BERLIN / LONDON (IT BOLTWISE) – Sicherheitsforscher beschreiben das Malware-Framework Avalon, das über eine mehrstufige Phishing-Kette bis zur Auslieferung der Ransomware CrownX führt. Im Zentrum stehen eine in ISO-Dateien versteckte Ausführung, eine Störung von Event Tracing for Windows (ETW) zur Reduktion forensischer Spuren und ein breites Bündel an Credential- und Datendiebstahl-Features. Ergänzt wird das Paket durch Mechanismen, die gezielt Telemetrie- und EDR-Schutz aushebeln sollen. Zusätzlich deuten die Artefakte auf eine KI-gestützte Entwicklung hin, die die Einstiegshürde für Angreifer weiter senkt.
In der Praxis wird Künstliche Intelligenz (KI) in der Security-Branche häufig als Verteidigungswerkzeug diskutiert. Gleichzeitig zeigt eine neue Analyse, wie schnell KI-unterstützte Entwicklung auch im Offensive-Umfeld an Bedeutung gewinnt: Die von Experten beschriebene Modularität des Malware-Frameworks Avalon spricht für eine wiederverwendbare „Baukasten“-Strategie, die nicht nur Verschlüsselung auslöst, sondern die gesamte Angriffskette orchestriert. Laut den Forschern startet der Prozess mit einer täuschend juristisch wirkenden E-Mail und endet erst, wenn CrownX als finale Erpressungsstufe aktiv wird. Damit verschiebt sich der Fokus von „einzelnen Payloads“ hin zu systematischen Angriffspfaden, die mehrere Verteidigungsebenen nacheinander bearbeiten.
Technisch fällt vor allem der Delivery-Mechanismus auf. Statt eine Datei direkt anzuhängen, setzen die Angreifer auf eine multi-stage Phishing-Chain, bei der Empfänger zu einer passwortgeschützten Archivdatei auf einem Cloud-Speicher gedrängt werden. In dem Archiv steckt ein ISO-Image, das beim Mounten nicht etwa einen klassischen Executable-Start auslöst, sondern über einen Windows Shortcut (LNK) eine Prozesskette startet. Der Shortcut führt dabei ein MSBuild-Projekt innerhalb des ISO aus. MSBuild lädt anschließend eine eingebettete .NET-Assembly nach, die wiederum in die normalen Windows-Prozesse eingreift und so die forensische Sichtbarkeit reduziert.
Ein zentraler Baustein ist die Störung von Event Tracing for Windows (ETW). ETW gilt seit Jahren als essenzielles Instrument für Telemetrie in Windows-Umgebungen; viele SOCs und EDR-Produkte bauen Messpunkte darauf auf, um Prozessketten, Module-Ladevorgänge und verdächtige Ereignisse zu erfassen. Wenn die analysierte .NET-Komponente die ETW-Funktionalität beeinträchtigt, wird die Untersuchungsbasis im Incident Response empfindlich geschwächt. In derselben Phase wird laut Bericht ein weiterer Payload-Stage über HTTPS nachgeladen und unmittelbar zur Ausführung von Avalon vorbereitet. Gegenüber „reiner“ Verschlüsselungssoftware ist das ein Qualitätsunterschied: Das Framework sammelt und tarnen während der Kette, nicht erst im Moment des Datenverlusts.
Die Forscher ordnen Avalon außerdem als stark auf Defense Evasion optimiertes System ein. Besonders relevant für Unternehmen ist dabei nicht nur die Umgehung einzelner Signaturen, sondern die Tatsache, dass die Artefakte gezielt Interaktionen mit bekannten Schutzprodukten betreffen. Der Bericht nennt konkrete EDR-/AV-Anbieter wie Microsoft Defender, SentinelOne, CrowdStrike, Sophos, Elastic Endpoint, FortiEDR, ESET, McAfee und Bitdefender. Das bedeutet: Das Framework passt die Ausführung offenbar an die Abwehrsituation auf dem Zielsystem an. Für die Marktbetrachtung ist das wichtig, weil es den typischen „ein Modell erkennt alles“-Ansatz untergräbt und Telemetrie nicht nur versteckt, sondern vorausschauend berücksichtigt.
