LONDON (IT BOLTWISE) – Eine neue Kampagne setzt in Kambodscha auf einen offenen Remote-Access-Trojaner namens Spark RAT. Dabei wird die BYOVD-Technik genutzt, um einen legitimen, aber verwundbaren Treiber über OPSWAT AppRemover zu laden und Sicherheitssoftware zu schwächen. Die Schadkette arbeitet mehrstufig mit PNG-verschleierten Payloads, DLL-Sideloading sowie zeit- und prozessbasierten Sandbox-Tarnchecks. Laut Analyse wurden zwischen Ende Juni und Anfang August 2026 entsprechende bösartige Artefakte entdeckt, die weitere Aktivität ist jedoch unklar.
In Kambodscha richtet sich offenbar eine neue Angriffsserie gegen Organisationen und einzelne Nutzer, die über Phishing-E-Mails in einen mehrstufigen Infektionsprozess gezogen werden. Im Zentrum steht ein offener Remote-Access-Trojaner (RAT) namens Spark RAT, der in der Analyse als Go-basiert und plattformübergreifend beschrieben wird. Auffällig ist dabei weniger nur das Zielgebiet, sondern die konkrete Initialisierungs- und Eskalationslogik: Der Angriffsaufbau kombiniert Köder mit Dokumenten- und Behördenbezug, verpackt die Komponenten in komprimierte Archive und bringt Opfer dazu, eine Inno-Setup-basierte Installation auszuführen.
Technisch setzt die Kampagne auf „Bring Your Own Vulnerable Driver“ (BYOVD), also darauf, statt selbst einen Treiber zu entwickeln, eine vorhandene Komponente auszunutzen, die zwar legitim ist, aber Sicherheitslücken mitbringt. Laut der Untersuchung wird dabei ein mit OPSWAT AppRemover verknüpfter Treiber („cardrv.sys“) verwendet, um zunächst Privilegien zu erhöhen und anschließend Sicherheitssoftware gezielt auszuschalten. Damit rückt ein Muster in den Fokus, das in der Praxis besonders wirksam ist: Angreifer reduzieren ihre eigene Angriffsfläche, indem sie auf signierte oder vertraute Artefakte setzen, die in vielen Umgebungen eher akzeptiert werden als frei entwickelte Malware-Komponenten.
Der Ablauf ist zudem stark auf Entdeckungssicherheit getrimmt. Der Inno-Setup-Installer soll eine DLL-Sideloading-Kette anstoßen, bei der ein signiertes Tencent-Executable als Zwischenglied dient. Das Loader-Stück enthält außerdem eine Timing-basierte Anti-Sandbox-Prüfung: Es vergleicht die tatsächlich verstrichene Zeit gegen erwartete Schlafverzögerungen und beendet die Ausführung, wenn die Differenzen zu groß sind oder die Umgebung Sleep-Timing manipuliert. Zusätzlich prüft der Loader laufende Prozesse und geht dabei spezifisch auf „HipsTray.exe“ ein, das mit Huorong Internet Security in Verbindung gebracht wird; ist der Prozess vorhanden, versucht der Schadcode die Privilegien des Sicherheitsprodukts zu schwächen.
Nach diesen Prüfungen arbeitet die Kampagne mit verschlüsselten Stagern, die im Archiv in PNG-Dateien versteckt sind. Die Analyse beschreibt, dass der erste Shellcode über ein PNG geladen und als zweiter Stager ausgeführt wird; dieser Stager überprüft, ob er mit SYSTEM-Rechten läuft. Entscheidend ist dabei eine Verzweigung in zwei Betriebsmodi: Läuft der Code bereits unter SYSTEM, geht er in einen Inject-Modus über und umgeht dabei die Persistenz-Initialisierung; andernfalls verwendet er einen Setup-Modus, der zuerst Persistenz auf dem System herstellt, bevor die nächste Stufe ausgeführt wird. Im Inject-Modus wird Shellcode aus einem weiteren PNG extrahiert, entschlüsselt und in „vssvc.exe“ injiziert, wobei der Schadcode überwacht, ob der Zielprozess neu startet und dann erneut injiziert.
