LONDON (IT BOLTWISE) – Mit DOUBLECUP entsteht offenbar ein Loader-as-a-Service, der Angriffe über ClickFix-Seiten steuert und bösartige Payloads in der Browser-Cachedatenlage versteckt. In der ersten Phase landet ein steganografiertes PNG im Cache, dessen Inhalt anschließend ausgelesen und als zweite Stufe ausgeführt wird. Für die Entschlüsselung der finalen Daten nutzt der Loader zusätzlich einen Schlüssel, der sich aus der öffentlichen IPv4-Adresse des Opfers ableitet. Als zweite Payload kommt ein modularer Python-basierter RAT namens DeviceManager zum Einsatz, der seine C2-Server-Informationen über Blockchain-Smart-Contracts ermittelt.
DOUBLECUP, ein offenbar in Russland entwickelter Loader-as-a-Service (LaaS), setzt auf eine vergleichsweise elegante Kombination aus ClickFix-Domänenködern, Browser-Caching und versteckter Datenübertragung. Im Kern nutzt das Setup so genannte ClickFix-Lures, um Opfer in einem Browser-Kontext zu einer scheinbar harmlosen Interaktion zu bringen – und verschiebt die eigentliche Schadfunktion in die nächste Stufe, ohne dass der Nutzer sofort eine klassische „Download“-Kette sieht. Der technische Ablauf, wie er in einer Analyse eines Sicherheitsanbieters beschrieben wird, beginnt nicht mit einer sofort sichtbaren Dateiübertragung, sondern mit dem Ablegen eines steganografierten PNG-Bildes in den Cache des Browsers. Erst danach wird der verborgene Inhalt rekonstruiert und als zweite Phase in den weiteren Ablauf eingespeist.
Die zweite Phase arbeitet laut der Darstellung der Untersuchenden mit mehreren Schichten Verschleierung. Zum einen wird die finale Payload in einem Speicherbereich entschlüsselt, statt sie frühzeitig als Klartext auf dem System abzulegen. Zum anderen kommt dabei eine benutzerdefinierte Kombination aus einem Stream-Cipher-Ansatz im Counter-(CTR)-Modus und XOR-Operationen zum Einsatz. Entscheidend ist dabei das Schlüsselmaterial: Der Loader nutzt die öffentliche IPv4-Adresse des Opfers als kryptografische Grundlage. Das hat eine direkte praktische Wirkung für Angreifer wie für Verteidiger: Selbst wenn identische Konfigurationen oder identische Module in anderen Umgebungen laufen, scheitert die Entschlüsselung bei abweichender IPv4-Adresse, weil der abgeleitete Schlüssel nicht zum Zielsystem passt. Zusätzlich nutzt das DeviceManager-Modul eine weitere anti-Analyse-Komponente, die bestimmte Sprachlokales betrifft, wodurch sich die Wahrscheinlichkeit reduziert, dass Analysten in „falschen“ Laborumgebungen reproduzierbare Artefakte erhalten.
Auch die operatorseitige Steuerung wirkt auf niedrige Einstiegshürden ausgelegt. DOUBLECUP wird offenbar seit Anfang Juni 2026 als aktiver Dienst betrieben, und die Kernentwickler stellen Lizenzen sowie einen Client-Agent bereit, mit dem Betreiber Kampagnen zusammenstellen und Payloads ausrollen können. Jede Lizenz soll einen eigenen Schlüssel umfassen und Metadaten enthalten, darunter unter anderem die IP-Adresse des Clients, die aktiven Tage, ein Label und eine Version. Mehrere Kampagnen lassen sich demnach über eine einzelne Lizenz orchestrieren. Der Einstieg erfolgt über einen Web-ähnlichen Konfigurations-Endpunkt, der aus Domain und Slug gebildet wird; dort liefert ein GET-Request die konkreten Parameter nach, etwa die URL des steganografierten Bildes, dessen Größe, Session-Endpunkte sowie browser-spezifische Befehle für Chrome, Edge, Firefox, Brave und Opera. Damit müssen Betreiber ihre ClickFix-Landingpages nicht nur als Köder, sondern auch als Ausführungsplattform begreifen: Sie injizieren dafür Frontend-Code, der je nach User-Agent die passenden Befehle zieht, einen Session-Mechanismus registriert und anschließend ein Polling anstößt, um die finale Weiterleitung zu triggern.
Technisch wird das Konzept „ClickFix + PNG-Cache + versteckter JavaScript-/Script-Auszug“ als durchgängige Kette sichtbar: Betreiber richten einen Decoy-Flow ein, der die Konfiguration abfragt, das steganografierte PNG vorkonfiguriert vorlädt und dann – abhängig vom Browser – eine passende Kommandosequenz in Clipboard und Redirect-Logik überführt. Zur Zielerreichung werden offenbar auch Rückkanäle genutzt, um Operatoren über erfolgreiche Visits zu informieren und kryptografische Schlüssel/Callback-Daten zu verteilen. In der beschriebenen Infrastruktur spielt dabei ein Telegram-Bot eine Rolle, der Clientbesuche nachverfolgt und Kommandos bzw. Schlüssel austauscht, während Ergebnisse anschließend über einen festgelegten DOUBLECUP-URL-Pfad zurückgemeldet werden. Für die Kampagnen selbst wird zudem von einem Set an Scheinseiten berichtet, die CRM-Login-Flows imitieren und die Loader-Pakete über eingebettete iframe-Elemente zugänglich machen. Für die Verteidigung bedeutet das: Viele klassische Indikatoren rund um „Datei kommt an“ werden zeitlich und prozessual in Richtung Browser-Cache, Redirect und eingebettete Skriptverarbeitung verschoben.
