Sicherheitsforscher des IT-Sicherheitsunternehmens Dr. Web haben eine großangelegte Cyberkampagne aufgedeckt, bei der manipulierte Software-Repositories auf der Entwicklerplattform GitHub zur Verbreitung von Schadsoftware genutzt werden. Über gefälschte Analysewerkzeuge gelang es den Angreifern, Hintertüren und Programme zum Datendiebstahl auf den Systemen von Betroffenen zu platzieren.
Nach Angaben der Forscher mit Stand vom 5. November 2026 wurden bereits mehr als 2.000 Windows-Systeme kompromittiert. Die Operation läuft bereits seit rund zwei Jahren. Während sich die Angriffe anfangs vor allem gegen Nutzer von Krypto-Wallets richteten, zielen die Akteure inzwischen gezielt auf IT-Sicherheitsfachleute ab.
Tarnung als Werkzeuge für Sicherheitstests
Die Angreifer nutzen präparierte Repositories, die den Anschein legitimer Hilfsmittel für Scan-Automatisierungen, Sicherheitsüberprüfungen und Protokollanalysen erwecken. Ein dokumentierter Fall umfasst unter anderem ein manipuliertes Skript, das vorgeblich die Ausgaben des Netzwerkscanners Fscan verarbeiten soll.
Der eigentliche Schadcode verbirgt sich an unterschiedlichen Stellen der bereitgestellten Projekte. Bei Visual-Studio-Projektdateien erfolgt die Ausführung bereits vor dem eigentlichen Kompiliervorgang über die Funktion PreBuildEvent. Zudem entdeckten die Analysten Schadcode in Python-Skripten und Go-Quellcode, wobei Teile der Befehle hinter umfangreichen Leerräumen versteckt wurden, um bei einer flüchtigen Sichtprüfung nicht aufzufallen.
Mehrstufige Infektionskette hebelt Windows-Schutz aus
Wird ein kompromittiertes Projekt ausgeführt, startet eine PowerShell-Abfolge, die über einen verschlüsselten Link ein Archiv mit der Bezeichnung Quixo.7z herunterlädt. Darin befindet sich ein modularer, Electron-basierter Lader namens „Microsoft.exe“, der im Verzeichnis C:ProgramDataWindows.Microsoft.Photos abgelegt wird.
Dieser Lader sichert seine dauerhafte Ausführung im Betriebssystem, verschafft sich erweiterte Rechte und setzt wesentliche Windows-Sicherheits- sowie Wiederherstellungsmechanismen außer Kraft.
Ein Klick auf den falschen Link oder ein unachtsamer Download reicht oft schon aus, um die Kontrolle über das eigene System zu verlieren. Dieser kostenlose Report zeigt Ihnen, wie Sie Ihren Windows Defender richtig einstellen und so die körpereigenen Abwehrkräfte Ihres PCs optimal nutzen. Windows Defender Schritt-für-Schritt-Anleitung kostenlos anfordern
Betroffen sind davon der Windows Defender, die Benutzerkontensteuerung (UAC), die Systemwiederherstellung, Volumenschattenkopien sowie Smart App Control. Anschließend wird die nächste Schadstufe in legitime Systemprozesse eingeschleust.
Im Standardmodus setzt der Lader auf sechs verschiedene Umgehungstechniken: Er täuscht explorer.exe als übergeordneten Elternprozess vor, deaktiviert Smart App Control über die Registrierungsdatenbank, stellt die originale ntdll.dll wieder her, um Sicherheitsüberwachungen zu entfernen, nutzt direkte Systemaufrufe und manipuliert EtwEventWrite sowie AmsiScanBuffer, um Ereignisprotokolle und Antiviren-Prüfungen auszuhebeln. Scheitert dieses Verfahren, greift ein Ausweichmodus, der Defender-Ausnahmen einrichtet und PowerShell-Code in die Datei RegAsm.exe injiziert.
Datendiebstahl und Manipulation von Schutzprogrammen
Als finale Schadlasten platzieren die Angreifer mehrere Komponenten auf den infiltrierten Rechnern. Dazu zählt die Fernsteuerungs-Hintertür AsyncRAT in der Version BackDoor.AsyncRAT.115 sowie ein sogenannter Clipper, der Adressen von Krypto-Wallets in der Zwischenablage austauscht und Bildschirmfotos über den Messenger Telegram verschickt.
Wer sich mit der Absicherung seiner digitalen Systeme befasst, weiß, dass IT-Experten oft schon zu einfachen, aber wirkungsvollen Basismaßnahmen raten. Mit dieser Experten-Anleitung für das Jahr 2026 erhalten Sie einen optimalen Virenschutz für Ihren PC, ganz ohne zusätzliche Software oder Kosten. Jetzt kostenlosen PDF-Report von Manfred Kratzl herunterladen
Zudem kommt der Infostealer JS.Stealer.191 zum Einsatz. Diese Schadsoftware sammelt Browserdaten, Zugangsdaten für VPN-Verbindungen, Messenger, Spielkonten, Discord-Token und Konfigurationen von FTP-Programmen wie FileZilla, MobaXterm und Total Commander, um sie über Telegram-Bots an die Angreifer zu übertragen.
Darüber hinaus versucht die Schadsoftware, installierte Schutzlösungen von ESET, McAfee und Malwarebytes zu entfernen, kappt die Verbindungen zu deren Update-Servern, modifiziert die lokale hosts-Datei und stört Sicherungsprozesse von Windows. Die Analysten von Dr. Web wiesen zudem auf eine unfertige Komponente hin, die den Lader im Falle einer Erkennung erneut nachladen könnte.
Zu den im Rahmen der Analyse veröffentlichten Netzwerk-Indikatoren gehören die Domains muckanthropic[.]com, muckcoding[.]com, muckdeveloper[.]com und muckduck.duckdns[.]org sowie die Skriptdateien t.ps1 und L.ps1 im öffentlichen Bilderverzeichnis von Windows.