-Cache
Ein wesentliches Merkmal von DOUBLECUP ist die Nutzung von Steganografie. Dabei wird bösartiger Programmcode innerhalb von gewöhnlich erscheinenden Bilddateien im PNG-Format versteckt. Diese Dateien werden im Browser-Cache der Zielsysteme abgelegt. Durch dieses Verfahren versuchen die Angreifer, herkömmliche Sicherheitslösungen zu umgehen, da Bilddateien in der Regel seltener als potenzielle Bedrohung eingestuft werden als ausführbare Skripte oder Binärdateien.
Die Verbreitung der Schadsoftware erfolgt über gezielte Täuschungsmanöver. Die Plattform nutzt unter anderem die sogenannte ClickFix-Technik sowie Clipboard-Social-Engineering. Hierbei werden Nutzer dazu verleitet, vermeintliche Fehlerbehebungen durchzuführen, indem sie schädliche Befehle in die Zwischenablage kopieren und anschließend in einer Konsole ausführen.
Angesichts immer raffinierterer Methoden wie Clipboard-Social-Engineering wird der Schutz der eigenen Konten wichtiger denn je. Dieser kostenlose Report erklärt, wie Sie mit der neuen Passkey-Technologie Ihre Accounts bei Amazon, Google und Co. ohne klassische Passwörter absichern können. Passkey-Ratgeber jetzt kostenlos herunterladen
Auslieferung von CountLoader und DeviceManager RAT
Über die DOUBLECUP-Infrastruktur werden verschiedene Schadprogramme verteilt. Dazu gehört der CountLoader, der sowohl für Windows- als auch für macOS-Systeme ausgelegt ist. Zudem wurde im Zuge der Untersuchungen der neuartige DeviceManager RAT (Remote Access Trojaner) entdeckt, der speziell auf Windows-Betriebssysteme abzielt.
Der DeviceManager RAT zeichnet sich durch eine ungewöhnliche Kommunikationsstruktur aus. Für die Verbindung zum Command-and-Control-Server (C2) nutzt die Software das sogenannte EtherHiding. Dabei erfolgt der Datenaustausch über Smart Contracts auf den Blockchains von Ethereum oder Polygon. Diese Methode erschwert die Blockierung der Server-Kommunikation erheblich, da der Datenverkehr über dezentrale Netzwerke abgewickelt wird.
Technische Details zur Persistenz und Entdeckung
Die Entdeckung der Plattform gelang den Sicherheitsforschern über ein offenes Verzeichnis unter der IP-Adresse 213.139.77.109 auf Port 9090. Die Analyse ergab, dass DOUBLECUP einen dateilosen Dropper (fileless dropper) verwendet. Um eine Ausführung in Analyseumgebungen oder auf falschen Systemen zu verhindern, kommt ein IP-basierter Schlüssel zum Einsatz, das sogenannte Environmental Keying. Zudem wird die Integrität der Daten mittels SHA-256-Prüfsummen sichergestellt.
Da jährlich Millionen von Online-Konten durch immer neue Cyber-Bedrohungen kompromittiert werden, ist ein Umdenken bei der digitalen Sicherheit notwendig. Erfahren Sie in diesem Gratis-Leitfaden, wie Sie sich durch moderne, passwortlose Anmeldeverfahren effektiv vor Datenklau und Phishing schützen. Hier die Anleitung zur sicheren Anmeldung sichern
Um dauerhaft auf den infizierten Systemen aktiv zu bleiben, nutzt die Schadsoftware verschiedene Mechanismen zur Persistenz. Auf Windows-Systemen werden hierfür geplante Aufgaben (Scheduled Tasks) sowie die Windows Management Instrumentation (WMI) missbraucht. Für macOS-Systeme greift die Plattform auf LaunchAgents zurück.
Diese Kombination aus Blockchain-basierter Kommunikation, steganografischer Tarnung und plattformübergreifenden Payloads markiert laut den Experten eine signifikante Weiterentwicklung im Bereich der Loader-as-a-Service-Angebote. Unternehmen wird geraten, insbesondere auf ungewöhnliche Aktivitäten im Browser-Cache und unautorisierte Änderungen in der Aufgabenplanung ihrer Systeme zu achten.
