BERLIN / LONDON (IT BOLTWISE) – Sicherheitsforscher melden eine neue Stufe der Webworm-Aktivität: Zwei maßgeschneiderte Backdoors, EchoCreep und GraphWorm, nutzen Discord bzw. Microsoft Graph API als Kommunikations- und Steuerkanal. Damit verschiebt sich der Fokus weiter von klassischen „Full-Backdoors“ hin zu halb-legitimen Werkzeugen, die sich im Netzwerk besser tarnen. Gleichzeitig setzen die Angreifer auf Proxy-Ketten und Open-Source-Scanner, um Zielsysteme über Weboberflächen zu finden und auszunutzen. Der Befund zeigt zudem Überschneidungen mit weiteren China-nahen Clustern und verweist auf MaaS-gestützte Ökosysteme im IIS-Umfeld.
Webworm, ein seit Jahren beobachteter China-unklarer bzw. China-naher Bedrohungsakteur, treibt seine Operative 2025 sichtbar weiter: Laut aktuellen Analysen hat der Akteur zwei neue Backdoors in sein Arsenal aufgenommen, die statt klassischer C2-Infrastrukturen auf alltägliche Kommunikationswege setzen. EchoCreep verwendet dabei Discord als Steuerkanal, während GraphWorm die Microsoft Graph API nutzt, um Befehle auszutauschen und Aktionen im Zielsystem anzustoßen. Für Unternehmen ist das vor allem deshalb relevant, weil diese Muster weniger wie „harte“ Malware wirken, sondern eher wie legitime Integrationen in vorhandene Kommunikations- und Cloud-Ökosysteme.
Historisch fällt auf, dass Webworm bereits seit mindestens 2022 öffentlich nachvollzogen werden konnte; erstmals wurde die Aktivität im Kontext von Symantec (Broadcom) im Jahr 2022 dokumentiert. Zielregionen erstrecken sich laut Branchenberichten von Russland und angrenzenden Staaten bis in Teile Asiens, mit einem Schwerpunkt auf Regierungsstellen und ausgewählten Branchen wie IT-Services, Luft- und Raumfahrt sowie Energie. Als übergreifende Technikbausteine werden Remote-Access-Trojaner (RATs) wie Trochilus RAT, Gh0st RAT und die als 9002 RAT bekannte Malware genannt. Gleichzeitig wird beschrieben, dass Webworm sein Set nach und nach um Proxy- und „semi-legitime“ Utility-Tools ergänzt und klassische Backdoor-Funktionalität zugunsten von Tarnung reduziert.
Technisch verknüpft Webworm mehrere Komponenten zu einem modularen Angriffspfad. Eine zentrale Rolle spielt dabei die Abbildung eines GitHub-Repositories, das eine WordPress-Fork „imitiert“, um als Staging Ground für Malware und Werkzeuge zu dienen. Als Tarnmittel und Nutzlastüberbrückung taucht zudem SoftEther VPN auf, ein Ansatz, der in der Praxis bereits von mehreren chinesischen Akteuren genutzt wurde, um Verkehrsprofile zu verschleiern und Zugriffe flexibler zu machen. Ergänzend werden eigene oder abgewandelte Proxy-Lösungen wie WormFrp, ChainWorm, SmuxProxy und WormSocket erwähnt; sie sollen nicht nur Kommunikation verschlüsseln, sondern auch Chaining zwischen mehreren Hosts intern und extern unterstützen.
Für das Verständnis der Neuerungen ist die Funktionsweise der beiden Backdoors entscheidend. EchoCreep unterstützt unter anderem Datei-Upload und -Download sowie die Ausführung von Kommandos über cmd.exe-Fähigkeiten. GraphWorm wirkt im Vergleich „fortgeschrittener“, indem es eine neue cmd.exe-Session starten, Prozesse erzeugen, Dateien in Microsoft OneDrive ablegen bzw. daraus abrufen und anschließend die eigene Ausführung nach einem Signal der Operatoren beenden kann. Gerade die Kombination aus Cloud-nahem Speicher und programmgesteuertem Lebenszyklus reduziert klassische Indikatoren in Netzwerkmitschnitten: Statt eines dauerhaften, eigenständig sichtbaren C2-Servers sehen Analysten eher Interaktionen mit Schnittstellen, die in modernen Unternehmen ohnehin vorkommen.
