TAIPEH / LONDON (IT BOLTWISE) – Ein seit Jahren im Verborgenen agierendes Kernel-Rootkit namens Daxin ist nach mehr als vierjähriger Funkstille erneut aufgetaucht. Gleichzeitig melden Analysten eine bislang unbeschriebene Vorstufe: die Backdoor Stupig, die sich als Tastaturlayout-Komponente tarnt und vor der Anmeldung SYSTEM-Kommandos ermöglicht. Die Funde zeigen außerdem, dass sowohl Daxin als auch Stupig Kompilationszeitstempel aus dem Jahr 2013 tragen, während das betroffene System erst 2026 wieder in Telemetrie sichtbar wurde. Für Unternehmen bedeutet das vor allem: klassische Netzwerküberwachung greift hier zu kurz, wenn Angreifer bestehende Verbindungen kapern.
Es gibt Meldungen, die vor allem deshalb beunruhigen, weil sie zeitlich „zu spät“ wirken: Ein in Taiwan identifiziertes kompromittiertes Umfeld zeigt, dass eine langlaufende KI-/Automation-getriebene Angriffskette nicht zwingend aktiv nach außen kommunizieren muss, um dennoch dauerhaft Schaden anzurichten. Im Zentrum stehen das Kernel-Rootkit Daxin (Dateiname: „srt64.sys“) und eine bislang nicht dokumentierte Backdoor namens Stupig, die als DLL („a.dll“ oder „kbdus1.dll“) in Windows-Komponenten eingebettet wird. Laut den aktuellen Beobachtungen war die betroffene Maschine während ihrer Kompromittierung über Jahre in einem Zustand aus Tarnung und geringer Telemetrie auffindbar, was die Incident-Response deutlich erschwert.
Technisch betrachtet knüpft Daxin an typische Rootkit-Muster an, hebt sich aber durch seinen Command-and-Control-Mechanismus ab. Statt wie viele andere Implantate direkte ausgehende Verbindungen zu auf Angreifer-Infrastruktur fest verdrahteten Hosts aufzubauen, überwacht der Kernel-Treiber ankommenden TCP-Traffic nach definierten Mustern. Danach kapert er bestehende, „legitime“ Verbindungen und injiziert die für die C2-Kommunikation nötigen verschlüsselten Inhalte in diesen Kontext. Das hat zwei Konsequenzen: Erstens wirkt der Traffic wie normaler System- bzw. Netzwerkverkehr, und zweitens können herkömmliche Pattern-basierte Überwachungen in NDR/Firewall-Logs weniger auffällig reagieren. Zusätzlich unterstützt der Ansatz Multi-Hop über kompromittierte Hosts, um isolierte Netzsegmente zu erreichen.
Stupig ergänzt diese Tarnlogik auf einer anderen Ebene: Es nutzt den Windows-Logon-Pfad. Die Backdoor registriert sich als Anbieter für ein Tastaturlayout. Dadurch wird die Komponente über die Kernel-Subsysteme (u. a. „win32k.sys“) beim Systemstart in den Prozess „winlogon.exe“ geladen. Auffällig ist, dass Stupig dabei einen „gültigen“ Verweis auf die Layout-Tabelle (KBDTABLES) zurückgibt, sodass Layout-Funktionen für Benutzer und Administratoren zunächst normal wirken und die verdächtige DLL nicht automatisch als Anomalie aus dem laufenden Modulkontext heraussticht. Sobald am Logon-Bildschirm ein Benutzername mit dem Prefix „stupig“ erkannt wird, wertet das System den nachfolgenden Text als Befehl und führt ihn mit SYSTEM-Rechten aus.
Der Kontext ist für Unternehmen entscheidend: Die Artefakte tragen einen Kompilationszeitstempel aus dem frühen Jahr 2013, während das betroffene System erst am 12. Mai 2026 wieder Telemetrie geliefert hat. Genau diese Diskrepanz deutet darauf hin, dass die Angreifer entweder über Jahre erfolgreich „leise“ geblieben sind oder dass interne Sichtbarkeit (Logging, Sensor-Abdeckung, Baselines) über die Jahre nicht ausgereicht hat. Aus der Branche wird daher eher ein unbemerkter Kompromiss über sehr lange Zeiträume als Hauptszenario diskutiert, zumal für Daxin bereits seit 2013 gezielte Angriffe auf Regierungen und kritische Infrastrukturen als Zielrichtung beobachtet wurden. Bemerkenswert ist außerdem der Abgleich: Es wurden keine Code-Überschneidungen zwischen Daxin und Stupig festgestellt, dennoch sprechen koordiniertes Co-Deployment, komplementäre Funktionen und ähnliche Entwicklungsgewohnheiten für denselben Akteur oder zumindest für denselben Tool- und Lieferkettenkontext.
