LONDON (IT BOLTWISE) – Ein neu beobachteter Windows-Kryptor namens Cruciferra verschleiert Schadsoftwarekampagnen mit BYOVD-basierter EDR-Manipulation und einer maßgeschneiderten Process-Ghosting-Variante. Laut einer Analyse setzt das Tool auf mehrere Ebenen der Umgehung, darunter unhookte Windows-APIs, indirekte Systemaufrufe und das gezielte Verbergen von Konsolenfenstern. Besonders kritisch: Die Payload- und String-Verschlüsselung wechselt je Sample und erschwert statische Erkennung sowie signaturbasierte Gegenmaßnahmen. In den betroffenen Kampagnen dienen Steuerungsseiten und ZIP-Downloads häufig als Brücke vom Phishing zur Ausführung.
Cruciferra ist kein typischer “dropper”, der nur einen Payload-Installer nachlädt. Der Dienst fungiert vielmehr als Crypter, also als Zwischenebene, die Schadcode vor der Ausführung gezielt verhüllt und damit sowohl Analyse als auch Incident Response verkompliziert. Besonders relevant ist die Beobachtung, dass nicht ein einzelnes Täterkollektiv, sondern verschiedene, ansonsten unabhängige Bedrohungscluster Cruciferra für unterschiedliche Ziele nutzen: vom Remote-Access-Trojaner bis zu Infostealern. Damit rückt ein Modulpaket in den Fokus, das sich als wiederverwendbare Infrastruktur in der Cybercrime-Ökonomie etabliert.
Technisch beschrieben ist Cruciferra in Mono umgesetzt und setzt auf ein Bündel von Evasion-Methoden, die mehrere Detektionsschichten gleichzeitig angreifen. Dazu zählen indirekte Systemaufrufe, das Unhooking von API- und Import-Address-Table-(IAT)-Verweisen sowie eine BYOVD-basierte Manipulation von EDR-Komponenten (EDR-Tampering). Ergänzend kommen typische “Operationshärtung” wie Privilege Escalation, Persistenzmechanismen und eine angepasste Process-Ghosting-Implementierung hinzu. Process Ghosting zielt dabei darauf ab, dass bösartiger Code aus einer temporären Datei ausgeführt wird, die vor dem Start des Prozesses gelöscht wird; dadurch fehlt den üblichen Sicherheitstools ein stabiler “File”-Artefakt zum Scannen.
Damit nicht genug: Die Payload-Schicht wird zusätzlich polymorph verschleiert. Die verwendeten Verschlüsselungsalgorithmen und auch die zugehörigen Routine-Varianten unterscheiden sich zwischen Samples, wodurch statische Signaturen ins Leere laufen und auch signaturbasierte Erkennung schlechter greift. In der Analyse wird beschrieben, dass die Verschlüsselung auf Elemente etablierter kryptografischer Bausteine zurückgreift, aber scheinbar pro Sample neu zusammengestellt wird. Forschende um Chris Wakelin, Georgi Mladenov und Kyle Cucci ordnen dieses Muster als zufallsähnliche, polymorph generierte Kombination aus Komponenten ein, die aus Hashing-, PRNG- und Cipher-Logik abgeleitet sind. Für Betreiber bedeutet das: selbst wenn eine Kampagne bereits teilweise eingedämmt ist, können nächste Installationen technisch stark variieren und damit Eskalationspfade offen lassen.
Im Angriffsketten-Design setzt Cruciferra häufig auf Phishing als Initial Access. Das Tool ist flexibel: Es kann entweder eine verschlüsselte Payload auf dem Zielsystem ablegen oder den Download über einen Staging-Server anstoßen. Die Aktivität wird als opportunistisch bewertet, mit Größenordnungen “von hunderten bis tausenden Nachrichten” pro Kampagne, was zeitkritischen Wellenbetrieb widerspiegelt statt gleichmäßiger Zustellung. Als bevorzugte Branchen werden unter anderem Finanzdienstleistungen, Gesundheitswesen, staatliche Stellen, Bildung sowie Fertigung genannt. In einer Beispielkampagne wird ein chinesischsprachiger Akteur unter dem Kürzel TA4922 mit Tax-Themen in Verbindung gebracht, wobei ZIP-Dateien von mitgelieferten, vom Angreifer kontrollierten Landingpages den Übergang von der Lock-Mail zur Ausführung herstellen.
Parallel existieren weitere dokumentierte Varianten, die zeigen, wie austauschbar das “Lure”-Thema bei gleichbleibender Tooling-Ebene sein kann. Eine frühere Einordnung ordnet Tax-Lures zeitlich in einen Zeitraum zwischen April und Anfang Juni 2026 ein und verwendet dafür den Namen Operation DragonReturn. Andere beobachtete Kampagnen greifen Themen wie Social-Security-Impersonation an, etwa mit E-Mails, die wie Nachrichten der US Social Security Administration wirken, sowie darauf aufbauender Malware-Auslieferung. Daneben werden Hotel- und Reisebezüge über Beschwerden und Schädlingsthemen als Köder genutzt, um Organisationen in der Hospitality- und Travel-Welt zu erreichen und dabei spezifische Payloads zu starten.
Ein zentrales wiederkehrendes Ausführungsmerkmal ist zudem die DLL-Sideloading-Strategie. Cruciferra wird dabei stets über das Laden von DLLs in der Nähe der jeweiligen Prozesskette gestartet und kombiniert das mit aktiven Anti-Analysis-Schritten wie dem Verbergen von Konsolenfenstern, dem Unhooking von Windows-API-Funktionen, indirekten Systemaufrufen sowie der Unterdrückung von Nutzerbenachrichtigungen. Bei BYOVD wird der Missbrauch eines Treibers wie “GoFlyDrv.sys” hervorgehoben, um Sicherheitsprozesse zu terminieren. Zusätzlich prüft der Kryptor Administratorrechte; fehlt diese Voraussetzung, versucht er über den COM Elevation Moniker eine Umgehung der UAC-Beschränkungen. Für Persistenz schreibt das Programm in den Registry-Pfad Software\Microsoft\Windows\CurrentVersion\Run, wobei ein Standardwert verwendet wird, der nach dem Neustart das automatische Wiederanspringen sicherstellt.
Für Unternehmen folgt daraus vor allem eine Konsequenz: Die reinen “Datei”-Signaturen werden als alleinige Linie der Verteidigung weniger zuverlässig. Wenn Process Ghosting dafür sorgt, dass es vor der Ausführung kein auswertbares, dauerhaftes Dateiobjekt gibt, rücken Verhaltenssignale, Speicheranalyse, Prozessketten-Telemetrie und EDR-Integritätsprüfungen stärker in den Mittelpunkt. Gleichzeitig zeigt das BYOVD- und Unhooking-Design, dass klassische Schutzmechanismen, die sich auf konsistente API- und Hook-Zustände stützen, gezielt unterlaufen werden können. Für Security-Teams heißt das praktisch, dass Detektionsregeln und Response-Workflows eng an Kettenlogik gekoppelt sein müssen: von der Phishing-Ablaufspur über ZIP-Handling bis hin zu Speicherausführung, Registry-Persistenz und eventueller Manipulation von EDR-Funktionen.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Cruciferra-Kryptor nutzt BYOVD und Process Ghosting gegen Windows-Defense" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Cruciferra-Kryptor nutzt BYOVD und Process Ghosting gegen Windows-Defense" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Cruciferra-Kryptor nutzt BYOVD und Process Ghosting gegen Windows-Defense« bei Google Deutschland suchen, bei Bing oder Google News!