SÜDKOREA / LONDON (IT BOLTWISE) – Sicherheitsforscher warnen vor RemotePE, einem plattformübergreifenden Memory-Only RAT, den die mit Nordkorea in Verbindung gebrachte Lazarus-Gruppe gegen Finanz- und Krypto-Organisationen einsetzt. Die Attacke startet mit Social Engineering und Telegram-Nachrichten, die Opfer über gefälschte Termin-Links in eine mehrstufige Infektionskette ziehen. Entscheidend ist, dass der Schadcode nach der Initialzündung nie als Datei auf dem System verbleibt, was forensische Spuren reduziert. Zusätzlich nutzen die Angreifer ETW-Patching und Techniken zur Umgehung gängiger Erkennung, um den Zugriff langfristig zu halten.
Die neue Beobachtung rund um „RemotePE“ zeigt, wie stark sich Angriffe auf Finanz- und Krypto-Zielsysteme von klassischen Malware-Installationen wegbewegen und hin zu fileless bzw. memory-only Execution verlagern. Laut Branchenberichten setzt die mit Nordkorea in Verbindung gebrachte Lazarus-Gruppe dabei auf eine mehrstufige Loader-Kette, deren wichtigster Vorteil darin liegt, dass der eigentliche Remote-Zugriffstrojaner (RAT) nicht dauerhaft auf dem Dateisystem landet. Für Security-Teams bedeutet das: Persistenz, Telemetrie und Forensik werden nicht durch das „Suchen nach einer Datei“ gelöst, sondern durch die Rekonstruktion von Prozess- und API-Abläufen, selbst wenn kaum Artefakte sichtbar sind.
Technisch beginnt die Kette mit zwei Loadern, die als „DPAPILoader“ und „RemotePELoader“ verfolgt werden. Der DPAPILoader (genannt wurde dabei „Iassvc.dll“) entschlüsselt und lädt den nächsten Stage direkt von der Festplatte über die Windows Data Protection API (DPAPI). Genau dieser Schritt ist interessant, weil DPAPI zwar legitimen Schutzmechanismen dient, aber in Angriffen als Hülle für verschlüsselte Payloads missbraucht werden kann. Der RemotePELoader wiederum kontaktiert einen Command-and-Control-Server per HTTP, lädt das Kernmodul nach und führt es ausschließlich im Speicher aus, ohne es als Datei zu hinterlassen. Damit sinkt die Wahrscheinlichkeit, dass EDR/AV über bekannte Hashes oder Dateisignaturen greift.
Dass die Angreifer dennoch „unsichtbar bleiben“ wollen, wird in den beschriebenen Gegenmaßnahmen konkret: Der RemotePELoader soll Erkennungsmuster umgehen, etwa über Hell’s Gate-Techniken und das Patchen des Event Tracing for Windows (ETW). ETW ist für viele Sensoren die Grundlage, um System- und Prozessereignisse zu beobachten; wird der Datenfluss manipuliert oder unterdrückt, wird Telemetrie „dünn“. In der Praxis verschiebt das die Detektionslogik: Wer sich primär auf Dateiindikatoren stützt, sieht zu spät, während wer auf API-Sequenzen, auffällige Speicheroperationen oder ungewöhnliche Netzwerkmuster reagiert, schneller eine Anomalie findet. Zusätzlich fiel auf, dass selbst die Zwischenstufe (RemotePELoader) vor der Veröffentlichung in bekannten Shared-Intelligence-Quellen wie VirusTotal nicht prominent aufschien, was auf Zielpriorisierung und begrenztes Erstkontakt-Sampling hindeutet.
Der initiale Zugang wird zudem als „hands-on“ beschrieben: Social Engineering, das den Prozess wie ein typisches B2B-Workflowszenario tarnt. Angreifer sollen Opfer über Telegram kontaktiert haben, dabei unter dem Deckmantel eines angeblichen Mitarbeiters eines Trading-Unternehmens auftreten und ein Meeting über gefälschte Calendly- und Picktime-Domains anbahnen. Genau solche Kombinationen aus Messenger-Kommunikation und Cloud-gestützten Termin-Workflows senken die Hürde für Nutzer: Der Schritt wirkt organisatorisch statt technisch. Für die Security-Organisation heißt das, dass Awareness allein nicht reicht; man braucht auch Controls für Identitäts- und Domain-Integrität, etwa durch striktes URL-Filtering, Browser-Isolation für externe Links sowie die Absicherung von Token- und OAuth-Flows bei Drittanbietern.
Im Betrieb liefert RemotePE dann die „Werkzeugkiste“ für langfristige Ausnutzung. Die final ausgeführte Payload ist ein vollständiger RAT, geschrieben in C++, der einen C2-Server abfragt und auf Kommandos reagiert. Berichten zufolge umfasst das Set sechs Kategorien: Konfiguration der C2-Verbindung, Navigation des Arbeitsverzeichnisses sowie dynamisches Laden und Entladen von DLL-Modulen; außerdem filebezogene Aktionen wie Prozessliste, Prozessstart und Prozessbeendigung. Hinzu kommen Timing-Kommandos (Sleep oder Exit), ein Ping zur Erreichbarkeit und spezifische Dateimanipulation. Besonders auffällig ist dabei der „File Deletion“-Mechanismus: Dateien werden siebenfach mit konstanten Bytes überschrieben, bevor sie umbenannt und gelöscht werden. Vergleichbare Muster wurden in anderen Lazarus-Familien wie PondRAT und POOLRAT („SIMPLESEA“) beobachtet.
Dass RemotePE nicht nur einmalig ausgerollt wurde, sondern aktiv weiterentwickelt wird, untermauern die Sample-Zeitstempel und Beobachtungen: Fox-IT soll vier RemotePE-Beispiele erhalten haben, die auf aktive Entwicklung zwischen Mitte 2023 und Mitte 2024 hindeuten, wobei frühe Versionen bis auf den 4. Juli 2023 zurückreichen. Die Forscher ordnen das Toolset als „purpose-built“ für Langzeit-Beobachtung ein: Memory-only Execution, geringe forensische Fußabdrücke, EDR-Umgehung und eine Umgebungserkennung („environmental keying“) deuten auf Kampagnen hin, die zuerst Zugänge stabilisieren und später hochwirksame Ziele ansteuern. Das ist auch historisch plausibel: Lazarus war in der Vergangenheit wiederholt bei finanz- und kryptobezogenen Operationen aktiv, und die Strategie „erst leise bleiben, dann eskalieren“ passt zu dieser Linie.
Aus Marktsicht stellt die Kombination aus DPAPI-verschlüsselten Payloads, ETW-Patching und speicherbasierten RAT-Komponenten einen Verschiebungsimpuls für Verteidiger dar. Klassische Wettbewerbsansätze in der Branche konzentrieren sich stark auf Endpoints mit signaturbasierter Erkennung; moderne EDR-Plattformen hingegen setzen stärker auf Verhaltens- und Prozessgraphen. Experten verweisen darauf, dass Detektion künftig weniger vom Dateiattribut abhängt und mehr von Ereignissen, die auch bei fileless Szenarien sichtbar bleiben: verdächtige API-Aufrufe, inkonsistente Prozesskontexte, anomal „späte“ Netzwerkverbindungen und Speicherausführung ohne entsprechende Drop-Artefakte. Als praktisches Beispiel dient die Herausforderung für Hersteller wie Microsoft Defender oder CrowdStrike Falcon: Selbst wenn solche Systeme mal keine Datei finden, sollten sie durch Telemetrie-Layer (ETW-ergänzende Quellen, Kernel-/Sensor-Events) die Ausführung rekonstruieren können.
Für die Zukunft ist vor allem die strategische Implikation relevant: Ein „actor-in-the-loop“-Delivery-Modell und eine im Vorfeld niedrige Sichtbarkeit deuten darauf hin, dass RemotePE besonders für wertvolle Zielsysteme reserviert sein könnte, bei denen das Ziel nicht der schnelle Schaden ist, sondern dauerhafter Zugriff. Daraus folgt für Unternehmen eine klare Priorität in Incident-Response- und Forensik-Workflows: Man sollte Speicheranalyse, Prozessprofiling und Netzwerk-Telemetrie (inklusive HTTP-Anomalien zu bekannten C2-Domänen) in den Standardfahrplan aufnehmen. Zudem spielen regulatorische Fragen eine Rolle: Bei Angriffen auf Finanz- und Krypto-Umfelder treffen Unternehmen häufig auf Pflichten aus Datenschutz- und Meldeprozessen, etwa zur sicheren Handhabung personenbezogener Daten in Logs und zu rechtssicheren Nachweisen im Rahmen von Untersuchungen. Wenn diese Kontrollen früh greifen, sinkt das Risiko, dass aus „nur Beobachtung“ schnell „Datenabfluss“ oder ein größerer finanzieller Schaden wird.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Lazarus nutzt RemotePE: Memory-Only RAT mit DPAPI-Loadern gegen Finanz- und Krypto-Ziele" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Lazarus nutzt RemotePE: Memory-Only RAT mit DPAPI-Loadern gegen Finanz- und Krypto-Ziele" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Lazarus nutzt RemotePE: Memory-Only RAT mit DPAPI-Loadern gegen Finanz- und Krypto-Ziele« bei Google Deutschland suchen, bei Bing oder Google News!