LONDON (IT BOLTWISE) – Sicherheitsforscher warnen vor einer neuen Welle von Trojanern, die sich als VPN-Clients, Archiv-Tools und KI-Dienste tarnen. Ein manipuliertes MSI-Paket liefert dabei einen Remote-Access-Trojaner, der sogar die Zwischenablage und Browserdaten ausliest. Parallel locken gefälschte 7-Zip-Downloads Nutzer in ein Proxy-Netzwerk und missbrauchen dafür hunderte Domains. Dazu kommen zusätzliche Kampagnen aus der Steuersaison und wachsender Missbrauch von KI-Branding im Mittelstand.
Die aktuelle Bedrohungslandschaft zeigt ein Muster, das IT-Teams zunehmend auf die Probe stellt: Schadsoftware tarnt sich nicht mehr nur als „Klick hier“, sondern als aus dem Alltag vertraute Software-Bausteine. Besonders auffällig sind Kampagnen, die Windows-Installationen über scheinbar legitime Installer kompromittieren. Statt klassischer Makros setzen Angreifer auf Signaturen, sauber verpackte Installationspakete und mehrstufige Execution-Ketten, die sich in Prozessnamen, Dienstbezeichnungen und sogar Kommunikationsumgebungen widerspiegeln. Für Unternehmen bedeutet das weniger „Alarme beim Anhängen einer Datei“, sondern eine stille Gefährdung über Download- und Update-Workflows, die man im Betrieb normalerweise als vertrauenswürdig behandelt.
Im Fokus steht eine Entdeckung rund um ein manipuliertes MSI-Installationspaket, das als Kuailian VPN beziehungsweise LetsVPN auftritt. Obwohl das Paket eine funktionierende Komponente des VPN-Dienstes enthält, wird im Hintergrund ein Remote-Access-Trojaner nachgeladen. Genau solche Hybrid-Setups erschweren die Erkennung: Der Nutzer sieht eine „funktionierende“ Anwendung, während der eigentliche Schadcode bereits Systemrechte ausnutzt. Laut Analyse kann der Trojaner Dateien übertragen, Befehle über die Windows-Eingabeaufforderung ausführen und Proxys über SOCKS5- oder HTTP-Schnittstellen bereitstellen. Zusätzlich geht die Spionage sehr weit: Zwischenablage-Ausleitung, Browserdaten-Themen und das Auslesen des Telegram-Nachrichtenverlaufs gehören zu den beobachteten Fähigkeiten.
Auch die Tarnung über Infrastruktur spielt eine zentrale Rolle. Die Angreifer wechseln wiederholt ihre Kommandozentralen; in der Untersuchung wurden 40 unterschiedliche Server-Sets gezählt, die Redundanz erzeugen. Das ist technisch relevant, weil Security-Monitoring in vielen Umgebungen stark auf feste Domains, wiederkehrende Pfade oder einzelne C2-Endpunkte optimiert ist. Wenn die Zielsysteme dagegen ständig wechseln, sinkt die Trefferquote für regelbasierte Detektionen. Gleichzeitig bleibt das Grundprinzip gleich: Erst die Execution, dann der Persistenzpfad, danach die Datenbewegung oder das Proxy-Setup. In der Praxis ist das für SOC-Teams eine Herausforderung, weil ein einzelner Telemetriepunkt alleine oft nicht genügt, um den Ketteffekt zu erkennen.
Ein zweiter Schwerpunkt betrifft Nutzer des Archiv-Tools 7-Zip. Hier nutzt eine Gruppe die Marke über eine betrügerische Website und bietet eine „manipulierte“ Archivierungssoftware an. Statt nur ein Tool zu installieren, bindet der Download den Rechner heimlich in ein Residential-Proxy-Netzwerk ein. Für Defender klingt das zunächst wie „nur eine zusätzliche Software“, die schnell wieder entfernt werden könnte. Doch in Proxy-Szenarien ist die Schadwirkung oft höher als bei reiner Informationssammlung: Die kompromittierten Hosts werden zu Infrastruktur, die für weitere Angriffe genutzt werden kann, etwa um Herkunfts-IP-Adressen zu verschleiern und Filtermechanismen zu umgehen. In der Analyse wurden dafür über 230 Domains sowie Suchmaschinen-Vergiftung und Online-Werbung als Funnel beschrieben.
