Neue Phishing-Kampagne nutzt UpCrypter zur Verbreitung von RATs

WIEN / LONDON (IT BOLTWISE) – Eine neue Phishing-Kampagne hat es auf Unternehmen in verschiedenen Branchen abgesehen. Mit gefälschten Voicemails und Bestellbestätigungen wird ein Malware-Loader namens UpCrypter verbreitet, der Remote-Access-Tools auf infizierte Systeme bringt.

Eine neue Phishing-Kampagne hat die Aufmerksamkeit von Cybersicherheitsexperten auf sich gezogen. Diese Kampagne nutzt gefälschte Voicemails und Bestellbestätigungen, um einen Malware-Loader namens UpCrypter zu verbreiten. Laut den Forschern von Fortinet FortiGuard Labs werden sorgfältig gestaltete E-Mails verwendet, um Empfänger auf täuschend echte Phishing-Seiten zu locken. Diese Seiten verleiten die Nutzer dazu, JavaScript-Dateien herunterzuladen, die als Dropper für UpCrypter fungieren.

Seit August 2025 zielt die Kampagne vor allem auf die Branchen Fertigung, Technologie, Gesundheitswesen, Bauwesen und Einzelhandel/Gastronomie weltweit ab. Besonders betroffen sind Länder wie Österreich, Belarus, Kanada, Ägypten, Indien und Pakistan. UpCrypter dient als Transportmittel für verschiedene Remote-Access-Tools (RATs) wie PureHVNC RAT, DCRat (auch bekannt als DarkCrystal RAT) und Babylon RAT, die es Angreifern ermöglichen, die vollständige Kontrolle über kompromittierte Hosts zu übernehmen.

Der Infektionsweg beginnt mit einer Phishing-E-Mail, die Themen wie Voicemail-Nachrichten und Kaufbestätigungen nutzt, um die Empfänger zu täuschen. Diese E-Mails enthalten Links zu gefälschten Landingpages, von denen aus die Nutzer aufgefordert werden, die Voicemail oder ein PDF-Dokument herunterzuladen. Die gefälschten Seiten wirken überzeugend, indem sie nicht nur die Domain des Opfers im Banner anzeigen, sondern auch das Logo der Domain in den Seiteninhalt einbetten, um die Authentizität zu verstärken.

Der heruntergeladene Payload ist ein ZIP-Archiv, das eine verschleierte JavaScript-Datei enthält. Diese Datei kontaktiert einen externen Server, um die nächste Malware-Stufe abzurufen, jedoch erst nach Bestätigung der Internetverbindung und dem Scannen laufender Prozesse auf forensische Tools, Debugger oder Sandbox-Umgebungen. Der Loader kontaktiert dann denselben Server, um den endgültigen Payload zu erhalten, entweder in Form von Klartext oder eingebettet in ein harmlos aussehendes Bild, eine Technik, die als Steganographie bekannt ist.

Fortinet berichtet, dass UpCrypter auch als MSIL (Microsoft Intermediate Language) Loader verteilt wird, der wie sein JavaScript-Gegenstück Anti-Analyse- und Anti-Virtual-Machine-Checks durchführt, bevor er drei verschiedene Payloads herunterlädt: ein verschleiertes PowerShell-Skript, eine DLL und den Haupt-Payload. Der Angriff gipfelt darin, dass das Skript während der Ausführung Daten aus dem DLL-Loader und dem Payload einbettet, wodurch die Malware ausgeführt werden kann, ohne sie auf das Dateisystem zu schreiben. Diese Methode minimiert forensische Spuren und ermöglicht es der Malware, unbemerkt zu bleiben.

Diese Entwicklungen sind Teil eines größeren Trends, bei dem Bedrohungsakteure legitime Dienste wie Microsoft 365 Direct Send und OneNote ausnutzen. Sie missbrauchen auch kostenlose, KI-gestützte Website-Builder wie Vercel und Flazio sowie Dienste wie Discord CDN, SendGrid, Zoom, ClickFunnels, Jotform und X’s t[.]co Link-Shortener. Diese Vorgehensweise ist als Living-off-Trusted-Sites (LOTS) bekannt.

Bestseller Nr. 1 - «KI Gadgets»

Apple AirTag - Finde und behalte Deine Sachen im Blick: Schlüssel, Geldbörsen, Gepäck, Rucksäcke und mehr. Einfaches Einrichten mit iPhone oder iPad. Austauschbare Batterie

30,99 EUR

Bestseller Nr. 2 - «KI Gadgets»

Mobvoi TicNote KI Digitales Diktiergerät, 64 GB Speicher, Notizrekorder mit Hülle, App-Steuerung, über 100 Sprachen, Transkribieren, Zusammenfassen mit AI Shadow,digitaler Audiorekorder Sprachrekorder

169,99 EUR

Bestseller Nr. 3 - «KI Gadgets»

PLAUD Note KI Digitales Diktiergerät mit Hülle - 64 GB Aufnahmegerät mit KI-Technologie zum Transkribieren und Zusammenfassen, One-Touch-Aufnahme, Rauschunterdrückung, Unterstützt 112 Sprachen

169,90 EUR

Bestseller Nr. 4 - «KI Gadgets»

KI-Sprachrekorder, PLAUD NotePin Sprachrekorder, App-Steuerung, KI-Notizgerät, KI-Transkription & Zusammenfassung, 112 Sprachen, 64GB Speicher, Audiorekorder für Vorlesungen, Meetings, Kosmisches Grau

169,90 EUR

Bestseller Nr. 5 - «KI Gadgets»

SOXOI KI Digitales Diktiergerät, 64GB Magnet Mini Aufnahmegerä mit ChatGPT 4o vom Transkribieren und Zusammenfassen für 102 Sprachen,One Touch Aufnahme, Voice Recorder Sprachrecorder (Schwarz)

79,99 EUR

Unseren KI-Morning-Newsletter «Der KI News Espresso» mit den besten KI-News des letzten Tages gratis per eMail - ohne Werbung: Hier kostenlos eintragen!