BRASILIEN / LONDON (IT BOLTWISE) – Ein neuer Malware-Loader namens Caminho nutzt fortschrittliche Steganografie-Techniken, um schädliche .NET-Payloads in harmlosen Bilddateien zu verstecken. Diese Entwicklung stellt eine bedeutende Herausforderung für Sicherheitsforscher dar, da sie traditionelle Erkennungsmethoden umgeht.
Ein neu entdeckter Malware-Loader namens „Caminho“, was auf Portugiesisch „Pfad“ bedeutet, hat sich als fortschrittliche Plattform für Loader-as-a-Service etabliert. Diese nutzt die Least Significant Bit (LSB) Steganografie, um schädliche .NET-Payloads in scheinbar harmlose Bilddateien zu verbergen. Laut den Forschungen von Arctic Wolf Labs wurde die Operation erstmals im März 2025 beobachtet und hat sich bis Juni erheblich weiterentwickelt, wobei sie sich von Südamerika nach Afrika und Osteuropa ausbreitete.
Die Untersuchung ergab 71 Varianten, die alle dieselbe Kernarchitektur und portugiesischsprachige Artefakte im Code teilen, was auf einen brasilianischen Ursprung hindeutet. Die betroffenen Umgebungen umfassten Brasilien, Südafrika, die Ukraine und Polen, was darauf hindeutet, dass sich die Operation zu einem multiregionalen Dienst entwickelt hat, anstatt nur eine einzelne Kampagne zu sein.
Opfer wurden durch Spear-Phishing-Anhänge getroffen, die geschäftsbezogene Social-Engineering-Techniken nutzten. Die erste Stufe setzte obfuskiertes JavaScript oder VBScript ein, das ein PowerShell-Skript abrief, welches wiederum ein steganografisches Bild von legitimen Plattformen wie archive.org herunterlud. Caminho verwendet LSB-Steganografie in Bilddateien wie JPGs oder PNGs, um eine Payload zu verbergen. Das PowerShell-Skript extrahiert den eingebetteten .NET-Loader aus dem Bild, lädt ihn direkt in den Speicher, ohne auf die Festplatte zu schreiben, und injiziert ihn in einen legitimen Windows-Prozess wie calc.exe.
Diese „fileless“ Ausführungsmodell hilft, traditionelle festplattenbasierte Erkennung zu umgehen. Durch das Persistieren über geplante Aufgaben mit Namen wie „amandes“ oder „amandines“ bleibt der Loader auch nach Neustarts aktiv. Die Lieferkette ist modular aufgebaut. Nachdem der Loader ausgeführt wurde, ruft er die Endstufen-Malware über URLs ab, die als Argumente übergeben werden. Bereits beobachtete Payloads umfassen den kommerziellen Remote-Access-Trojaner REMCOS RAT, XWorm und den Credential-Stealer Katz Stealer.
Durch die Wiederverwendung steganografischer Bilder und C2-Infrastruktur über mehrere Kampagnen hinweg spiegelt die Operation ein LaaS-Geschäftsmodell wider. Ein Beispiel: Die Bilddatei „universe-1733359315202-8750.jpg“ tauchte in mehreren Kampagnen mit unterschiedlichen Payloads auf. Ihre Infrastruktur ist ebenfalls clever gestaltet. Die Kampagne nutzt legitime Dienste wie Archive.org, um Stego-Bilder zu hosten, und Paste-Style-Dienste wie paste.ee, pastefy.app, für die Skriptbereitstellung, wodurch bösartiger Inhalt inmitten von normalem Datenverkehr verborgen wird.
Für die Befehls- und Kontrollkommunikation verwendete die Kampagne Domains wie „cestfinidns.vip“ auf AS214943 (Railnet LLC), bekannt für bullet-proof Hosting. Caminho stellt Verteidiger vor Herausforderungen, da steganografische Bilder signaturbasierte Erkennung umgehen und harmlos erscheinen. Die fileless Ausführung vermeidet das Schreiben von Payloads auf die Festplatte, was die forensische Rückverfolgbarkeit einschränkt. Die modulare Dienstarchitektur ermöglicht mehrere Malware-Familien im großen Maßstab. Die Nutzung legitimer Hosting- und Bereitstellungsdienste reduziert netzwerkbasierte Warnsignale.
Portugiesischsprachige Artefakte und die Zielsetzung während brasilianischer Geschäftszeiten deuten auf einen regionalen Ursprung hin, aber die Infrastruktur unterstützt globale Operationen. Caminho zeigt, wie moderne Loader traditionelle Angriffstechniken – Skript-Drop aus Phishing, Prozessinjektion und Sleeper-Aufgaben – mit fortschrittlicher Umgehung durch Steganografie und dienstähnliche Architekturen kombinieren. Da die Kampagne ihre geografische Reichweite und Payload-Unterstützung erweitert, sollten Organisationen in den Zielregionen – insbesondere in Südamerika, Afrika und Osteuropa – von einer Exposition ausgehen, proaktiv suchen und die Integrität von Bilddateien, Download-Ursprüngen und Prozessbäumen validieren.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Caminho: Neuer brasilianischer Malware-Loader nutzt Steganografie" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Caminho: Neuer brasilianischer Malware-Loader nutzt Steganografie" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Caminho: Neuer brasilianischer Malware-Loader nutzt Steganografie« bei Google Deutschland suchen, bei Bing oder Google News!