MÜNCHEN / LONDON (IT BOLTWISE) – Sicherheitsforscher berichten von einer groß angelegten Kampagne, die über SEO-vergiftete Webseiten und gespoofte Installer AsyncRAT verteilt. Dabei tarnen Angreifer die Remote-Access-Software ScreenConnect als beliebte Tools und laden zusätzlich signierte Windows-Komponenten per DLL-Sideloading nach. Im nächsten Schritt deaktiviert die Malware Sicherheitsmechanismen, entnimmt Module in weiteren Payload-Phasen und übernimmt die Kontrolle über betroffene Windows-Systeme. Ziel sind Datendiebstahl, Überwachung per Screen-Capture und dauerhafte Kontrolle durch geplante Aufgaben.
Wenn Remote-Zugriffstools im Schatten von Suchmaschinen-Optimierung auftauchen, wird aus einem normalen „Tool-Download“ schnell ein Infrastrukturangriff. Nach Beobachtungen aus der Sicherheitsforschung nutzen unbekannte Akteure ScreenConnect als Hub, um AsyncRAT auszuliefern. Entscheidender Trigger ist dabei nicht nur die Tool-Auswahl, sondern der Vertriebsweg: Über SEO-„vergiftete“ Webseiten werden Nutzer gezielt auf gefälschte Produktseiten gelotst, die sich wie offizielle Angebote anfühlen. So entstehen Installationsketten, die von Einzelrechnern bis in Unternehmensumgebungen reichen können.
Technisch fällt vor allem die mehrstufige Loader-Architektur auf. Die initialen „Installer“-Archive sind nach Analyseberichten als Paket geschnürt und tarnen sich als gängige Software wie OBS Studio, DNS Jumper, DS4Windows oder Bandicam. Innerhalb dieser Archive liegt laut Analysten eine signierte Microsoft-Binary (install.exe) gemeinsam mit einer bösartigen Bibliothek install.res.1033.dll. Die Ausführung erfolgt über DLL-Sideloading: Der Loader bringt dabei die legitime Signatur-Komponente mit, übergibt aber die Kontrolle über den erforderlichen DLL-Abhängigkeitsmechanismus an die manipulierte Bibliothek.
Im Anschluss wird ScreenConnect als Service installiert und unmittelbar nutzbar gemacht. Der kompromittierte Host wartet dann auf weitere Befehle durch die Angreifer, was den Übergang von der Erstinfektion zur Command-and-Control-Phase erleichtert. Berichten zufolge startet die Malware danach ein PowerShell-Skript, das u. a. Microsoft Defender-Exclusions konfiguriert und User-Account-Control-Hinweise (UAC) gezielt umgeht. Dieser Schritt ist weniger „destruktiv“, aber sehr wirkungsvoll: Er reduziert Erkennungs- und Rückfragen im Betrieb und macht spätere Payload-Schritte stabiler.
Besonders relevant für die Forensik ist die Tatsache, dass die PowerShell-Logik eine weitere Skript-Ebene nachzieht. Aus dem Skript heraus wird eine VBScript-Datei erzeugt, die wiederum alle aktiven PowerShell-Prozesse beendet und in einer Hidden-Window-Variante ein weiteres Skript (cap.ps1) ausführt. In einer späteren Stufe liest der Hauptprozess den Inhalt einer Datei secret_bytes.txt ein, extrahiert daraus das AsyncRAT-Modul und führt es anschließend über Prozess-Hollowing aus. Prozess-Hollowing ist dabei ein gängiger Trick, um die Prozessidentität und den Speicherinhalt zu verschleiern und so typische Signaturen im Laufzeitverhalten zu umgehen.
