DEUTSCHLAND / LONDON (IT BOLTWISE) – Gleich mehrere russisch verknüpfte Akteursgruppen kombinieren aktuell Social Engineering mit praxisnaher Schadsoftware-Entwicklung. Im Zentrum steht die Masche, Nutzer per gefälschtem CAPTCHA zu einem PowerShell-Befehl zu verleiten oder scheinbar legitime Business-Installer zu installieren. Für betroffene Organisationen wird damit nicht nur das Endpoint-Management, sondern auch das Software-Release- und Download-Verhalten entscheidend. Der Artikel ordnet die Technik hinter Sandworm, UAT-11795, TELEPUZ und verwandten Kampagnen ein und zeigt, worauf Security-Teams in den nächsten Wochen konkret achten sollten.
Die aktuelle Bedrohungslage lässt sich nicht auf „eine neue Malware“ reduzieren. Stattdessen zeigt sich ein Muster, das auch in Incident-Response-Lagen auffällt: Angreifer tarnen Ausführungsketten als harmlose Systemabfragen, manipulieren Installationsroutinen beliebter Business-Tools oder setzen auf gefälschte Überprüfungen, die Nutzer in weniger Sekunden als nötig zum Klick drängen. Laut dem Text laufen die Kampagnen seit Frühjahr 2026 verstärkt über kompromittierte ukrainische Webseiten; nun wird die Reichweite auch für Deutschland sichtbar. Für Firmen-IT bedeutet das: Wer nur einzelne Signaturen jagt, wird oft zu spät sein, weil die Ausführungsketten dynamisch gestaltet werden.
Technisch beginnt die Kette in einem typischen „Initial Access“-Szenario: Sandworm soll Websites kapern und Besuchern ein gefälschtes CAPTCHA präsentieren, das sie auffordert, einen PowerShell-Befehl auszuführen. Genau diese Brücke zwischen Browser-Interaktion und Systemebene ist der Kern des Angriffs. Im beschriebenen Ablauf lädt der PowerShell-Befehl zunächst GhettoVibe nach; anschließend folgt mit ScoutCurl eine zweite Komponente, die die Ausspähung des Systems übernimmt. Weitere Module wie FreakyPoll, FluidLeech und LoadLoop runden das Werkzeugset ab. Zusätzlich wird auch Android adressiert, unter anderem über gefälschte Sicherheits-Apps.
Parallel verschiebt sich das Risiko in Richtung „Supply-Chain light“: Eine Gruppe namens UAT-11795 verteilt manipulierte Installationsdateien bekannter Geschäftsanwendungen, darunter WebEx, Zoom, MobaXterm, DBeaver und sogar FaceIT. Hinter den scheinbar legitimen Installern soll der Starland Remote Access Trojan (RAT) stehen, der Zugangsdaten und Kryptowährungen abgreift und bei Bedarf weitere Schadmodule wie CastleStealer oder Remcos RAT nachlädt. Strategisch auffällig ist außerdem die Absicherung der Kommandozentrale über Polygon-Smart-Contracts, also eine Art Zustands- und Kontrollmechanismus, der klassische „C2“-Erkennung erschweren kann. Sicherheitsverantwortliche sollten daher nicht nur Downloads scannen, sondern auch Herkunft, Integrität und Installationsfluss prüfen.
Für das Marktbild ist die Gleichzeitigkeit der Angriffswege relevant: Sandworm und UAT-11795 treffen auf weitere Kampagnen, die andere Ausführungsoberflächen ausnutzen. Beim ClickLock Stealer wird das Apple-Umfeld seit Mai 2026 offenbar über eine „Cloudflare-Überprüfung“-Anmutung adressiert; anschließend startet eine „Kill-Loop“, die wiederholt zentrale macOS-Prozesse wie Finder, Dock und Browser beendet. Laut Text soll das bis zu 83 Stunden dauern oder bis zum Eingeben des macOS-Passworts in ein gefälschtes Fenster. Dazu kommen Clickfix-/PowerShell-Starterkaskaden, TELEPUZ als modularer Baukasten in C sowie die Nutzung von Telegram, Steam, DNS und Polygon-Smart-Contracts als Ausweichkanäle. Cloudflare wird dabei als Oberflächenanker missbraucht, nicht als „Schutzgarantie“.