Im Setup-Modus liest und entschlüsselt die Malware ebenfalls Shellcode aus derselben Datei und prüft danach eine hardcodierte Liste von Prozessen, die mit Qihoo 360 in Verbindung gebracht werden. Werden diese Prozesse nicht gefunden, richtet die Schadsoftware eine Persistenz über einen Windows-Service ein, der das Sideloading erneut auslöst und damit den Zyklus wiederholt. Für die Durchsetzung der Sicherheitsneutralisierung nennt die Analyse eine konkrete Driver-Komponente („arDrv.sys“), die mit einer Schwachstelle „CVE-2026-36425“ assoziiert ist und dazu dient, sicherheitsrelevante Prozesse wie Microsoft Defender, Huorong Internet Security und Tencent PC Manager zu terminieren. Danach werden weitere in PNGs versteckte Payloads verarbeitet, darunter eine User-Mode-Termination harter Zielprozesse sowie eine Injektion in „ctfmon.exe“, was schließlich zur eigentlichen Ausführung von Spark RAT führt.
Für die Einordnung in den breiteren Bedrohungskontext ist auch die Attribution relevant. In der Untersuchung heißt es, dass der BYOVD-Mechanismus zudem auf mehrere andere Treiber-Referenzen eingeht, unter anderem Treiber, die aus dem Umfeld von TrueSight und einem SDK von Zemana Anti-Malware bekannt sein sollen; ähnliche Elemente wurden bereits bei früheren Kampagnen eines Akteurs mit dem Namen „Silver Fox“ beobachtet. Gleichzeitig gibt es aber zentrale Unterschiede: Laut Analyse fehlen Hinweise auf gemeinsame Infrastruktur, es gibt keine ausreichenden Anzeichen für Funktionscode-Reuse und die verwendeten Zertifikate passen nicht zusammen. Vor allem der Payload-Typ fällt heraus, denn Silver-Fox-Kampagnen sollen bisher nicht mit einem offen verfügbaren RAT in dieser Form verknüpft gewesen sein. Deshalb wird die Aktivität als „unattributed cluster“ mit möglichen chinesischsprachigen Entwicklungs- oder Einsatzbezügen eingeordnet, jedoch mit niedriger Zuverlässigkeit und der Möglichkeit einer späteren Neubewertung, falls weiterer Code, Infrastruktur oder spezifische Opfermuster bekannt werden.
Für Unternehmen bedeutet das vor allem: Wer nur auf klassische Signaturabwehr setzt, übersieht leicht die Mechanik solcher Ketten. Die Kombination aus signiertem Zwischenglied (DLL-Sideloading), Timing- und Prozesschecks sowie dem Laden eines verwundbaren Treibers über BYOVD zielt darauf, sowohl Sandboxes als auch Endpunkt-Sicherheitsprodukte früh im Prozess abzuschneiden. Zudem verschleiert die mehrstufige Payload-Logik Daten in PNG-Dateien, was in der Alarmkette der Analysesysteme häufig weniger auffällig ist als direkte Binärdownloads. Praktisch sollten Security-Teams deshalb nicht nur auf Erkennung von Spark RAT selbst achten, sondern auf die charakteristischen Schritte der Kette: ungewöhnliche DLL-Sideloading-Pfade, Injektionen in Prozesse wie „vssvc.exe“ und „ctfmon.exe“, Persistenz über Windows Services und geplante Tasks sowie Driver-Installationsversuche im Kontext von BYOVD.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Spark RAT: Cambodschische Ziele, BYOVD über OPSWAT AppRemover und Tarnchecks" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Spark RAT: Cambodschische Ziele, BYOVD über OPSWAT AppRemover und Tarnchecks" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Spark RAT: Cambodschische Ziele, BYOVD über OPSWAT AppRemover und Tarnchecks« bei Google Deutschland suchen, bei Bing oder Google News!