Sicherheitsanalysten von SOCRadar warnen vor einer neuen, hochentwickelten Bedrohung durch den russischen Malware-Dienst DOUBLECUP. Bei der seit Juni 2026 aktiven Operation handelt es sich um einen sogenannten Loader-as-a-Service (LaaS), der speziell darauf ausgelegt ist, Schadsoftware über manipulierte Browser-Daten in Unternehmensnetzwerke einzuschleusen. Die Angreifer nutzen dabei eine Methode, die als ClickFix-Angriff bekannt ist, um Malware in gewöhnlichen PNG-Bilddateien innerhalb des Browser-Caches zu verbergen.
Raffinierte Infektionskette über Fake-CAPTCHAs
Der Angriffsablauf von DOUBLECUP beginnt häufig mit der Imitation bekannter Cloud-Dienste und Software-Plattformen. Berichten zufolge tarnen die Hintermänner ihre Kampagnen als Benachrichtigungen oder Login-Seiten von Anbietern wie NetSuite, Odoo, HubSpot und Salesforce. Nutzer werden dabei auf präparierte Webseiten geleitet, die ein gefälschtes CAPTCHA anzeigen.
Statt der üblichen Interaktion werden die Opfer dazu verleitet, einen Befehl in die Zwischenablage zu kopieren und auszuführen. Dieser Prozess initiiert die Extraktion der Schadlast aus einer scheinbar harmlosen PNG-Datei, die sich bereits im Cache des Browsers befindet. Ein besonderes technisches Merkmal ist die Entschlüsselung der Daten: Das System nutzt die öffentliche IP-Adresse des infizierten Rechners als kryptografischen Schlüssel. Nach einer erfolgreichen Verifizierung mittels SHA-256-Prüfsumme wird die Malware direkt im Arbeitsspeicher ausgeführt, was die Entdeckung durch herkömmliche signaturbasierte Sicherheitssysteme erschwert.
Einsatz von Blockchain-Technologie und Speicher-Ausführung
Die von DOUBLECUP verbreitete Software umfasst verschiedene Werkzeuge für Spionage und Fernzugriff. Identifiziert wurden unter anderem der CountLoader in der Version 4.5p, der sowohl Windows- als auch macOS-Systeme befallen kann, sowie der DeviceManager RAT (Remote Access Trojaner), der speziell auf Windows-Umgebungen abzielt.
Wer sich mit der Abwehr solch komplexer Cyberangriffe befasst, findet in diesem kostenlosen E-Book wertvolle Strategien zum Schutz der eigenen IT-Infrastruktur. Erfahren Sie, wie Sie Sicherheitslücken schließen und gleichzeitig neue gesetzliche Anforderungen erfüllen. IT-Sicherheit stärken ohne teure Investitionen
Besondere Aufmerksamkeit erregt die Infrastruktur des DeviceManager RAT. Die Malware nutzt Smart Contracts auf den Blockchains von Ethereum und Polygon, um die Adressen ihrer Command-and-Control-Server (C2) zu beziehen. Diese dezentrale Methode macht es für Sicherheitsbehörden und IT-Verantwortliche deutlich schwieriger, die Kommunikation zwischen der Malware und den Angreifern zu unterbinden oder die Infrastruktur abzuschalten.
Die Entdeckung der DOUBLECUP-Infrastruktur gelang den Forschern unter anderem durch ein offenes Verzeichnis, das unter der IP-Adresse 213.139.77.109 auf Port 9090 identifiziert wurde. Diese Spur gab tiefere Einblicke in die Verteilung der Schadsoftware und die genutzten Werkzeuge.
Persistenz und Schutzmaßnahmen
Um langfristig auf den kompromittierten Systemen aktiv zu bleiben, nutzt DOUBLECUP verschiedene Mechanismen zur Sicherung der Persistenz. Dazu gehören geplante Aufgaben (Scheduled Tasks), die Windows Management Instrumentation (WMI) sowie LaunchAgents auf macOS-Systemen. Diese Techniken stellen sicher, dass die Malware auch nach einem Neustart des Systems automatisch wieder geladen wird.
Da Hacker immer häufiger psychologische Manipulationstaktiken nutzen, um Schadsoftware in Unternehmen einzuschleusen, ist eine proaktive Aufklärung der Mitarbeiter unerlässlich. Dieser Gratis-Report enthüllt die aktuellen Methoden der Cyberkriminellen und zeigt, wie man sie effektiv entlarvt. Kostenloses Anti-Phishing-Paket jetzt herunterladen
Sicherheitsexperten empfehlen Unternehmen eine Kombination aus technischen und organisatorischen Maßnahmen, um das Risiko einer Infektion zu minimieren. Dazu gehöre die Sensibilisierung der Mitarbeiter für ClickFix-Taktiken, insbesondere im Umgang mit Aufforderungen zum Kopieren von Befehlen in die Zwischenablage. Da die Zwischenablage ein sensationales Element des Angriffs darstellt, könne eine Überwachung verdächtiger Clipboard-Aktivitäten als früher Warnindikator dienen. Zudem wird dazu geraten, den Endpunktschutz (Endpoint Protection) auf dem neuesten Stand zu halten und Anomalien im Netzwerkverkehr, insbesondere zu Blockchain-Gateways, genau zu beobachten.
