SANTA CLARA / LONDON (IT BOLTWISE) – Palo Alto Networks’ Unit 42 beschreibt eine Iran-nexus Kampagne, die US-, Israel- und UAE-Ziele über Monate hinweg angegriffen hat. Im Fokus stehen neue Varianten von Remote-Access-Trojanern, die als zwei Malware-Familien gebündelt wurden. Besonders brisant ist ein Technikwechsel: Angreifer sollen den Initialisierungsprozess von .NET-Anwendungen mittels AppDomainManager hijacking manipuliert haben. Damit konnten Sicherheitsfunktionen über legitime Konfigurationsdateien deaktiviert werden, bevor die betroffene Anwendung vollständig startet.
Mit Blick auf die aktuelle Bedrohungslage wirkt die Meldung von Palo Alto Networks’ Unit 42 wie ein Stimmungsbarometer für die Cyber-Risiken rund um regionale Konflikte: Eine als Screening Serpens bekannte, Iran-nexus ausgerichtete APT-Gruppe soll in einer monatelangen Kampagne IT-nahe Organisationen in den USA, in Israel und in den Vereinigten Arabischen Emiraten angegriffen haben. Der Zeitraum der Aktivität fällt in die Phase ab Mitte Februar bis April 2026 und liegt zeitlich auffällig nah an einer regionalen Eskalation, wie sie im Umfeld des Starts von Operation Roaring Lion berichtet wurde. Für Unternehmen bedeutet das weniger „Einzelfall“, sondern die Erwartung koordinierter, adaptiver Angriffswellen.
Technisch steht bei der neuesten Aktivität vor allem der Ausbau der Schadsoftware-Toolchain im Vordergrund. Unit 42 beschreibt sechs neue Remote-Access-Trojaner (RAT)-Varianten, die zwischen Februar und April 2026 entwickelt und ausgerollt wurden. Auffällig ist dabei die Einordnung in zwei neue Malware-Familien: MiniUpdate und MiniJunk V2. Diese Struktur deutet auf eine gezielte Weiterentwicklung hin, nicht nur auf sporadische Anpassungen einzelner Artefakte. Zudem berichten die Analysten, dass mindestens eine Variante mit spezifischen Timing-Instruktionen kompiliert und eingesetzt wurde, was für einen abgestimmten Betriebsmodus spricht.
Besonders relevant für die Verteidigung ist die von Unit 42 hervorgehobene Methode des „AppDomainManager hijacking“ in .NET-Anwendungen. Dabei greifen Angreifer in die Initialisierungsphase ein: Sie manipulieren den Startprozess einer .NET-Umgebung so, dass Sicherheitsmechanismen über eine legitime Konfigurationsdatei aushebeln werden, bevor die Anwendung ihren vollständigen Start durchläuft. Das ist aus Sicht der Security-Architektur heikel, weil viele Schutzkontrollen primär auf Prozess- und Laufzeitindikatoren setzen, während die eigentliche Manipulation sehr früh im Lebenszyklus erfolgen kann. Im Ergebnis geraten Zielsysteme in eine „vorbereitete“ Lage, in der die nachgelagerten RAT-Funktionen ihre Wirkung breiter entfalten.
Die Angriffslogik wird zudem durch eine zweite Säule getragen: sozial abgestimmte Intrusionen. Unit 42 ordnet Screening Serpens als Gruppe ein, die vor allem Technologie-Fachkräfte mit stark personalisierten Lockvögeln anspricht. Oft sollen gefälschte Recruitment-Elemente auftreten, die vertraute Marken und Job-Plattformen imitieren. In einem beschriebenen Fall arbeiteten die Angreifer mit gefälschten Job-Dokumenten und einem „Hiring Portal“-Archiv, um technische Mitarbeitende in die Infektionskette zu ziehen. In einer weiteren Kampagne, die auf ein israelisches Ziel hinweisen soll, gelang die Zustellung über ein Archiv, das einen Installer für eine populäre Video-Conference-Lösung nachahmen sollte, ohne dass Unit 42 Hinweise auf eine kompromittierte Infrastruktur des „echten“ Anbieters gesehen habe.
