Dysphoria-Botnetz kapert 296.000 IoT-Geräte für DDoS-Angriffe

Das Dysphoria-Botnetz hat fast 296.000 internetverbundene Geräte übernommen, oft IoT-Geräte genannt, berichtete die Shadowserver Foundation diese Woche. Der Hauptzweck des Botnetzes scheint darin zu bestehen, verteilte Denial-of-Service-Angriffe zu starten, die ein Ziel mit Verkehr überschwemmen, bis es offline geht. Shadowserver fügte hinzu, dass Dysphoria kürzlich eine Residential-Proxy-Funktion erhalten hat, was bedeutet, dass infizierte Geräte Datenverkehr weiterleiten und Angriffe schwerer nachverfolgbar machen können.

In einem separaten Vorfall bestätigte das Sicherheitsunternehmen ReliaQuest, dass einer seiner Mitarbeiter am 22. August 2026 in einen fehlgeschlagenen Erpressungsversuch verwickelt war. Eine Person gab sich als Mitglied des Sicherheitsteams aus, registrierte eine ähnlich aussehende Domain und richtete eine gefälschte Single-Sign-On-Seite hinter einem Content Delivery Network ein. Der Angreifer rief dann mehrere ReliaQuest-Mitarbeiter an und überredete einen, ein Passwort einzugeben und eine Multi-Faktor-Authentifizierungs-Push-Benachrichtigung zu genehmigen, was dem Angreifer Zugang zu einer kurzen, nur lesenden Sitzung auf einem Identitäts-Dashboard verschaffte. ReliaQuest sagte, dass keine Anwendungen, Systeme oder Kundendaten zugegriffen wurden. Das Unternehmen ordnete den Angriff nicht zu, bemerkte jedoch, dass das Vorgehen mit ShinyHunters und ähnlichen Gruppen übereinstimmt, einschließlich einer Einweg-Domain, einer Harvesting-Seite hinter einem Content Delivery Network und schnellen Versuchen, einen neuen Authenticator zu registrieren.

Gefälschte Websites, die Produktivitätssoftware bewerben, werden verwendet, um Malware zu verbreiten, die als funktionierende Electron-basierte Anwendungen getarnt ist. Forscher beobachteten Programme wie Kitchen Canvas, Food or Meal Formula und DocConvertWizard, die dynamisch injizierte Skripte ausführen und den Desktop über Electron-APIs erfassen können. Cisco Talos dokumentierte auch ein operatorgesteuertes Phishing-Framework namens JWR, das Checkout- und Login-Seiten auf großen Zahlungs- und Shopping-Plattformen nachahmt. Anstatt nur Formularübermittlungen zu protokollieren, hält JWR einen AES-CTR-verschlüsselten WebSocket offen, damit ein Angreifer die Sitzung jedes Opfers live steuern kann. Es sammelt Zahlungsdaten, Identitätsdokumente, Sozialversicherungsnummern, Pass- und Führerscheinbilder, Website- und PayPal-Anmeldeinformationen, Zwei-Faktor-Authentifizierungscodes und vollständige Gerätefingerabdrücke. Talos bewertete JWR als eine Variante der Phishing-as-a-Service-Plattform The Outsider.

iVerify enthüllte Octagon, einen Android-On-Device-Betrugsbot, der als Malware-as-a-Service vom russischsprachigen Akteur AndroidKitKat für 1.400 US-Dollar pro Monat verkauft wird. Es bietet Accessibility-Overlays, versteckten Remote-Desktop, SMS- und Einmalpasswort-Abfangen, Erfassung von Entsperrmustern und Lesen des Bildschirmguthabens und zielt auf Krypto-Wallets und Banking-Apps ab. Zscaler ThreatLabz sagte, es habe im Juli 2026 eine Rust-basierte Backdoor namens C2Looper entdeckt, die wahrscheinlich von einem ransomware-bezogenen Bedrohungsakteur verwendet und über eine mehrstufige ClickFix-Infektionskette verbreitet wird. C2Looper unterstützt Remote-Shell-Ausführung, Aufklärung und die Bereitstellung zusätzlicher Malware, und eine Variante verwendet GitHub für Command-and-Control-Kommunikation.

LevelBlue beschrieb einen bisher undokumentierten Remote-Access-Trojaner namens CNCMachineRMS, der von BabaDeda Loader verbreitet wird. Die Infektion beginnt mit einem ClickFix-Köder, der eine legitim signierte IBM SPSS IDE-Executable, WinWrapIDE.exe, startet, deren Skript-Engine missbraucht wird, um eine bösartige DLL zu laden. Vier Köder-DLLs werden über normale Windows-Importe geladen, dann versteckt die letzte Stufe Shellcode in einer harmlosen Datumsformatierungsfunktion. Der Trojaner gibt einem Operator Remote-Administration, einschließlich einer interaktiven Shell, eines Dateimanagers, Bildschirmaufnahme, einer lokalen Konto-Backdoor, sieben Persistenzmechanismen und zwanzig Befehlen zum Herunterladen weiterer Payloads. Zscaler fand auch Abyssos, einen modularen C++-Remote-Access-Trojaner, der erstmals im Juni 2026 entdeckt wurde und ein benutzerdefiniertes TCP-Protokoll verwendet und Credential-Diebstahl, Dateiexfiltration und Remote-Zugriff über VNC unterstützt.

