In einem aktuellen Bericht hat Microsoft vor einer großflächigen Kampagne der chinesischen Bedrohungsgruppe Silver Fox, auch bekannt als Yinhu, gewarnt. Die Angreifer nutzen demnach imitierte Download-Portale bekannter Marken, um Schadsoftware auf Windows-Systemen zu verbreiten. Betroffen sind unter anderem gefälschte Webpräsenzen von Razer, Kaspersky sowie dem hauseigenen Browser Microsoft Edge.
Umgehung von Sicherheitsmechanismen durch dynamische Dateigenerierung
Die Kampagne zielt darauf ab, Nutzer zum Herunterladen von ZIP-Archiven zu bewegen, die mit Hintertüren (Backdoors) präpariert sind. Wie Microsoft in einem Bericht vom 2. September 2026 mitteilte, ordnet das Unternehmen die Aktivitäten mit mäßiger Sicherheit der Gruppe Silver Fox zu.
Eine Besonderheit dieser Kampagne liege in der technischen Umsetzung des Dateitransfers: Die auf den gefälschten Webseiten angebotenen ZIP-Archive werden bei jedem einzelnen Download-Vorgang neu generiert.
Durch dieses Verfahren verändern sich die kryptografischen Prüfsummen (Hashes) der Dateien kontinuierlich. Dies führt dazu, dass eine herkömmliche, auf Hash-Werten basierende Erkennung durch Sicherheitsprogramme weitgehend wirkungslos bleibt. Die potenziellen Opfer laden so scheinbar legitime Installationsprogramme herunter, die jedoch bereits bei der Ausführung das System kompromittieren.
Massive Eingriffe in die Systemintegrität von Windows
Die von Microsoft untersuchte Schadsoftware zielt darauf ab, die Kontrolle über infizierte Windows-Umgebungen vollständig zu übernehmen. Sobald die Malware aktiv ist, versucht sie, umfassende SYSTEM-Rechte zu erlangen. Den Analysen zufolge ergreift die Software gezielte Maßnahmen, um die Verteidigungsmechanismen des Betriebssystems zu schwächen. Dazu gehört die Deaktivierung des Windows Defender sowie der Abbruch von Windows-Update-Prozessen.
Angriffe wie diese zeigen, wie schnell Windows-Systeme durch manipulierte Updates oder Software-Downloads instabil werden können. In diesem kostenlosen Ratgeber erfahren Sie, wie Sie typische Systemfehler und Update-Probleme auch ohne Expertenhilfe schnell selbst beheben. Kostenlosen Windows-Hilfe-Report jetzt herunterladen
Zudem löscht die Malware Schattenkopien des Systems, was die Wiederherstellung von Daten nach einem Befall erheblich erschwert. Um unentdeckt zu bleiben, injiziert sich der Schadcode in laufende Prozesse.
Für die weitere Ausbreitung innerhalb von Netzwerken (laterale Bewegung) nutzt die Kampagne das SMB-Protokoll (Server Message Block). Die Kommunikation mit den Befehlsservern der Angreifer (Command-and-Control, C2) erfolgt über ungewöhnliche Netzwerk-Ports, namentlich 5090, 7031, 8050 und 28300.
Fokus auf chinesischsprachige Organisationen und Nutzer
Die Kampagne richtet sich primär gegen chinesischsprachige Anwender und Organisationen mit Sitz in China. Die gefälschten Download-Seiten sind entsprechend in chinesischer Sprache verfasst. Die Liste der betroffenen Branchen ist dabei breit gefächert.
Wer die Sicherheit seiner IT-Infrastruktur nachhaltig stärken möchte, muss die aktuellen Taktiken der Angreifer genau kennen. Dieses Gratis-E-Book bietet Unternehmen fundierte Einblicke in moderne Bedrohungsszenarien und zeigt effiziente Wege zum proaktiven Schutz auf. Gratis-E-Book: IT-Sicherheit im Unternehmen verbessern
Microsoft identifizierte Ziele in den Sektoren Medizin und Fertigung, aber auch im Bereich Gaming sowie in der Logistikbranche. Darüber hinaus seien Einrichtungen aus dem Bildungswesen und Regierungsstellen von den Angriffen betroffen.
Trotz der detaillierten Warnung durch Microsoft gibt es für die beschriebene Sicherheitslücke derzeit keine spezifische CVE-Kennung. Auch eine unabhängige Bestätigung der Kampagne durch andere Sicherheitsdienstleister liege momentan noch nicht vor.
Empfohlene Schutzmaßnahmen für Unternehmen
Um sich gegen diese Form des Angriffs zu schützen, empfiehlt Microsoft den Einsatz von Funktionen wie der „Tamper Protection“ (Manipulationsschutz), die unbefugte Änderungen an Sicherheitseinstellungen verhindern soll.
Da die statische Erkennung aufgrund der dynamisch generierten Dateien erschwert wird, rät das Unternehmen zudem verstärkt zu verhaltensbasierten Erkennungssystemen. Diese können verdächtige Aktivitäten auf einem System auch dann identifizieren, wenn die Signatur der auslösenden Datei noch unbekannt ist.
