KAMBODSCHA / LONDON (IT BOLTWISE) – Eine neue Cyber-Kampagne soll in Kambodscha zielen und dabei den Open-Source-RAT „Spark RAT“ einsetzen. Die Angreifer kombinieren dabei eine mehrstufige Infektionskette mit lokalen Ködern wie behördlichen Hinweisen, Gesundheitsmaterial und Immobilienunterlagen. Im Kern nutzen sie „Bring Your Own Vulnerable Driver“ (BYOVD), um über einen anfälligen Treiber Rechte zu eskalieren und Sicherheitssoftware abzuschalten. Entscheidend ist außerdem eine DLL-Sideloading-Kette, die über einen signierten Tencent-Prozess angestoßen wird.
In Kambodscha richtet sich eine neue Kampagne offenbar gezielt an einzelne Nutzer und Organisationen und bringt dabei einen Remote-Access-Trojaner (RAT) ins Spiel, der unter dem Namen „Spark RAT“ bekannt wird. Auffällig ist, dass die Betreiber nicht bei einem einzigen Einstiegspunkt bleiben, sondern die Infektion als mehrstufige Kette aufbauen: vom Phishing-Köder bis zum finalen Payload-Deploymentschritt. Damit verschiebt sich der Fokus für Verteidiger weg von „einem verdächtigen Anhang“ hin zu der Frage, wie genau sich die einzelnen Schritte gegenseitig absichern und welche Artefakte in jedem Abschnitt sichtbar werden.
Die Technikebene der Kampagne wirkt dabei besonders strukturiert. Laut dem Bericht aus der Bedrohungsanalyse nutzt das Angriffsteam eine „Bring Your Own Vulnerable Driver“-Variante (BYOVD): Dabei wird ein legitimer, aber verwundbarer Treiber mitgeführt bzw. aus dem Installer-Kontext heraus eingesetzt. Konkret wird ein Treiber mit dem Dateinamen „ardrv.sys“ beschrieben, der mit dem Umfeld von OPSWAT AppRemover in Verbindung gebracht wird. Ziel ist, über diesen Treiber Privilegien zu erhöhen und anschließend Sicherheitskomponenten gezielt zu stören oder zu deaktivieren – ein klassischer Hebel, um nachfolgende Schritte ohne Entdeckungsrisiko durchzuführen.
Beim initialen Köderansatz setzen die Angreifer auf komprimierte Archive, die einen Inno-Setup-Installer enthalten. Solche Setups sind in vielen Umgebungen zwar nicht per se ungewöhnlich, werden aber häufig in Kampagnen missbraucht, weil sie ein mehrschichtiges Dropper-Verhalten ermöglichen, ohne dass ein einzelner Dateityp im Vordergrund steht. Der Bericht nennt dazu lokal relevante Themen als Köder: etwa Regierungsmitteilungen, public-health-nahe Dokumente oder Unterlagen aus dem Immobilienumfeld. Für Unternehmen in Kambodscha bedeutet das in der Praxis, dass Awareness-Schulungen zwar wichtig bleiben, aber die technische Detektion an den Übergängen zwischen Installer, Side-Loading und Treiberinstallation ansetzen muss.
Technisch wird die nächste Stufe über eine DLL-Sideloading-Kette erreicht. Dabei startet der Installer eine Side-Loading-Logik über eine signierte Tencent-Komponente; diese wird anschließend genutzt, um die anfällige Driver-Komponente einzubetten und den Spark-RAT-Payload nachzuladen bzw. zu installieren. Zusätzlich werden anti-sandbox-Checks beschrieben, also Mechanismen, die Laufzeitumgebungen erkennen sollen, in denen Analysen typischerweise stattfinden. Parallel dazu versuchen die Angreifer, Sicherheitsprodukte zu beeinflussen – im Bericht wird u. a. Microsoft Defender genannt sowie ein weiteres Sicherheitsprodukt mit „Huorong Internet Security“ als Referenz. Für Sicherheitsverantwortliche ist das mehr als nur eine „Blockiere Software“-Masche: Wenn Defender-ähnliche Schutzmechanismen lokal ausgehoben werden, sinkt die Wahrscheinlichkeit für auffällige Verhaltens- oder Signaturtreffer in späteren Kettenphasen.
Beim eigentlichen RAT fällt vor allem die Implementierungsentscheidung auf: „Spark RAT“ ist Berichten zufolge in Go geschrieben. Das ist im Vergleich zu häufig verwendeten Windows-First-Stage-Droppern in C/C++ oder.NET interessant, weil sich dadurch Analysepfade, String-Artefakte und typische Laufzeitmuster unterscheiden können. Für die Incident Response ist zudem relevant, dass die Angreifer damit die Fernsteuerung kompromittierter Systeme ermöglichen. Genau diese Kombination – Go-basierter Payload, BYOVD zur Rechteeskalation und DLL-Sideloading als technisches „Einfallstor“ – macht den Angriffsstapel so robust: Er kann mehrstufig funktionieren, auch wenn einzelne Schutzsignaturen greifen.
Obwohl Elemente an frühere Aktivitätsmuster erinnern – etwa an Praktiken wie DLL-Sideloading und persistenznahe Mechanismen –, steht die endgültige Zuordnung zu einem spezifischen Threat Actor laut Analyse noch aus. Gründe dafür sind Unterschiede in den genutzten Payloads und das Fehlen gemeinsam genutzter Infrastruktur. Gleichzeitig deuten chinesischsprachige Bestandteile in der Spark-RAT-Konfiguration auf mögliche Entwicklungs- oder Einsatzbeziehungen in chinesischsprachigen Umgebungen hin. Für Betreiber ist das eine wichtige Leitplanke bei der Priorisierung: Auch ohne sichere Attribution lassen sich aus solchen Befunden robuste Detektionsregeln ableiten, etwa für signierte Komponenten, Side-Loading-Verhalten, ungewöhnliche Treiber-Nutzungen und Go-basierte Netzwerk- oder Kommando-Dialoge.
Für die Verteidigung ergibt sich daraus ein pragmatischer Schwerpunkt: Nicht nur der Installer selbst sollte betrachtet werden, sondern die gesamte Kette bis hin zur Treiberaktivierung und zur finalen RAT-Installation. In Umgebungen, in denen Inno-Setup-Installer häufig vorkommen, wird der Unterschied erst in den Folgeprozessen sichtbar, zum Beispiel bei der Einbindung spezifischer DLL-Pfade, bei ungewöhnlichen Systemaufrufen rund um Treiberinstallation oder bei anti-sandbox-typischen Zeit- und Umfeldprüfungen. Wenn Security Teams diese Übergänge mit Instrumentierung in EDR, Härtung und Logging abdecken, lässt sich die Kampagne typischerweise früher stoppen – und zwar noch bevor ein Go-basierter Remote-Control-Payload überhaupt seine Steuerkommunikation aufnehmen kann.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Spark RAT in Kambodscha: BYOVD und mehrstufige Infektionskette im Fokus" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Spark RAT in Kambodscha: BYOVD und mehrstufige Infektionskette im Fokus" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Spark RAT in Kambodscha: BYOVD und mehrstufige Infektionskette im Fokus« bei Google Deutschland suchen, bei Bing oder Google News!