Im Marktkontext zeigt sich hier ein Muster, das man auch aus Arbeiten anderer Akteure kennt: Große Security-Anbieter wie Microsoft (über dessen Threat-Intelligence-Programme) oder CrowdStrike haben in den vergangenen Jahren wiederholt verdeutlicht, dass APT-Gruppen häufiger auf mehrstufige Initialzugriffe, frühe Laufzeitmanipulationen und parallelisierte Ausbringung setzen. Exakt diese Verzahnung aus Social Engineering und technischem „Defense-Bypass“ erhöht den Aufwand für klassische Abwehrlinien, weil weder reine E-Mail-Filter noch isolierte Endpoint-Signaturen ausreichen. Wie Experten im Sicherheitsumfeld betonen, verschiebt sich dadurch die Herausforderung Richtung Telemetrie-Korrelation: Wer eine Infektion nur nach dem ersten RAT-Laufzeitindikator erkennt, sieht das Problem oft zu spät.
Historisch ist die Strategie kein kompletter Neuanfang, aber sie zeigt klare Lernkurven. Seit Jahren nutzen APT-Gruppen Remote-Access-Funktionen, um später Persistenz, Credential-Abgriff und Zielinteraktion aufzubauen. Ebenso sind bei .NET-basierter Software seit der Verbreitung des Managed-Code-Ökosystems „In-Process“-Manipulationen ein wiederkehrendes Thema, etwa durch Abhängigkeits-Umleitungen, Modifikation von Startkonfigurationen oder das Ausnutzen von Ladepfaden. Neu ist hier weniger die Idee „.NET angreifen“, sondern die konkrete Angriffswirkung in der Initialisierungsphase über AppDomainManager-Hijacking. Das passt zu dem Eindruck, den Unit 42 insgesamt vermittelt: Screening Serpens arbeitet seit mindestens 2022 und hat in jüngster Zeit technische Fähigkeiten und operative Robustheit erhöht.
Für die Branchenauswirkungen ist entscheidend, wie Unternehmen ihre Mess- und Härtungsstrategien ausrichten. Wenn eine Konfigurationsdatei genutzt wird, um Sicherheitsfunktionen vor dem vollständigen Anwendungsstart zu deaktivieren, müssen Security-Teams die frühe Phase des Application Lifecycle als eigenes Prüfziel behandeln. Das betrifft u. a. die Absicherung von Deployment-Pipelines, die Integritätsprüfung von Konfigurationsartefakten sowie die Überwachung von .NET-Startparametern und Ladeereignissen. Ergänzend wird Social Engineering wieder zum „Echtzeit-Signal“: Organisationen sollten nicht nur E-Mail-Anomalien reduzieren, sondern auch den Prozess der Identitätsprüfung bei Recruiting- und HR-bezogenen Eingaben verschärfen. In der Praxis bedeutet das: weniger Vertrauen in Dateianhänge, mehr Vertrauen in nachvollziehbare Herkunftsketten.
Der Ausblick der Unit-42-Analysten unterstreicht zudem die Dringlichkeit. In der aktuellen Bewertung heißt es sinngemäß, dass die Aktivität von Screening Serpens bis April 2026 keine Anzeichen einer Abschwächung zeigt und weiterhin „sustained, adaptive global cyber campaigns“ koordiniert. Für Unternehmen heißt das: Man sollte nicht davon ausgehen, dass eine einzelne Welle den „gesamten“ Angriffsrahmen abdeckt. Angesichts von zwei koordinierten Deployment-Wellen, wie sie die Forschung nahelegt, ist eine flexible Reaktion wichtiger als starre Blocklisten. Künftige Entwicklungen könnten sich daher auf noch feinere Timing-Mechanismen, zusätzliche RAT-Familien und weitere Bypass-Techniken im Application-Startup konzentrieren.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Iran-nexus APT Screening Serpens: Neue RAT-Wellen und .NET-Start-Hijacking" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Iran-nexus APT Screening Serpens: Neue RAT-Wellen und .NET-Start-Hijacking" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Iran-nexus APT Screening Serpens: Neue RAT-Wellen und .NET-Start-Hijacking« bei Google Deutschland suchen, bei Bing oder Google News!