Im Market Context ordnet sich das Verhalten in einen Trend ein, den auch andere Angriffe der letzten Monate/Quartale belegen: Ransomware wird zunehmend zu einer Plattform. Avalon bündelt Funktionen wie Credential Harvesting, Cookie- und Browserverlaufssammlung aus Chromium-basierten Browsern und Firefox, das Auslesen von Daten aus Krypto-Wallet-Apps sowie das Sammeln von System- und Netzwerkartefakten wie SSH known hosts, gespeicherten RDP-Verbindungen, Wi‑Fi-Profilen und Group Policy Preferences cpassword-Artfakten. Dazu kommt eine Exfiltration an einen entfernten Server sowie eine Polling-Strategie für Tasking-Kommandos. Für Sicherheitsverantwortliche ist das ein klares Signal: Detektion allein an der Verschlüsselungsphase reicht nicht mehr.
Der Vergleich zu „klassischen“ Ransomware-Kampagnen wird besonders dann greifbar, wenn man die Abfolge betrachtet: Während CrownX als letzte Erpressungsstufe gilt, beschreibt der Bericht, dass bis zum Erscheinen der Lösegeldnotiz bereits Credentials gesammelt, C2-Kommunikation aufgebaut und mehrere Wege zur lateralen Ausbreitung vorbereitet wurden. Zudem wird die lokale Wiederherstellung gezielt sabotiert, indem etwa die Volume Shadow Copy Service beendet und Shadow Copies gelöscht werden. Für den Unternehmensbetrieb heißt das: Selbst wenn Backup-Strategien vorhanden sind, kann die Angriffslogik zeitlich so gestaltet sein, dass Wiederherstellungsfenster kollidieren. Genau an dieser Stelle helfen Vergleiche mit etablierten EDR-Playbooks meist nur eingeschränkt, weil die „Kill Chain“ als Ganzes optimiert wird.
Experten weisen darüber hinaus auf KI-gestützte Entwicklung als Indiz für eine niedrigere Einstiegshürde hin. Ein besonders starker Punkt in der Einordnung lautet: Die Gegenwart einer konkreten Fähigkeit ist kein zuverlässiger Indikator mehr für die Reife eines Täterprofils. Das ist für die Priorisierung in Security-Teams relevant, weil klassische Heuristiken (z. B. „so komplex ist nur ein erfahrenes Team“) zunehmend an Aussagekraft verlieren. In der gleichen Berichtslage wird zudem eine „agentic“ Ransomware-Infektion beschrieben, bei der ein Large Language Model den Ablauf von Anfang bis Ende steuert und Aufgaben iterativ anpasst. Die daraus abgeleitete Erkenntnis: Der Skill Floor sinkt, und mit gestohlenen Zugangsdaten können Angriffe wirtschaftlich deutlich einfacher werden.
Ausblickend wird die Verteidigung gegen solche Muster nicht nur eine bessere Signaturpflege benötigen, sondern vor allem Architekturentscheidungen: Teams sollten Telemetrie-„Pfadabhängigkeit“ reduzieren, etwa indem sie Windows-Ereignisse stärker korrelieren, mehrere Quellen abgleichen und ETW-ähnliche Messpunkte redundant absichern. Gleichzeitig rückt die Frage nach Latenz und Wiederherstellung in den Mittelpunkt, weil Ransomware-Ketten immer mehr Schritte vorverlagern. Entwickler und Betreiber profitieren indirekt davon, weil „platformisierte“ Angriffe neue Anforderungen an Pipeline- und Rechtekonzepte stellen: Least Privilege, segmentierte Netzwerke und Härtung von Build-/Script-Schnittstellen wie MSBuild werden zu Daueraufgaben. In Summe spricht viel dafür, dass das nächste Ziel nicht nur Erpressung ist, sondern die Automatisierung des gesamten Angriffszyklus—womit KI-gestütztes Vorgehen zum Standardrisiko wird.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Avalon-Malware: Phishing-Chain, ETW-Umgehung und CrownX-Ransomware-Funktion" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Avalon-Malware: Phishing-Chain, ETW-Umgehung und CrownX-Ransomware-Funktion" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Avalon-Malware: Phishing-Chain, ETW-Umgehung und CrownX-Ransomware-Funktion« bei Google Deutschland suchen, bei Bing oder Google News!