LONDON (IT BOLTWISE) – In einer neuen Malspam-Kampagne missbrauchen Angreifer Googles DoubleClick-Domain, um eine Erkennungshürde zu umgehen und den .NET-basierten RAT DesckVB zu verteilen. Der Angriff nutzt dynamische Seiten-Inszenierung, um Empfängerinformationen automatisch einzubinden, bevor ein Loader weitere Payloads nachlädt. Besonders kritisch: Die Malware manipuliert Windows-Telemetrie auf API-Ebene, richtet Persistenz ein und führt Code in signierte Microsoft-Prozesse über Process Hollowing aus. Für Unternehmen bedeutet das: Spam- und Mail-Governance reichen allein nicht—entscheidend sind harte Browser-/Attachment-Kontrollen, GPO-Absicherungen und mehrschichtige Endpoint-Strategien.
Die aktuelle Bedrohungslage zeigt, wie flexibel Cyberkriminelle inzwischen mit legitimer Infrastruktur umgehen. In einer Malspam-Kampagne nutzen Angreifer die DoubleClick-Domäne von Google als Zwischenstation, um typische Erkennungsregeln zu entlasten und die Nutzerführung unauffälliger zu machen. Die eigentliche Malware heißt DesckVB RAT und ist als .NET-basierter Remote-Access-Trojaner seit Februar 2026 in aktiven Angriffen beobachtet worden. Entscheidend ist dabei nicht nur die Zielauswahl, sondern die Logik der Kette: Erst die Umleitung über eine scheinbar „harmlos“ wirkende Werbe-/Tracking-Umgebung, dann erst die Zustellung in eine von den Angreifern gesteuerte Landing-Phase.
Technisch beginnt der Angriff meist damit, dass ein Nutzer eine HTML-Datei öffnet, die in einer Phishing-Mail als Anlage oder Link-Referenz eingebettet ist. Beim Öffnen triggert die Datei eine Meta-Refresh-Weiterleitung zu einem DoubleClick-Campaign-Tracking-URL, von wo aus die nächste Redirector-Station anspringt. Dort wird die E-Mail-Adresse in der URL-Parametrik wieder dekodiert und anschließend zur Personalisierung der folgenden Seite verwendet. Damit kann die Landing Page Branding-Elemente sowie standortnahe Hinweise dynamisch einblenden, ohne dass das Angriffsteam pro Zielorganisation eine eigene Vorlage bauen muss. Der „Return on Effort“ steigt, weil ein einziger Malspam-Baukasten viele Varianten erzeugt.
Im nächsten Schritt wird aus der vermeintlichen Interaktion eine Datei-basiertes Download-Schema: Nach dem Klick auf eine Schaltfläche wie „Download PDF“ antwortet der Server nicht mit einer PDF, sondern mit einem ZIP-Archiv, das den Infektionspfad fortsetzt. Die weitere Ausführung übernimmt ein JavaScript Loader, der in der Praxis häufig so designt wird, dass er erst spät in der Kette sichtbar wird und dabei vergleichsweise kurze, unauffällige Artefakte hinterlässt. Der Loader lädt anschließend eine .NET-Komponente nach, häufig über Zwischenschritte, in denen ein PowerShell-Skript die eigentliche Retrieval- und Ausführungslogik anstößt. Aus Verteidigersicht ist diese Multi-Stage-Architektur besonders anspruchsvoll, weil verschiedene Signaturen und Telemetriequellen nacheinander aktiviert werden—und jeweils andere Abwehrmechanismen greifen müssen.
Die größte praktische Brisanz liegt im Ladeverhalten und in der Tarnung gegenüber dem Endpoint. DesckVB wird zunächst als Stager aktiv, prüft, ob es in einer Analyseumgebung oder unter Beobachtung läuft, und neutralisiert dann Sicherheitskontrollen. Anschließend wird Persistenz vorbereitet, bevor der eigentliche RAT-Payload startet. Ein zentraler Mechanismus ist Process Hollowing: Dabei injiziert der Schadcode in einen Microsoft-signierten Prozess, ersetzt dessen Ausführungskontext und lässt dadurch die sichtbare Prozesslandschaft plausibler wirken. Zusätzlich werden Manipulationen auf Windows-Ebene vorgenommen, etwa indem AMSI (Antimalware Scan Interface) und ETW (Event Tracing for Windows) bereits zu Beginn auf nativer API-Ebene beeinflusst werden. So wird Telemetrie reduziert, bevor nachhaltige Persistenz über Registry-Mechanismen (Run/RunOnce) und einen Loader im Startup-Ordner greift.