Als erste konkret benannte Familie wird CountLoader in Varianten für Windows und macOS geliefert. Dabei geht es nicht nur um den Transport weiterer Payloads, sondern auch um Persistenz, Reconnaissance und zielgerichtete Aufbereitung für nachfolgende Stufen. Laut Analyse soll CountLoader Scheduled-Tasks nutzen, Browser-Erweiterungen im Hinblick auf Krypto-Wallets prüfen und das System so profilieren, dass auch die Desktop-App von Signal im Blick bleibt. Besonders auffällig ist eine Funktion, die in der Desktop-Umgebung nach Shortcut-Dateien (.LNK) für „beliebte Webbrowser“ sucht und deren Ziel so umschreibt, dass beim Doppelklick der Browser eigentlich verdeckt gestartet und gleichzeitig die RAT-Komponente im Hintergrund ausgeführt wird. Gleichzeitig wird betont, dass diese Funktion angeblich nie aufgerufen wird, was auf unvollständige Entwicklung oder „dead code“ hindeutet. Nach der Etablierung zielt CountLoader vor allem auf Systemmetadaten, Exfiltration und das Warten auf weitere Aufgaben: es können zusätzliche ausführbare Formate wie DLLs, MSI oder HTML-Application-Dateien nachgeladen und gestartet werden, während Persistenzmechanismen später so aufgesetzt werden, dass Spuren in Richtung Forensik reduziert werden.
Die zweite Payload-Instanz, DeviceManager, wird als modularer, Python-basierter RAT beschrieben, der seine C2-Ziele über Blockchain-Technologien ermittelt. Das Konzept dahinter ist „EtherHiding“: Der Trojaner löst aktive C2-Knoten dynamisch über Ethereum-/Polygon-Smart-Contracts auf, bevor er die Kommunikationskanäle aufbaut. Operativ wird DeviceManager offenbar als Delphi-compiled Inno-Setup-Installer ausgeliefert, der eine verschlüsselte Payload enthält; beim Start entpackt er ein vollständiges Python-Environment und erzeugt daraus die Malware-Instanz. Zusätzlich wird ein Lokalisierungs-Screening beschrieben: Findet das System „CIS“-Sprachumgebungen, so soll DeviceManager eine Selbstlöschroutine ausführen, unter anderem Scheduled-Task-Reste entfernen und das Installationsverzeichnis löschen. Für die Kommunikation nutzt das Modul dann DNS oder HTTP, um Systemdaten zu exfiltrieren, Aufgaben abzurufen und Statusmeldungen zu senden. In der beschriebenen Analyse wird als konkretes Beispiel auch eine C2-Adresse genannt; wichtig ist aber vor allem der Mechanismus, weil die „Decentralized Resolver“-Schicht es Angreifern erleichtern dürfte, Infrastruktur zu rotieren oder resilient zu halten.
In der Gesamtschau zeigt DOUBLECUP vor allem, wie stark sich Loader-as-a-Service-Angebote in Richtung „zuverlässige Pipeline“ entwickeln: Steganografie senkt die Wahrscheinlichkeit sofortiger Flaggen auf Datei-Ebene, Browser-spezifische Konfigurationen reduzieren Kompatibilitätsprobleme und Environmental Keying erschwert die Analyse über standardisierte Labor-Setups. Gleichzeitig verschiebt die Kombination aus ClickFix-Instanzen, Cache-Handling und nachgelagertem Speicher-Decrypt die Detektionsflächen in Bereiche, die in vielen Umgebungen weniger konsequent überwacht werden, etwa Skriptausführung entlang der Redirect-/Polling-Kette oder das Verhalten beim Lesen und Nutzen von Cacheinhalten. Für Sicherheitsteams bedeutet das in der Praxis, dass Telemetrie nicht nur „Downloads“ und „Executables“, sondern auch Browser-Interaktionen, Cachezugriffe, Clipboard-Änderungen und dynamische Konfigurationsendpunkte einschließen sollte. Für Unternehmen, die ihre Web-Frontends und Marketing-Links betreiben oder Dritte mit Landingpages beauftragen, verschiebt sich damit auch die Priorität: Nicht nur der Inhalt selbst, sondern die komplette Kette vom Köder bis zur Ausführung im Browser wird zum relevanten Schutzbereich.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "DOUBLECUP: ClickFix-Loader als Dienst platziert RATs per PNG-Cache" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "DOUBLECUP: ClickFix-Loader als Dienst platziert RATs per PNG-Cache" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »DOUBLECUP: ClickFix-Loader als Dienst platziert RATs per PNG-Cache« bei Google Deutschland suchen, bei Bing oder Google News!