LONDON (IT BOLTWISE) – Eine laufende Malware-Kampagne nutzt gefälschte Software-Downloadseiten, um Nutzer mit scheinbar vertrauenswürdigen Installern in die Falle zu locken. Die Schadsoftware legt Persistenz an, schwächt Microsoft Defender und stört Windows Update, indem sie zentrale Dienste deaktiviert und Cache-Komponenten entfernt. Anschließend kommuniziert sie über Command-and-Control-Verbindungen auf mehreren nicht standardmäßigen Ports. Besonders kritisch: Das Payload-Paket wird offenbar serverseitig bei jeder Anfrage neu generiert, wodurch Hash-basierte Erkennung deutlich erschwert wird.
Windows-Nutzer geraten derzeit erneut unter Druck, weil eine aktive Kampagne gefälschte Downloadseiten einsetzt, die sich wie offizielle Vendor-Portale anfühlen. Laut Microsoft richtet sich die Aktion an Personen, die beliebte Programme herunterladen wollen, und führt dabei zu kompromittierten Systemen in mehreren Branchen. Besonders betroffen seien vor allem Operationen mit China-Bezug sowie chinesischsprachige Nutzer gewesen. Technisch fällt auf, dass die Installer nach dem Start mehrere klassische Abwehrmechanismen kombinieren: Persistenzaufbau, gezielte Schwächung von Sicherheitsfunktionen und Kommunikation mit einer angreifergesteuerten Infrastruktur.
Das Vorgehen beginnt auf der Ebene der Web-Downloads: Die Kampagne verwendet hochauflösende Kopien legitimer Anbieter-Webseiten und setzt auf eine prominente Download-Call-to-Action. Microsoft beschreibt dafür konkret eine Infrastruktur, die auf.com.cn- und.hl.cn-Domains basiert und chinesischsprachige Lure-Elemente nutzt, um den Download eines ZIP-Archivs aus einem angegebenen Ziel zu triggern. Bei genauerer Betrachtung soll der heruntergeladene Archivinhalt zwar denselben Dateinamen behalten, sich aber bei jedem Download-Request per Hash unterscheiden. Diese serverseitige „on-the-fly“-Generierung deutet darauf hin, dass die Täter Erkennung über statische Fingerprints vermeiden wollen, statt nur auf einfache Dateiexporte zu setzen.
Im nächsten Schritt landen Opfer typischerweise in einer Wrapper-Installer-Kette, die erst das eigentliche Schadprogramm anstößt. Microsoft nennt als Beispiele ausführbare Wrapper-Namen wie a_instapp83353001.exe oder ainast8663586104.exe, die nach Ausführung die erste Payload-Stufe starten. Daneben beobachtete der Windows-Hersteller noch einen zweiten Ausführungsweg, der das vertrauenswürdige Windows-Installer-Subsystem (msiexec.exe) nutzt, um eine zufällig benannte ausführbare Datei nach dem gleichen Maskierungsmuster nachzuladen. In beiden Varianten geht es darum, dass sich der Startpfad weniger verdächtig anfühlt und zugleich die spätere Folgelast einfacher mit Systemrechten ausführt, ohne dass typische „Sofort-malware“-Signaturen greifen.
Für die Verteidigungsklasse Security Evasion sind vor allem die Maßnahmen gegen Microsoft Defender und Windows Update relevant. Laut Microsoft erfolgt die Persistenz über geplante Tasks, die wie reguläre IT- oder Produktivitätsjobs wirken. Zusätzlich erzeugt die Malware eine kurzfristige Scheduled Task, die als SYSTEM läuft und über PowerShell Microsoft-Defender-Ausnahmen konfiguriert. Dazu kommt, dass Volume Shadow Copies gelöscht werden, um spätere Wiederherstellungen und Forensik-Bausteine zu erschweren. Noch deutlicher wird die Handarbeit bei den Berechtigungen: Die Angreifer passen DACLs per icacls so an, dass Payload-Verzeichnisse für Standardnutzer nicht entfernt werden können. