BERLIN / LONDON (IT BOLTWISE) – Sicherheitsforscher warnen vor der neuen Mehrstufen-Malware-Chain VEIL#DROP, die über scheinbar harmlose Blogger-Seiten einen .NET-Infostealer namens PureLogs ausliefert. Der Angriff nutzt Social Engineering, dateimasquerading, XOR-obfuskierte Payloads und filelose Ausführung, um klassische Signatur-Checks zu umgehen. Besonders kritisch: Der Loader rekonstruiert den nächsten Stage dynamisch und mutiert seinen Code zur Laufzeit. Unternehmen sollten die Kombination aus LotL-Techniken, IOC-Suche und Angriffserkennung auf PowerShell- und .NET-Memory-Spuren sofort nachschärfen.
Cybersecurity-Teams sehen sich mit einer neuen Multi-Stage-Angriffskette konfrontiert, die die Social-Engineering-Stärke gängiger Content-Plattformen ausnutzt: VEIL#DROP, so lautet die Benennung durch Securonix, setzt bei der Zustellung auf Blogger-Seiten und liefert anschließend den Information-Stealer PureLogs. Auffällig ist dabei die Systematik der Umgehung: Die Initialausführung tarnt sich als JavaScript, nutzt Windows Script Host, springt dann per PowerShell in die nächste Phase und hält die Aktivität so lange wie möglich “clean”, indem sie Artefakte minimiert und Code im Speicher rekonstruiert. Das Ziel ist nicht nur das Sammeln von Daten, sondern das leise Weiterreichen in Richtung Persistence, Lateral Movement und potenziell Cloud-Übernahme.
Der Einstieg beginnt nach den Beschreibungen der Forscher mit einem “deceptively named JavaScript file”, das als Dokument wirkt—beispielsweise als Datei-Name nach dem Muster transcript.pdf.js. Dieses Skript startet nicht direkt den Stealer, sondern legt die Basis für die eigentliche Kette: Über Windows Script Host wird PowerShell aufgerufen, wobei Execution-Policy-Bypasses aktiv sind. Damit verschiebt sich der Angriff früh in einen Bereich, in dem viele Organisationen zwar Logik für PowerShell-Auditing besitzen, aber nicht zwingend auf die Kombination aus Policy-Bypass, Loader-Behavior und nachfolgendem Stage-Download vorbereitet sind. Von dort lädt das Skript eine nächste Payload, die auf Blogger gehostet ist—genauer wird ein blogspot[.]com-Host als Stage-Quelle genutzt.
Technisch ist der Blogger-Umweg mehr als nur eine “freundliche” Kulisse. Laut Report dient die Nutzung von Googles vertrauenswürdigem Infrastrukturkonzept als stager, um Reputation- und URL-basierte Schutzmechanismen auszutricksen und die Aktivität in legitime Webflüsse einzubetten. Die heruntergeladene PowerShell-Komponente agiert dabei als eine Art Conduit: Sie kann eine harmlose, webbasierte Seite nachladen—etwa eine Google-ähnliche Interaktion—um den Eindruck zu erzeugen, ein PDF werde geöffnet, während die eigentliche Infektion im Hintergrund weiterläuft. Parallel versucht der Loader, die Ausführungsumgebung zu entgrenzen, indem er Folgekommandos ebenfalls ohne restriktive Einschränkungen startet, und er reduziert Spuren, indem er gezielt Prozesse wie wscript.exe beendet sowie Ausführungsartefakte wie transcript.pdf.js entfernt.
Die nächste Stufe verschärft die Abwehrprobleme, weil VEIL#DROP nicht auf statische Indikatoren setzt. Securonix beschreibt explizit “dynamic stage generation combined with runtime mutation”: Statt fest verdrahteter URLs oder vorhersehbarer Ausführungsmuster wird der nächste Payload-Speicherort zur Laufzeit konstruiert. Ein konkretes Beispiel ist die Erzeugung einer einzigartigen blogspot[.]com-URL pro Ausführung, indem in die URL Zeichenketten zufällig zusätzliche Schrägstriche eingefügt werden (“\u002F” innerhalb der Zeichenkette wird als variabler Bestandteil ergänzt). Dadurch brechen statische URL-Signaturen, indicator-basierte Sperren und URL-basierte Filter. Zusätzlich mutiert der Decoder zur Laufzeit, indem Platzhalterwerte im Skript durch zufällig generierte Zeichenketten ersetzt werden—auch das zielt darauf, Hash- und Skript-Signaturen unzuverlässig zu machen.
Für die endgültige Auslieferung setzt der Rahmen auf filelose Ausführung und reflexives Laden. Nach erfolgreicher XOR-Dekodierung wechselt der Loader in eine Komponente, die eine .NET-Assembly rekonstruiert und sie mithilfe “reflective code loading” startet, also ohne die Assembly als greifbare Datei auf dem Datenträger abzulegen. Gerade diese Kombination erschwert forensische Artefaktanalyse, weil weder klassische Dropperspuren noch typische Installationspfade entstehen. Entscheidend ist aber auch die Robustheit: Falls Security Controls oder Umgebungsrestriktionen ein direktes Memory-basierendes Laden blockieren, greift der Loader auf einen Fallback zurück und nutzt Microsoft-signierte Binaries aus der Kategorie Living-off-the-Land, etwa regsvcs.exe, installutil.exe, msbuild.exe oder aspnet_compiler.exe. Diese Tools sind legitim, bereits vorhanden und daher “trusted”—die Missbrauchslogik wirkt dadurch wie ein normales Administrations- oder Build-Szenario.
Für die Erkennung ist zudem relevant, dass VEIL#DROP nicht von einem einzigen LOLBin abhängt. Die Forscher betonen einen “cascading model”, bei dem mehrere Methoden nacheinander getestet werden, bis eine erfolgreich ausführt. Das erhöht die Chancen, auf heterogenen Unternehmensumgebungen nicht zu scheitern—beispielsweise, wenn bestimmte Binaries durch Hardening deaktiviert oder über EDR-Regeln eingeschränkt wurden. In der Markt-Perspektive zeigt sich hier ein Muster, das bereits aus früheren Kampagnen bekannt ist: Malware-Authoren kombinieren Obfuskation (XOR), In-Memory-Execution und erlaubte Systemkomponenten, um Signatur-Scanning zu umgehen und gleichzeitig Verhalten zu kaschieren. Branchenweit (etwa in Produkten wie Microsoft Defender für Endpoint oder EDR-Logiken anderer Anbieter) liegt der Fokus daher zunehmend auf Behavioral Detection und Speichermetadaten statt reiner IOC-Listen.
Regulatorisch und für den Datenschutz gilt: Ein Infostealer wie PureLogs ist typischerweise nicht auf einen einzigen Datentyp limitiert. Laut Einordnung handelt es sich um einen .NET-basierten Stealer, der “eine breite Palette sensibler Daten” aus kompromittierten Systemen erbeutet. Für Unternehmen bedeutet das, dass incident response und rechtliche Bewertung eng verzahnt werden müssen: Bei personenbezogenen Daten greifen oft Pflichten aus Datenschutzgesetzen, und die Frage, welche Datenkategorien betroffen sind, beeinflusst Meldewege und Fristen. Besonders kritisch wird es, wenn die Daten als Einstiegspunkt dienen und sich der Zugriff in Richtung weiterer Systeme und sogar Cloud-Ressourcen verlagert. Damit steigt auch der Bedarf an sauberen Logging-Strategien für PowerShell, .NET-Execution im Speicher und Aktivitäten rund um signierte LOLBins.
Ausblickend deutet VEIL#DROP auf eine Richtung hin, die sich in der Abwehrstrategie bereits abzeichnet: Wer nur URL- oder Hash-basiert reagiert, wird zunehmend hinterherlaufen. Unternehmen sollten deshalb prüfen, ob sie dynamische Skriptvarianten und Memory-Loading-Events wirklich detektieren—inklusive Korrelation zwischen “deceptive script execution” (z. B. transcript.pdf.js-ähnliche Namensmuster), PowerShell-Invocation mit Policy-Bypass und nachfolgenden reflectiven .NET-Ladevorgängen. Als praktische Folge ergibt sich auch für Entwickler und Security-Teams eine klare Lücke: Build- und Admin-Tools wie msbuild.exe dürfen nicht nur “existieren”, sondern müssen in ihrer missbrauchsresistenten Telemetrie bewertet werden. Wenn die Angreifer dann noch eine cascading-Execution-Logik nachliefern, wird die Verteidigung über mehrere, eng korrelierte Signale hinweg entscheidend—und damit auch die Vorbereitung auf eine mögliche Eskalation innerhalb der nächsten Phasen der Kampagne.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "VEIL#DROP: Blogger-Chain liefert PureLogs Stealer mit filelosem LotL-Laden" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "VEIL#DROP: Blogger-Chain liefert PureLogs Stealer mit filelosem LotL-Laden" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »VEIL#DROP: Blogger-Chain liefert PureLogs Stealer mit filelosem LotL-Laden« bei Google Deutschland suchen, bei Bing oder Google News!