BRASILIEN / INDIEN / LONDON (IT BOLTWISE) – Eine neue modulare Malware namens TELEPUZ verbreitet sich über kompromittierte Websites, die ClickFix-Lures mit Clipboard-„Befehle einfügen“-Workflows koppeln. Nach dem Ausführen von PowerShell lädt das Schadprogramm eine zweite Stufe, die eng mit dem Vidar Stealer-Ökosystem zusammenhängt. TELEPUZ spürt Sandbox- und VM-Umgebungen auf, schaltet Sicherheitsüberwachung unter Windows ab und baut anschließend eine WebSocket-Command-and-Control-Verbindung auf. Für Unternehmen wird damit weniger die einmalige Infektion zum Risiko, sondern die potenzielle MaaS-Fähigkeit, die Angreifer schnell nachrüstet.
Die neue modulare Malware TELEPUZ zeigt, wie schnell sich aus Web- und Social-Engineering-Angriffen ein vollwertiger Initial-Loader entwickeln kann. Ausgelöst wird die Kette nicht durch klassischen Drive-by-Exploit-Code, sondern über ClickFix: Webseiten, die Nutzer zu „praktischen“ Korrekturen verleiten, indem sie bösartige Skripte oder Kommandos in die Zwischenablage injizieren und anschließend zum Einfügen und Ausführen anleiten. Seit Ende April 2026 berichten Sicherheitsforscher über wiederkehrende Aktivitäten, wobei besonders die tägliche Zahl der Builds, die u. a. in VirusTotal sichtbar wurde, auf aktives Engineering hindeutet. Das Muster macht TELEPUZ zugleich zur zweiten neu beobachteten Bedrohung, die mit ClickFix-Propagation verknüpft wurde – nach SCMBANKER.
Technisch sitzt der Hebel bei Clipboard Hijacking, auch Pastejacking genannt. Das Angriffsdesign nutzt eine typische Browser-Interaktionshürde aus: Der Nutzer führt eine „Notfallkorrektur“ aus, während die Seite im Hintergrund den entscheidenden Inhalt in die Zwischenablage vorbereitet. Laut Elastic Security Labs setzt der ClickFix-Flow bei TELEPUZ auf die Ausführung von PowerShell, das wiederum einen zweiten Stage-Payload von einer Remote-URL lädt. Diese zweite Stufe wird als Go-Variante des bekannten Vidar Stealers beschrieben, der im kompromittierten Endpunkt typischerweise sensible Daten sammelt und zusätzliche Module nachlädt. Der eigentliche Start erfolgt über einen Stager, der TELEPUZ (telepuz.dll) mittels rundll32.exe anstößt.
Damit wird eine wichtige Designlinie sichtbar: TELEPUZ ist leichtgewichtig und modular, geschrieben in C, und die beobachteten Varianten deuten auf eine Entwicklung durch einen Solo-Entwickler oder ein sehr kleines Team hin. Gleichzeitig legt die stabile Einreichungsrate im Virus-Testing-Ökosystem nahe, dass das Angebot zumindest teilweise in einem Malware-as-a-Service-Ansatz organisiert ist. Das erklärt auch, warum Analysten bei den C2-Domains zunächst eine überschaubare Anzahl sehen, aber die Updates in kurzen Intervallen zunehmen. Wettbewerbsseitig ist die ClickFix-Schiene ein Indikator für standardisierte Initialzugriffe; SCMBANKER liefert dafür den Referenzfall, während TELEPUZ die spätere Payload-Kapazität erweitert.
Für die Abwehrplanung ist die Kombination aus Ausweichmechanismen und Telemetrieabschaltung zentral. TELEPUZ nutzt mehrere Obfuscation-Techniken, etwa Garbage-Instructions, Import-Name-Hashing, String-Verschlüsselung sowie indirekte Systemaufrufe. Danach folgen Anti-VM- und Geolocation-Checks: Hardwaregrenzen wie weniger als zwei CPUs oder unter 2 GB RAM sowie zu wenig Plattenspeicher führen zu sofortigem Abbruch. Zusätzlich wird der Locale-Identifier (LCID) gegen eine hartcodierte Liste von Ländern aus dem Commonwealth of Independent States abgeglichen; ebenso werden Benutzername und Computername gegen typische Sandbox- und Research-Identifier gematcht. In Summe ist das nicht nur „Angriffsvermeidung“, sondern eine gezielte Optimierung auf Umgebungen, die zu echter Monetarisierung führen.
