Neue Malware-Loader zielen über ClickFix und Teams auf Windows-Nutzer

Sicherheitsforscher haben zwei neue Windows-Malware-Loader dokumentiert, WordlistLoader und SynkLoader, die gefälschte CAPTCHA-Seiten und Microsoft-Teams-Phishing nutzen, um einen Information-Stealer zu installieren und Anmelde-Passwörter zu erfassen. Gen Digital berichtete, dass WordlistLoader in ClearFake-Kampagnen eingesetzt wird, um Amatera Stealer, auch bekannt als ACR Stealer oder AcridRain Stealer, über die ClickFix-Technik zu installieren. Bei einem ClickFix-Angriff zeigt eine Website ein überzeugendes Kontrollkästchen "Ich bin kein Roboter"; nachdem ein Besucher darauf geklickt hat, wird ein schädlicher Befehl in die Zwischenablage kopiert und das Opfer wird aufgefordert, ihn in den Windows-Dialog Ausführen einzufügen und auszuführen. Dieser Befehl lädt WordlistLoader herunter und führt schließlich Amatera aus, so Sicherheitsforscher Vojtěch Krejsa.

Die ClickFix-Eingabeaufforderungen werden in echte Websites eingeschleust, die Angreifer bereits kompromittiert haben. Das schädliche JavaScript wird als Base64-codierter Blob hinzugefügt (Base64 ist eine Textcodierung, die den echten Code verbergen kann). Dieser Blob kontaktiert einen auf einer Blockchain gespeicherten Smart Contract, um ein weiteres JavaScript-Stück abzurufen und auszuführen, eine Technik, die die Forscher EtherHiding nennen, weil der schädliche Code in der Blockchain versteckt ist. Einige kompromittierte Websites, die diese Eingabeaufforderungen auslieferten, waren abogadosrosarinos[.]com, aptisweb[.]com, avene-hebergement[.]com, https-xhamster[.]com, www.caesarjaco.co[.]id und skybap[.]shop. In den letzten Monaten haben ClearFake-Kampagnen auch das legitime Content-Delivery-Netzwerk cdn.jsdelivr.net missbraucht, um das schädliche JavaScript und PowerShell-Skript des Angreifers zu hosten. Expel merkte an, dass jsDelivr die Repositories des Akteurs schnell entfernt, aber EtherHiding ermöglicht es den Angreifern, verbrannte URLs durch frische, funktionierende zu ersetzen. Der ClickFix-Befehl selbst ist auf Tarnung ausgelegt: Er startet einen versteckten cmd.exe-Prozess über conhost, mappt eine entfernte WebDAV-Freigabe (eine Netzwerkdateifreigabe) mit pushd und startet dann den Loader mit rundll32.exe (ein legitimes Windows-Tool zum Ausführen von Code aus einer Bibliotheksdatei). Microsoft hat denselben WebDAV-Ansatz separat in drei aufgezeichneten Befehlsformen beschrieben: einen direkten rundll32-Aufruf, eine per pushd gemountete WebDAV-Freigabe gefolgt von rundll32.exe und eine headless-obfuskierte pushd-Ausführung gefolgt von rundll32.exe, wobei letztere der WordlistLoader-Infektionskette entspricht. In der erweiterten Variante verwendet der Befehl conhost.exe --headless, um Konsolenfenster zu verbergen, und verwendet Umgebungsvariablen-Obfuskation mit verzögerter Variablenexpansion, um pushd, rundll32 und den Remote-Hostnamen zu verbergen.

WordlistLoader ist eine Zwischenstufe in der Amatera-Infektionskette. Seine Hauptaufgabe besteht darin, Shellcode zu rekonstruieren, rohen Maschinencode, der als Einstiegspunkt für spätere Stufen dient. Gen Digital sagte, der Loader verwendet eine auf Hardware-Breakpoints basierende Methode, um Event Tracing for Windows (ETW), ein integriertes Windows-Protokollierungssystem, zu umgehen, sodass weniger Spuren hinterlassen werden. Die Malware-Familie hat ihren Namen, weil der Shellcode als eine Folge von einfachen englischen Wörtern gespeichert ist, wobei jedes Wort für ein Byte steht. Gen fand auch eine Variante, die den Shellcode als ein Array von 16-Byte-UUID-codierten Blöcken (lange Zufallskennungen) speichert. Der rekonstruierte Shellcode übergibt dann die Kontrolle an einen reflektiven Loader, eine Technik, die ein Programm direkt im Speicher lädt, ohne es auf die Festplatte zu schreiben, und dieser reflektive Loader entpackt und lädt Amatera 4.3.3-alpha1. Derselbe reflektive Loader wurde Ende April 2026 in einer anderen ClickFix-Kampagne gesehen. Anfang 2026 beobachteten Forscher Python-basierte Loader, die ACR Stealer auslieferten, aber diese wurden inzwischen durch WordlistLoader ersetzt. ACR Stealer wurde auch über ClickFix-Eingabeaufforderungen verbreitet, die MSHTA, den Windows-HTML-Anwendungs-Host, auslösen, um entfernte HTA-Inhalte abzurufen und auszuführen, was zu einem VBScript-Loader führt, der PowerShell decodiert und ein JPEG-Bild von einem Bildhosting-Dienst abruft, um die Stealer-Nutzlast im Speicher zu extrahieren. Die neueste Amatera-Version fügt aktualisierte statische Obfuskation, gehärtete Syscall-Aufrufe über den WoW64-Übergang (das Windows-Subsystem, das 32-Bit-Programmen die Ausführung auf 64-Bit-Windows ermöglicht), dynamisch generierte x64-indirekte Syscall-Trampoline, die über Heaven's Gate aufgerufen werden (eine Technik zum Wechseln zwischen 32-Bit- und 64-Bit-Code), und einen neu gestalteten anwendungsgebundenen Verschlüsselungs-Bypass, der von Remus Stealer inspiriert ist, hinzu.