Palo Alto Networks Unit 42 berichtete, dass ein C++-Botnetz-Loader namens Aeternum seine Befehlsinfrastruktur vollständig auf die Polygon-Blockchain verlagert hat. Infizierte Geräte lesen verschlüsselte und Klartext-Anweisungen aus Smart Contracts, indem sie öffentliche Remote Procedure Call-Endpunkte abfragen, was Takedowns viel schwieriger macht. Joe Security untersuchte ToxNetV2, ein AArch64-Linux-Peer-to-Peer-Botnetz, das ein großes Sprachmodell in seinen Controller integriert hat. Der Controller verwendet NVIDIA NIM mit dem Modell z-ai/glm-5.2, um Host-Telemetrie in mögliche Aktionen umzuwandeln, aber ein menschlicher Operator bleibt der letzte Genehmigungspunkt für wirkungsvolle Schritte. ToxNetV2 enthält auch verschlüsselte Peer-to-Peer-Steuerung, Scan-Worker, Selbstverbreitung und 17 Netzwerkangriffsstarter.

Mehrere Informationsdiebe tauchten diese Woche auf. Splunk berichtete über Phantom Stealer, der Browser-Anmeldeinformationen, gespeicherte Passwörter, Sitzungscookies, Kryptowährungs-Wallet-Dateien und Systemfingerabdrücke sammelt und über Phishing-Köder, gecrackte Software und Links auf Discord und Telegram verbreitet wurde. Ein zweiter Go-basierter Stealer namens Salat Stealer führt Systemaufklärung, Credential-Diebstahl und Desktop-Streaming mit Audio- und Videoaufnahme durch. Point Wild entdeckte Vanta Stealer, ein Python-basiertes Tool, das auf Chromium-Browser, Discord, Telegram, Steam, Gaming-Plattformen, VPNs, Kryptowährungs-Wallets und lokal gespeicherte sensible Dokumente abzielt. Es sammelt Passwörter, Cookies, Zahlungsinformationen, Authentifizierungstoken, Gaming-Daten, Wallet-Dateien, Screenshots, Webcam-Aufnahmen und Dokumente mit Wiederherstellungsphrasen, aber wie genau es verbreitet wird, ist noch nicht bekannt. Bösartige Verknüpfungsdateien, die als PDF-Dokumente getarnt sind, starten eine mehrstufige Kette über cmd.exe, legitime Windows-Dienstprogramme, AutoIt und PowerShell, um DARTHVADER Stealer zu installieren, während DestinyStealer auf Europa und die USA abzielt und eine Code-Linie mit StormKitty Stealer teilt. Joe Security detaillierte auch ScarfaceStealer, der über Electron-basierte Apps verbreitet wird, die sich als KI-Tools ausgeben; die Malware prüft 11 Umgebungsindikatoren und läuft nur, wenn ein gewichteter Verdachtswert unter 7 bleibt, andernfalls geht sie in eine Köderschleife.

Malwarebytes warnte vor einer Betrugskampagne mit 11 gefälschten Websites, die vorgeben zu prüfen, ob Antiviren-Tools funktionieren. Die Seiten tragen Microsoft-Branding und Namen wie SysScan, zeigen einen überzeugend aussehenden gefälschten Sicherheitsscan, sagen Opfern, dass ihr Antivirus Probleme verursacht, sammeln ihre Informationen und bereiten sie auf einen angeblichen Rückerstattungsanruf vor, der zum Deinstallieren echter Antivirensoftware führt. Malwarebytes beobachtete auch ClickFix-Köder und gefälschte Software-Downloads, die PavinLoader verbreiten, der als Loader-as-a-Service angeboten zu werden scheint und legitime Windows-Tools zusammen mit bösartigen .NET-Dateien verwendet, einschließlich einer blockchain-basierten Technik namens EtherHiding, um Anweisungen zu verbergen.

AmberWolf enthüllte eine Zero-Day-Boot-Chain-Schwachstelle in HP ThinPro 8 und 9, die es einem Angreifer mit physischem Zugriff ermöglicht, TPM-basierte Full-Disk-Verschlüsselung zu umgehen und LUKS-Schlüssel wiederherzustellen. Der Fehler stammt aus einer unvollständigen Measured-Boot-Richtlinie, die den Linux-Kernel und initramfs auslässt. AmberWolf empfahl, Secure Boot zu aktivieren und ein BIOS-Passwort festzulegen, betonte jedoch, dass diese einen Angreifer nur verlangsamen und die Lücke nicht schließen. Die Schwachstelle bleibt ungepatcht, und das Unternehmen riet, die Verschlüsselung als keinen Schutz mehr zu betrachten, sobald ein Gerät Ihre Kontrolle verlässt.

Kaspersky sagte, es habe im Q2 2026 mehr als 1,99 Millionen Angriffe auf mobile Geräte mit Malware, Adware oder unerwünschter mobiler Software blockiert. Trojan-Banker war die häufigste Kategorie mit einem Anteil von 30,77 % der erkannten Anwendungen, und Forscher entdeckten über 304.000 bösartige Installationspakete, darunter 93.574 mobile Banking-Trojaner und 570 Ransomware-Pakete.

Ein gemeinsamer Nenner dieser Berichte ist, dass Angreifer immer wieder Stellen finden, an denen Vertrauen billig und Reibung gering ist: gefälschte Login-Seiten, gefälschte Sicherheitsscans, gefälschte Produktivitäts-Apps und Loader, die sich normal verhalten, bevor sie ihren wahren Zweck enthüllen. Für Website-Betreiber und IT-Teams lautet die praktische Lehre, jeden Link, Download und jede Login-Aufforderung als potenziell feindselig zu behandeln. Eine sicherheitsorientierte IT- und Infrastrukturüberprüfung von AEU-I kann Organisationen helfen, die Grundlagen zu prüfen, wie Multi-Faktor-Authentifizierung, Patchen und Least-Privilege-Zugriff, ohne jede neue Malware-Familie selbst verfolgen zu müssen.