Für die eigentliche Fernsteuerung wird danach eine Verbindung zu einem Remote-Endpunkt aufgebaut, genannt wird mora1987.work[.]gd. Über diesen Kanal steuert der Angreifer die kompromittierten Windows-Hosts, exfiltriert sensible Informationen und überwacht Nutzeraktivitäten, indem Screen-Inhalte aufgezeichnet werden. Um die Kontrolle nach Neustarts nicht zu verlieren, wird Persistence über einen geplanten Task umgesetzt: Der Task „MasterPackager.Updater“ wird im Zwei-Minuten-Takt aktiviert und startet das VBScript erneut. Praktisch bedeutet das: Selbst wenn Nutzer neu booten, bleibt das Angriffsschema innerhalb kurzer Zeit wieder aktiv.
So positionieren Angreifer ScreenConnect strategisch im Markt. Im Vergleich zu Konkurrenzprodukten wie TeamViewer oder AnyDesk ist ScreenConnect in vielen Organisationen vor allem „operativ“ verankert, weil es für Support und Administration genutzt wird. Genau diese Erwartungshaltung machen sich die Täter zunutze: Indem sie ScreenConnect so tarnen, als handele es sich um beliebte Utilities, sinkt die Wahrscheinlichkeit, dass Anwender beim Download oder bei frühen Installationsschritten misstrauisch werden. Die Suchmaschinenphase ist dabei nicht nebensächlich, denn die Kampagne nutzt nach Analyseberichten gezielt SEO-Techniken, um gespoofte Seiten in Google- und Bing-Ergebnissen weit oben zu platzieren.
Auch die zeitliche Streuung wirkt geplant. Berichten zufolge wurden mehr als 90 Domainnamen in zehn Sprachen eingerichtet, darunter Englisch, Russisch, Chinesisch, Deutsch, Französisch, Spanisch, Portugiesisch und Arabisch. Einige der Domains sollen zwischen August 2025 und März 2026 erstellt worden sein. Für Unternehmen heißt das: Man sollte nicht nur die aktuelle Domain-Logik bewerten, sondern den gesamten Domain- und Brand-Impersonation-Kontext, inklusive Sprachvarianten und lokalisierter Inhalte. Für Sicherheitsteams ist das eine zusätzliche Belastung, weil blocklist-basierte Ansätze sonst zu spät greifen.
Experten haben in dem Zusammenhang den technischen Ablauf eingeordnet. Sicherheitsforscher Denis Kulik beschreibt sinngemäß, dass die bösartigen Archive eine signierte Microsoft-Installationseinheit und eine verdächtige DLL gemeinsam bündeln. Diese Konstellation erleichtert das „Starten“ der Loader-Kette, während die eigentliche Schadfunktion über die manipulierte Bibliothek und Side-Loading aktiviert wird. Aus Sicht der Verteidigung ist genau dieser Punkt entscheidend: Signierte Komponenten sind nicht automatisch vertrauenswürdig, wenn die Dateiablaufkette und die Ladepfade nicht zur erwarteten Installation gehören.
Für die Zukunft ist eine klare Konsequenz absehbar: Auf der Angriffsseite wird der nächste Trend vermutlich stärker „Bring-Your-Own-Trust“ nutzen, also signierte Bestandteile mit eindeutig falschem Laufzeitkontext kombinieren. Auf der Abwehrseite sollten Teams daher nicht nur Defender-Exclusions und UAC-Umgehung als Indikatoren monitoren, sondern auch auf ungewöhnliche DLL-Abhängigkeiten, Side-Loading-Muster sowie Prozess-Hollowing-ähnliche Speicherveränderungen achten. Gleichzeitig lohnt es sich, Discovery-Routinen für ScreenConnect-ähnliche Dienste zu schärfen und geplante Tasks mit ungewöhnlichen Intervallen zu hinterfragen, denn Persistence über kurze Reaktivierungszyklen ist ein wiederkehrendes Muster solcher Kampagnen.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "AsyncRAT über ScreenConnect: SEO-Phishing mit DLL-Sideloading" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "AsyncRAT über ScreenConnect: SEO-Phishing mit DLL-Sideloading" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »AsyncRAT über ScreenConnect: SEO-Phishing mit DLL-Sideloading« bei Google Deutschland suchen, bei Bing oder Google News!