Im Marktumfeld zeigt sich hier ein typischer Wettbewerb zwischen Angriffstechniken und Verteidigungsspektren. Anbieter wie Microsoft Defender for Endpoint setzen stark auf Ereigniskorrelation (z. B. Prozessketten rund um „winlogon.exe“, Modul-Ladeevents und verdächtige Registry-/Layout-Registrierungen), während klassische Netwerküberwachung oft an dem Punkt endet, an dem Angreifer den Traffic „umetikettieren“ und in bestehenden Verbindungsflüssen verbergen. Ebenso sind EDR/Sensoren auf Host-Ebene gefordert, weil das Ausführen mit SYSTEM-Rechten direkt am Logon-Bildschirm stattfindet, also bevor Nutzer authentifizieren. Außerdem ist Carbon-Black-artige Telemetrie (als kommerzielle Produktlinie) dann besonders wertvoll, wenn sie auch Kernel-Event-Details und Treiberlade-Mechanismen auswerten kann. Der konkrete Punkt für Security-Teams: Sie brauchen sowohl Host- als auch Netzwerkindikatoren, sonst bleibt genau diese Kombination unentdeckt.
Beim Initialzugriff bleibt vieles spekulativ, aber die Indizien zeigen eine realistische Schwachstellen- und Legacy-Trajektorie. Als wahrscheinlich gilt ein alter Stand des Digiwin Single-Sign-On (SSO)-Portals, das in Zeiträumen zwischen 2009 und 2011 mit End-of-Life-JDK-Installationen (1.5 und 1.6) betrieben wurde. Das ist ein klassisches Muster: Ein Anwendungstunnel, der historisch auf veralteten Laufzeiten läuft, wird zum „Einstiegspunkt“, während die eigentliche Persistenz und das spätere Capability-Bündel über Rootkit- und Logon-Schnittstellen erfolgt. Ergänzend wird ein weiterer Hinweis aus offenen Spuren genannt: Ein beobachteter, verdächtiger China-gebundener Akteur soll KI-gestützte LLM-Workflows nutzen, um Angriffsschritte gegen staatliche und finanzielle Systeme zu automatisieren—beispielsweise in Afghanistan, Thailand, Taiwan und den USA. Für die Verteidigung bedeutet das: Simulationen und Red-Team-Übungen müssen nicht nur Exploits, sondern auch Automationslogik abdecken.
Die Automationskomponente ist dabei nicht bloß „Werbung“, sondern betrifft die konkrete Angriffsarchitektur. Berichtet wird, dass Claude Code als Ausführungs- und Agentic-Workflow-Komponente dient: Es koordiniert agentische Tool-Nutzung, verwaltet Sitzungen, führt Bash-Befehle aus und parallelisiert Aufgaben. Als reasoning-/Logikschicht soll dabei DeepSeek-v4-pro fungieren, das Angriffsschritte, Skriptgenerierung und Entscheidungsmuster ableitet. Das heißt nicht, dass die Malware „magisch“ wird, aber es senkt die Einstiegshürde: Exploit-Rewriting nach Fehlschlägen, das Erstellen von Phishing-Seiten zur Credential-Ernte und das Umgehen von Bypass-Mechanismen lassen sich schneller iterieren. Parallel dazu werden C2-Infrastrukturen über Hinweise aus Open-Directory-Spuren mit ähnlichen HTTP-Header-Fingerprints in Verbindung gebracht, etwa über TencShell-Referenzen—wobei die operative Zuordnung natürlich immer fallabhängig bleibt.
Für die zukünftige Absicherung liegt die größte Implikation in der Messstrategie. Wenn Daxin C2 über kapsernde TCP-Flows und Stupig über „System-level“ Aktionen vor der Anmeldung versteckt, dann reicht es nicht, nur an der Perimeterschicht oder auf reinen „Known bad“-Signaturen zu arbeiten. Praktikabel sind beispielsweise Regeln, die Modul-Ladepfade in „winlogon.exe“ überwachen, sowie Abgleich von registrierten Tastaturlayout-Anbietern mit erlaubten Baselines. Dazu kommen Sensoren, die Kernel-Treiberladeevents und ungewöhnliche Verhaltensmuster in verschlüsselten oder „normal wirkenden“ Sessions erkennen können. Auf Compliance-Ebene sollten Unternehmen außerdem prüfen, wie NIS2-Anforderungen und Datenschutzpflichten (z. B. DSGVO-konforme Logging-Richtlinien) in der Erkennung umgesetzt sind: lange Retentionszeiten ohne Zweckbindung helfen nicht, aber zu kurze Retentionsfenster verhindern oft die Rekonstruktion eines 13-Jahre-ähnlichen Kompromisspfads.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Daxin-Rootkit und Stupig-Backdoor: Neue Hinweise aus Taiwan" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Daxin-Rootkit und Stupig-Backdoor: Neue Hinweise aus Taiwan" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Daxin-Rootkit und Stupig-Backdoor: Neue Hinweise aus Taiwan« bei Google Deutschland suchen, bei Bing oder Google News!