LONDON (IT BOLTWISE) – Eine neue Android-Malware wird gezielt über Facebook-Werbeanzeigen verbreitet und soll bereits mehrere Millionen Downloads erreicht haben. Im Hintergrund arbeitet ein Loader-as-a-Service-Modell namens DOUBLECUP, das seit Juni 2026 als Distributionsplattform aktiv ist. Die Kampagne setzt auf das Ausnutzen von Klick-„Reparatur“-Skripten, in denen die Schadsoftware über PNGs im Browser-Cache versteckt wird. Zusätzlich verschleiert EtherHiding die Command-and-Control-Verbindungen, indem es Adressen auf Ethereum- und Polygon-Blockchain-Strukturen auslagert.
Die Verbreitung wirkt auf den ersten Blick wie ein typisches Social-Engineering-Problem im mobilen Werbeumfeld. Bei genauerer Betrachtung zeigt die Sicherheitsanalyse aber ein deutlich professionelleres Setup: Statt nur eine einzelne Schad-App zu verteilen, steuert das Angreiferteam eine ganze Kampagne über manipulierte Seiten, die Nutzer über Facebook-Werbeanzeigen abholen sollen. Dabei werden laut den vorliegenden Angaben bereits Reichweiten im Bereich von mehreren Millionen Downloads genannt. Für Unternehmen und Security-Teams ist das vor allem deshalb relevant, weil Werbung als vermeintlich kontrollierter Zulieferkanal missbraucht wird und die Zielgruppe dabei genau die Nutzer adressiert, die Anwendungen für Geschäftsprozesse installieren möchten.
Technisch verlagert sich der Fokus auf ein Loader-as-a-Service-Modell, das unter dem Namen DOUBLECUP beschrieben wird. Solche LaaS-Strukturen trennen typischerweise den „Vertrieb“ von der eigentlichen Schadlogik: Ein Betreiber stellt eine Infrastruktur bereit, über die verschiedene Payloads nach Bedarf ausgeliefert werden. In diesem Fall heißt es, die Infrastruktur laufe seit Juni 2026, und die Steuerung erfolge über ein offenes Verzeichnis unter der IP-Adresse 213.139.77.109:9090 sowie über einen Telegram-Bot namens @harrypoterlohBOT. Zusätzlich wird ein Profil mit dem Pseudonym johnnysilverhe als verantwortlicher Akteur identifiziert. Dass die Angreifer verschiedene Schadprogramme darüber ausrollen, ist ein Hinweis darauf, dass sie nicht nur auf eine einmalige Kampagne setzen, sondern den Betrieb modular skalieren wollen.
Damit die Nutzer überhaupt auf die falschen Downloads klicken, greifen die Betreiber offenbar auf Markenimitationen zurück, die in Business-Umgebungen Vertrauen auslösen. In der Analyse werden unter anderem NetSuite, Odoo, HubSpot und Salesforce als nachgeahmte Ziele genannt. Der Ablauf ist dabei strukturell klassisch: Nutzer werden über die Werbeanzeige auf eine manipulierte Seite geführt, laden dort eine vermeintlich legitime Geschäftsapplikation herunter und erhalten anschließend eine schädliche Payload. Interessant ist hier weniger die reine Täuschung, sondern wie konsequent die Kampagne auf „Vorhersagbarkeit“ in der Opferansprache setzt: Sobald ein Nutzer bereits eine bekannte SaaS- oder CRM-Logik erwartet, wirkt die Installation weniger wie ein Risiko und mehr wie ein normaler Arbeitsaufwand.
Die Infektionskette setzt auf mehrstufige Mechanismen, die sowohl den Einstieg verschleiern als auch die spätere Analyse erschweren. Als zentrales Element werden ClickFix-Köder beschrieben: Nutzer sollen scheinbare Browserfehler durch das Ausführen von Skripten „beheben“. Eine Besonderheit der DOUBLECUP-Infrastruktur ist zudem die Verwendung von PNG-Bildern im Browser-Cache, in denen die Malware versteckt wird, um gängige Sicherheitsmechanismen auszuhebeln. Das ist ein typischer Trick aus dem Bereich der „Living off the cache“-Varianten: Anstatt die Nutzdaten direkt zu übertragen, wird die Darstellungsebene (Dateityp/Cache-Eintrag) missbraucht, sodass automatische Detektoren leichter in die Irre laufen. Ergänzend kommt EtherHiding ins Spiel, bei dem Smart Contracts auf Ethereum- und Polygon-Blockchains genutzt werden, um die Adressen der Command-and-Control-Server (C2) zu verbergen.