Separat entdeckte Expel SynkLoader in einer Microsoft-Teams-Phishing-Kampagne Mitte August 2025. Ein Angreifer, der eine Microsoft-365-onmicrosoft.com-E-Mail-Adresse und den Anzeigenamen "IT Service Desk" verwendete, kontaktierte ein Ziel und überzeugte es, einen MSI-Installer (ein Microsoft-Installerpaket) von einem Azure-Dateispeicher-Endpunkt (filereserve.blob.core.windows[.]net/vgnghuyk/331/331.msi) herunterzuladen und zu installieren. Der Installer präsentierte sich als "PowerShell Cleaner", und da die Datei von einer Microsoft-Azure-Blob-Speicher-URL (Microsofts Cloud-Dateispeicher) stammte, sah es so aus, als käme sie von Microsoft. Nach der Ausführung extrahierte das MSI ein ZIP-Archiv und ein PowerShell-Skript; das Skript wurde im Speicher ausgeführt und startete einen Python-basierten Loader. Dieser Loader wählt zufällig eine von drei fest codierten Command-and-Control (C2)-Domänen (Server, die Angreifer verwenden, um infizierten Computern Anweisungen zu senden), checkt beim Server ein und schläft 90 bis 120 Sekunden zwischen den Anfragen, bevor es entschlüsselt und ausführt, was der Server zurückgibt. Expel identifizierte mindestens sieben Module: einen in C# geschriebenen System Profiler, der Informationen über den Computer sammelt; ein Persistence Module, das eine zufällig benannte geplante Aufgabe erstellt, um SynkLoader bei jedem Login und täglich um 10 Uhr zu starten; PhishLocker, das einen gefälschten Windows-Sperrbildschirm anzeigt, um das Passwort des Benutzers zu stehlen; TrafficRedirector, ein Reverse-Proxy, der dem Angreifer Zugriff auf lokale Netzwerkdienste gibt; eine Interactive Shell Remote Access Trojan (RAT) zum Ausführen von PowerShell-Befehlen; StreamMaster, ein Virtual Network Computing (VNC)-Modul zum Streamen des Desktops des Opfers und Steuern von Maus und Tastatur; und ein Status Checker-Skript, das meldet, welche Module aktiv sind. Expel-Forscher Marcus Hutchins beschrieb den ersten Kontakt. Es ist noch nicht klar, was das endgültige Ziel des Betreibers ist, aber Expel vermutet, dass das Toolkit zu einer Ransomware-Gruppe oder einem Initial Access Broker gehören könnte, einem Kriminellen, der in Netzwerke einbricht und diesen Zugang an andere verkauft.

In einem Follow-up, das nach der ursprünglichen Veröffentlichung geteilt und am 26. August 2026 aktualisiert wurde, sagte ReliaQuest, dass es denselben SynkLoader-PowerShell-Loader beobachtet hat, der über Vishing (Voice-Phishing, Telefonanrufe, die Menschen austricksen) und Microsoft-Teams-Nachrichten verbreitet wird, die sich als IT-Support-Mitarbeiter ausgeben. Die Lieferketten führen die Opfer immer noch zu einem betrügerischen "PowerShell Cleaner"-MSI, das auf legitimen Azure Blob Storage gehostet wird, was Expels Erkenntnisse widerspiegelt. ReliaQuest fügte hinzu, dass SynkLoader seine Nutzlast im Speicher entschlüsselt und vor der Ausführung einen kryptografischen Hash überprüft; wenn die Nutzlast geändert oder falsch extrahiert wurde, schlägt der Loader still fehl, anstatt fortzufahren. Der Loader wurde auch beim Bereitstellen eines modularen Python-Backdoors namens ss[.]py beobachtet, das seine Fähigkeiten zur Laufzeit von einem Command-and-Control-Server abruft, anstatt sie in die Nutzlast einzubetten. Das reduziert die forensische Sichtbarkeit und ermöglicht es dem Betreiber, neue Funktionen hinzuzufügen, ohne die gelieferte Datei zu ändern. ReliaQuest fasste die Kampagne als Kombination aus vertrauenswürdiger Cloud-Hosting-Infrastruktur, IT-Support-Identitätsvortäuschung, In-Memory-PowerShell-Ausführung und dynamisch abgerufenen Python-Komponenten zusammen, um unter dem Radar von E-Mail-, Netzwerk- und Sandbox-Kontrollen zu bleiben. Für Website-Besitzer ist die ClickFix-Seite dieser Geschichte eine Erinnerung daran, dass jede legitime Website in eine Verteilerseite verwandelt werden kann, wenn sie nicht gepatcht und überwacht wird; verwaltetes WordPress-Hosting mit integrierter Sicherheitsüberwachung, wie AEU Hosting, ist eine praktische Möglichkeit, dieses Risiko zu reduzieren.