Die Angriffsarchitektur zeigt außerdem, wie eng Web- und Mobile-Kanäle inzwischen verzahnt sind. Die Ermittler fanden Verbindungen zu einer WireVPN-App im Google Play Store, die über eine Million Downloads verzeichnet und offenbar dieselbe Infrastruktur nutzt. Das verschiebt die Verantwortung im Unternehmen: Nicht nur „Windows-Downloads“ sind gefährdet, auch App-Ökosysteme und Browser-Funnel sind Teil des Risikoprofils. Für die Sicherheitsstrategie heißt das: Browser- und Download-Schutz müssen mit Endpoint-Telemetrie zusammenspielen, statt getrennte Silos zu bilden. Branchenanalysten erwarten zudem, dass diese „Infrastructure-as-Malware“-Logik zunehmen wird, weil kompromittierte Ressourcen später wiederverwendbar sind und den Angreifern Skalierung bringen.
Weitere Kampagnen greifen Timing- und Themenwochen aus. Zur Steuersaison in Indien wurde eine Infektionskette beschrieben, die mit gefälschten Benachrichtigungen der Steuerbehörde startet. Opfer laden ein ZIP-Archiv herunter, das eine signierte ausführbare Datei enthält, die wiederum DLL-Sideloading nutzt, um Schadcode in legitime Windows-Prozesse einzuschleusen. Die Angreifer setzen dabei auf eine Doppelstrategie: Sowohl Gh0st RAT als auch eine Variante von AsyncRAT werden installiert. Auffällig ist die Persistenz- und Prozessinjektion, inklusive eines Dienstnamens („Windows Mixed Reality Service“) sowie das Abtauchen in Systemprozesse wie svchost.exe. Selbst bei getrennten Verbindungen bleibt der Zugriff über den zweiten Trojaner erhalten.
Besonders beunruhigend ist der Missbrauch von KI-Branding. Laut Bericht steigt die Zahl der Malware-Angriffe, die sich als KI-Dienste tarnen, in den ersten vier Monaten des Jahres 2026 weltweit um das Fünffache. Besonders stark betroffen ist Südostasien mit einem siebenfachen Anstieg. Die Täter positionieren sich dabei häufig über bekannte Frontends: ChatGPT wird in der Auswertung mit 44 Prozent der „Köder“-Klassifikation geführt, gefolgt von DeepSeek (33 Prozent) und Claude (11 Prozent). Doch die Kampagne beschränkt sich nicht auf KI-Apps: Gefälschte Varianten von Microsoft Teams, Zoom und WhatsApp dienen ebenfalls als Trojaner-Schleudern. Aus Unternehmenssicht ist das ein Signal, dass Marketingnamen und UI-Vertrautheit zunehmend als Social-Engineering-Schicht missbraucht werden.
In der Summe führt das zu einer klaren Handlungslogik für IT und Security. Erstens muss die Schutzstrategie Installationspfade stärker absichern: MSI-/EXE-Downloads sollten in sandboxes oder mit strengen Allowlist-Regeln geprüft werden, statt nur auf Dateitypen oder Signaturen zu vertrauen. Zweitens sollten Endpoint- und Proxy-Datenquellen zusammengeführt werden, weil die Malware häufig Proxy-Funktionen (SOCKS5/HTTP) aktiviert und damit Netzwerkverhalten als Indikator liefert. Drittens lohnt sich ein Fokus auf Prozess- und Diensttelemetrie, um Injektionen in „scheinbar“ legitime Windows-Komponenten wie svchost.exe schneller zu erkennen. Für die Zukunft ist mit weiteren Operationen zu rechnen, etwa mit Tarnmustern wie „Cisco-VPN“ oder „Google-Update“, kombiniert mit Info-Stealern und weiterverwertbarer Infrastruktur. Wer hier früh Metriken aufbaut, verbessert nicht nur die Erkennung, sondern reduziert auch die Zeit bis zur Eindämmung.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Trojaner als Fake-VPN, 7-Zip und KI-Dienste: Neue Infektionsketten für Windows" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Trojaner als Fake-VPN, 7-Zip und KI-Dienste: Neue Infektionsketten für Windows" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Trojaner als Fake-VPN, 7-Zip und KI-Dienste: Neue Infektionsketten für Windows« bei Google Deutschland suchen, bei Bing oder Google News!