Auch historische Muster lassen sich erkennen: Dass „ausgediente“ Schwachstellen erneut genutzt werden, zeigen etwa Gamaredon und die Ausnutzung einer WinRAR-Sicherheitslücke (CVE-2025-8088) im Juli 2026. Hier werden Schädlinge per VBScript verteilt; GammaWorm kommuniziert über Telegram, GammaSteel nutzt AWS S3-Buckets zum Abtransport gestohlener Daten. Diese Kombination aus bekannten Transportkanälen und verpackter Ausnutzung macht Angriffe schwerer zu klassifizieren, weil Netzwerk- und Dateiindikatoren allein nicht ausreichen. Branchenkenner ordnen solche Mischformen meist als „mehrschichtige Entdeckungsumgehung“ ein: Statt alles auf einen Indikator zu setzen, verteilt sich das Risiko auf Browser- und Endpoint-Spuren, Verschlüsselungs-/Transportwege und Nutzerinteraktion.
Für den praktischen Schutz führt das zu mehreren Prioritäten, die IT-Leitung und Security-Team gemeinsam abgleichen sollten. Erstens sollten unerwartete Systemabfragen und Download-Ereignisse stärker kontextualisiert werden: Ein Browser-„CAPTCHA“-Moment darf nicht ohne strikte Richtlinien in PowerShell münden, ohne dass Endpunkt-Policy und Benutzerkontext das verbieten. Zweitens brauchen Unternehmen ein belastbares Vorgehen gegen trojanisierte Installer: Signaturprüfungen, Hash- oder SBOM-basierte Integritätschecks, sowie ein klarer Weg, wie Teams Software ausschließlich aus vertrauenswürdigen Repositories beziehen. Drittens lohnt sich ein Blick auf die Erkennung von Tooling-Ketten: Wenn „Starter“ und „Stealer“ in festen Zeitabständen nachgeladen werden, kann Telemetrie (Prozessbäume, Modulstarts, Persistenzmarker) wesentlich früher Alarm schlagen als klassische AV.
Ausblickend ist die Entwicklung hin zu Malware-as-a-Service und modularem „Baukasten“-Design ein Verstärker für die Geschwindigkeit neuer Kampagnen. TELEPUZ wird als extrem schwer entdeckbar beschrieben, unter anderem mit Prüfungen auf virtuelle Maschinen, Länderfilterung und dem Umgehen von Sicherheitsmonitoren. Gleichzeitig deutet die Nutzung von Web-Injection, Keylogging und Screenshot-Funktionen auf ein Zielbild hin, das vom Initial Theft bis zur fortlaufenden Überwachung skaliert. Für Entwickler und SOC-Teams entsteht dadurch eine klare Forderung: Mehr Logging um die Ausführungskette herum, weniger Fokus auf Einzelartefakte. Wenn solche Kampagnen weiter zunehmen, werden Sicherheitsbudgets weniger „einmalige Tools“ und stärker wiederkehrende KI-gestützte Analyse, Härtung und Prozesskontrolle benötigen.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Sandworm & Co.: Gefälschtes CAPTCHA und trojanisierte Business-Installer erhöhen das Cyberrisiko" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Sandworm & Co.: Gefälschtes CAPTCHA und trojanisierte Business-Installer erhöhen das Cyberrisiko" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Sandworm & Co.: Gefälschtes CAPTCHA und trojanisierte Business-Installer erhöhen das Cyberrisiko« bei Google Deutschland suchen, bei Bing oder Google News!