Für Verteidiger ist diese Mischung aus Hiding und Dezentralisierung besonders anspruchsvoll, weil sie die Angriffsfläche nicht nur technisch, sondern auch organisatorisch verkompliziert. Wenn Steuerungsdaten nicht zentral in einer einzigen Infrastruktur liegen, sondern dezentral über Blockchain-Strukturen erreichbar gemacht werden, wird es für IT-Dienstleister und Security-Teams schwieriger, die Verbindungen dauerhaft zu unterbinden. Laut den Angaben kommuniziert ein weiterer Bestandteil der Kette, der RAT DeviceManager, über die C2-Adresse 91.92.240[.]100. Zusätzlich werden Payloads wie der CountLoader in der Version 4.5p erwähnt, der offenbar auch Windows- und macOS-Systeme ins Visier nimmt. Das deutet darauf hin, dass der Loader nicht nur als „Android Einstiegstor“, sondern als Teil eines breiteren Multi-OS-Setups gedacht ist.
Die Schadsoftware ist zudem auf Persistenz ausgelegt und nutzt unterschiedliche Mechanismen je nach Betriebssystem. Auf Windows kommen geplante Aufgaben (Scheduled Tasks) sowie die Windows Management Instrumentation (WMI) zum Einsatz, während auf macOS LaunchAgents verwendet werden, um den automatischen Start nach jeder Systemanmeldung sicherzustellen. Dass zur Entschlüsselung der Komponenten ein SHA-256-Algorithmus in Verbindung mit einem IP-basierten Schlüssel verwendet wird, zielt ebenfalls auf Härtung gegen Reverse Engineering: Die Analyse muss dann nicht nur statisch, sondern auch im Kontext von Schlüsselableitungen und Laufzeitbedingungen durchgeführt werden. Für IT-Verantwortliche bedeutet das: Schutzmaßnahmen reichen oft nicht, wenn sie nur auf einzelne Dateien oder statische Signaturen setzen, sondern müssen auch Verhaltensindikatoren, Prozesse und Anmeldeereignisse abdecken.
Aus praktischer Sicht rückt damit die Update-Strategie stärker in den Vordergrund, weil professionelle LaaS-Kampagnen häufig über „schlanke“ Einstiegspunkte agieren und dann schnell auf neue Ausnutzungsmöglichkeiten reagieren. Security-Hinweise richten sich in solchen Fällen regelmäßig an zwei Fronten: Erstens sollten Nutzer bei Werbeanzeigen in sozialen Netzwerken deutlich vorsichtiger sein, insbesondere wenn ein Download von Unternehmenssoftware versprochen wird, die „sofort“ installiert werden soll. Zweitens müssen Organisationen sicherstellen, dass Browser-, OS- und App-Komponenten konsequent gepatcht sind, damit ClickFix-Mechanismen und ähnliche Skriptketten weniger Angriffsfläche finden. Unabhängig davon, ob einzelne Payloads gerade „CountLoader“ oder ein RAT sind: Die beschriebenen Techniken zeigen, wie sehr moderne Angriffe auf Kombinationen aus Web-Ausnutzung, Infrastrukturverschleierung und modularem LaaS-Betrieb setzen.
Gleichzeitig macht der Fund die Grenzen rein signalbasierter Abwehr sichtbar. Wenn Malware über Cache-Manipulation versteckt wird und Steuerungsadressen über Blockchain-Inhalte verschleiert werden, steigen die Anforderungen an Monitoring, EDR-Regeln und automatisierte Incident-Response-Prozesse. Die gute Nachricht: Gerade bei Persistenzmechanismen wie Scheduled Tasks, WMI-Events oder LaunchAgents lassen sich in vielen Umgebungen robuste Telemetriepunkte definieren, die nicht auf eine konkrete Datei angewiesen sind. Wer diese Telemetrie mit einer sauberen Update- und Berechtigungsstrategie koppelt, reduziert die Effektivität solcher Kampagnen spürbar, selbst wenn neue LaaS-Varianten schnell nachgeschoben werden.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "DOUBLECUP: Neue Android-Malware nutzt Facebook-Werbung und LaaS mit EtherHiding" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "DOUBLECUP: Neue Android-Malware nutzt Facebook-Werbung und LaaS mit EtherHiding" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »DOUBLECUP: Neue Android-Malware nutzt Facebook-Werbung und LaaS mit EtherHiding« bei Google Deutschland suchen, bei Bing oder Google News!