Der Kommunikationsnachweis über Discord liefert zudem eine greifbare zeitliche Einordnung: Die frühesten EchoCreep-Befehle sollen bis auf den 21. März 2024 zurückreichen; insgesamt wurden 433 Discord-Nachrichten über den C2-Server versendet. Offen bleibt weiterhin, wie genau die Initial Access-Phase technisch realisiert wird. Der Befund legt jedoch nahe, dass Angreifer über Web-Exposed Services arbeiten und dabei gängige Open-Source-Tools wie dirsearch und nuclei zur Brute-Force-Suche nach Dateien und Verzeichnissen sowie zur Schwachstellenrecherche einsetzen. Diese Vorgehensweise ist insofern markt- und sicherheitstechnisch konsistent, als sie das „Scannen bis zum Treffer“ mit modularer Post-Exploitation verbindet und so die Kosten pro kompromittiertem Ziel senkt.
In den Marktkontext passt, dass parallel auch das IIS-Umfeld in den Fokus rückt: Cisco Talos hat laut Bericht eine BadIIS-Variante beleuchtet, die wahrscheinlich zwischen mehreren China-sprachigen Gruppen als Malware-as-a-Service (MaaS) gehandelt oder gemeinsam genutzt wird. Das Modell zielt auf kontinuierliche Monetarisierung und wird dem Bericht zufolge seit mindestens 30. September 2021 entwickelt. Besonders auffällig ist, dass der gleiche Autor unter dem Alias „lwxat“ neben der Kernkomponente auch Service-Installer, Loader und Persistenzmechanismen bereitstellt, um Deployment- und Survivability-Schritte zu automatisieren und so die Erkennung nach Neustarts von IIS zu umgehen. Für Verteidiger entsteht daraus ein doppelter Handlungsdruck: Patch-Management allein reicht nicht, wenn auch das Angriffs- und Lieferökosystem selbst standardisiert wird.
Auch wenn Webworm und BadIIS nicht automatisch identisch sind, zeigt die Verknüpfung aus Proxy-Chaining, legitimitätsnahen APIs und automatisierten Build-/Konfigurationspfaden, wie schnell sich Taktiken, Techniken und Prozeduren angleichen. Für die betroffenen Branchen bedeutet das, dass Detection-Strategien stärker auf Verhaltens- und Intent-Muster setzen müssen: Exfiltration in Verbindung mit Cloud-Schnittstellen, ungewöhnliche Dateipraktiken in OneDrive sowie Discord-ähnliche Kommunikationspfade, die außerhalb erwarteter Workflows auftreten. Unternehmen sollten außerdem die Angriffsoberfläche webbasierter Systeme priorisieren, etwa durch Härtung von IIS-Installationen, Reduktion unnötiger Verzeichniszugriffe und Überwachung von Scan-ähnlichen Mustern, die dirsearch und nuclei typischerweise erzeugen. In der nächsten Ausbaustufe ist damit zu rechnen, dass solche Backdoors weiter auf flexible Orchestrierung setzen und C2-Funktionalität noch stärker in Dienste verlagern, die sich im Unternehmensalltag schwerer als „fremd“ klassifizieren lassen.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Webworm erweitert Backdoors: EchoCreep via Discord und GraphWorm via Microsoft Graph API" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Webworm erweitert Backdoors: EchoCreep via Discord und GraphWorm via Microsoft Graph API" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Webworm erweitert Backdoors: EchoCreep via Discord und GraphWorm via Microsoft Graph API« bei Google Deutschland suchen, bei Bing oder Google News!