Wenn TELEPUZ „durchkommt“, rückt die Inhibierung von Sicherheitskontrollen in den Vordergrund. Die Routine deaktiviert Monitoring über unhooking von NTDLL, schaltet Antimalware Scan Interface (AMSI) sowie Event Tracing for Windows (ETW) ab und entfernt DllNotification-Callbacks, die Prozesse beim Laden und Entladen von DLLs melden. Direkt danach folgen Debugger-Erkennung und Crash-Auslösung, um dynamische Analyse zu erschweren. Auch der Prozesskontext wird geprüft: Das Malware-Parent-Profil wird gegen erwartete Runner wie rundll32.exe und svchost.exe validiert. Für die Privatsphäre und Compliance in Unternehmen ist das besonders relevant, weil solche Techniken neben Datendiebstahl häufig auch „Spurenvermeidung“ einschließen und damit Auditierbarkeit und Incident-Forensik erschweren.
Auf Operations-Ebene baut TELEPUZ eine eindeutige Opferkennung, indem Hardware-Serial, Computernamen und das Betriebssystem-Installationsdatum verkettet werden. Anschließend startet es parallel zwei Threads: einen zur Privilegsteigerung inklusive Windows-Service-Installation und einen zur C2-Kommunikationsschleife. Für die Elevation wird COM Elevation Moniker genutzt; für SYSTEM-Rechte wird token theft bei mehreren vordefinierten Prozessen versucht, darunter spoolsv.exe, msdtc.exe, WmiPrvSE.exe und svchost.exe. Die Persistenz erfolgt über Registry-Änderungen, sodass Windows die Malware in einer neuen svchost.exe-Instanz lädt. Beim C2-Setup versucht TELEPUZ bis zu zehn Verbindungsversuche und weicht dann über mehrere, teils verschlüsselte Fallback-Quellen aus – unter anderem über Telegram- und Steam-Profile, DNS-Abfragen sowie einen Polygon-Smart-Contract. Die Befehle laufen über WebSockets mit optionalem TLS; Fähigkeiten reichen von File-Enumeration und Command Execution bis zu Screenshot-Capture, Web-Injection sowie Cookie-Extraktion in Chromium-basierten Browsern. Daneben nutzt ein Browser-Injection-Modul das Chrome DevTools Protocol (CDP) und WebDriver BiDi, um auch JavaScript-Aktionen gegen Browserkontexte auszuführen.
Für die Zukunft spricht einiges dafür, dass TELEPUZ stärker in Richtung „automatisierte Kampagnenfähigkeit“ skaliert. Die bisherige Zahl aktiver C2-Domains wirkt zwar begrenzt, doch die hohe Build- und Updatefrequenz deutet auf frühe MaaS-Reife hin. Gleichzeitig zeigen die Hinweise, dass Stage-Domains über Cloudflare geschützt waren, während die C2-Server als kompromittierte Websites in Brasilien und Indien identifiziert wurden, was auf eine Logistik- und Hosting-Härtung der Betreiber schließen lässt. Regulatorisch verschiebt das den Fokus: Wer personenbezogene oder sicherheitsrelevante Daten verarbeitet, braucht nicht nur Endpoint-Schutz, sondern auch Kontrollen gegen unautorisierte Clipboard-/Pastejacking-Workflows, privilegierte Service-Installationen und Browser-Profilzugriffe. Absehbar ist, dass Anbieter künftig stärker in Telemetrie-Korrelation investieren müssen, die nicht ausschließlich auf ETW/AMSI-Signale setzt, um Abschaltversuche dieser Art zu überstehen.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "TELEPUZ: Pastejacking-Modulmalware nutzt ClickFix zum Datendiebstahl und PowerShell-Start" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "TELEPUZ: Pastejacking-Modulmalware nutzt ClickFix zum Datendiebstahl und PowerShell-Start" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »TELEPUZ: Pastejacking-Modulmalware nutzt ClickFix zum Datendiebstahl und PowerShell-Start« bei Google Deutschland suchen, bei Bing oder Google News!