Bei erfolgreicher Ausführung übernimmt der Trojaner eine klassische RAT-Rolle: Er kommuniziert über Command-and-Control mit einem Server, typischerweise über raw TCP Sockets, führt System-Reconnaissance durch und passt Defender-Einstellungen an. Dazu gehört das Konfigurieren von Microsoft-Defender-Exclusions, wodurch zukünftige Scans und Heuristiken abgeschwächt werden können. Ergänzend kann die Schadsoftware Daten extrahieren, Befehle ausführen und weitere Payloads nachladen—also nicht nur „einmalig“ wirken, sondern als Plattform dienen. Auffällig ist zudem ein aggressiver Gegenanalyse-Mechanismus: Erkennt DesckVB eine Analyse-Tool-Umgebung oder eine Sandbox, beendet es den Prozess und startet das System neu. Für Incident Responder bedeutet das, dass Live-Forensik ohne sehr schnelle Initialreaktion schwieriger wird, weil Artefakte „wegrotieren“.
Im Marktkontext ist bemerkenswert, dass die Kampagne gerade nicht auf einen exotischen Exploit setzt, sondern auf Ketten-Evasion durch legitime Domänen und dynamische Inhalte. Das macht sie kompatibel mit vielen Organisationstypen, weil die Angriffslogik eher auf Delivery- und Browser-/Attachment-Handling abzielt als auf spezielle interne Schwachstellen. Damit entsteht ein Wettbewerbseffekt zwischen „was in der Mail erkannt wird“ und „was am Endpunkt ausgeführt wird“. Während Security Suites wie Microsoft Defender stark über Multi-Signal-Detection arbeiten, muss die Abwehr ergänzend auf Policy-Ebene wirken: Gateways mit URL-/Attachment-Sandboxing, Proxy- und Browser-Restriktionen sowie strikte Datei-/Skriptregeln senken die Erfolgsquote deutlich. Experten berichten, dass genau diese mehrschichtige Betrachtung—Defense in Depth—gegen solche Evasionsketten am wirksamsten ist, weil sie mehrere Eintrittspunkte gleichzeitig „verkettet“ blockiert.
Aus historischer Perspektive ist die Nutzung von Redirector-Ketten und dynamischer HTML-Generierung kein völlig neues Muster. Seit Jahren sehen Verteidiger, dass Angreifer mit URL-Weiterleitungen, entschärften Landing Pages und skriptbasierten Loadern arbeiten, um klassische Heuristiken zu umgehen. Neu ist in diesem Fall vor allem die konsequente Verschiebung der Aufmerksamkeit: Statt die Nutzer bereits am ersten Schritt zu überraschen, verlagert die Kampagne Glaubwürdigkeit in eine legitime Google-nah wirkende Tracking-Umgebung. Dadurch werden viele automatisierte Prüfungen weniger strikt oder reagieren später als nötig. Als Vergleich kann man die Entwicklung von „Phishing-as-a-Service“ und modularen Loadern heranziehen: Heute reichen Baukastenteile, um pro Kampagne Personalisierung und Payload-Delivery zu skalieren.
Für die Praxis sollten Unternehmen daher nicht nur die E-Mail-Schicht härten, sondern auch die erste ausführungsnahe Barriere konsequent erhöhen. Konkrete Empfehlungen aus der Branche zielen auf DMARC, DKIM und SPF, um gefälschte Absender und Spoofing zu reduzieren, sowie auf Email-Gateway-Lösungen, die Anhänge und Links vor Zustellung in einer kontrollierten Umgebung analysieren. Noch stärker wirkt die Policy-Seite: Wenn Active Directory etwa per Group Policy Object so konfiguriert wird, dass Skriptdateien wie .vbs, .hta oder .js standardmäßig nicht in erweiterte Laufzeitumgebungen gelangen (sondern beispielsweise über Notepad geöffnet werden), kann der Angriff bereits vor dem Nachladen weiterer Payloads abbrechen. In Summe entsteht damit eine robuste Kette aus organisatorischen, Gate- und Endpoint-Kontrollen—die gerade bei DesckVB-ähnlichen Kampagnen den entscheidenden Zeitgewinn liefert.
Der Ausblick ist klar: Angriffsteams werden solche Delivery- und Evasionstechniken weiter ausrollen, weil sie skalierbar sind und nicht zwingend an einzelne Zielunternehmen gebunden bleiben. Für Entwickler und Security-Teams bedeutet das, dass Erkennungsmodelle stärker auf „Verhaltensketten“ statt auf einzelne Artefakte angewiesen sind: Ein Loader, der nacheinander Browser-Redirects, Skriptintermediation und .NET-Nachladen mit Telemetrie-Reduktion kombiniert, muss als Muster erkannt werden. Gleichzeitig lohnt sich für Unternehmen ein technischer Abgleich der eigenen Schutzstrategie, etwa wie Events von ETW/Defender-Status in SIEMs verarbeitet werden und ob Schutzmechanismen auch dann greifen, wenn einzelne Signale abgeschwächt werden. Wenn diese Trends zusammenkommen, könnte sich die nächste Welle weniger über „neue Malware-Signaturen“, sondern über noch bessere Kettenhygiene unterscheiden.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "DoubleClick-Malspam liefert DesckVB RAT: Angriffskette im Detail" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "DoubleClick-Malspam liefert DesckVB RAT: Angriffskette im Detail" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »DoubleClick-Malspam liefert DesckVB RAT: Angriffskette im Detail« bei Google Deutschland suchen, bei Bing oder Google News!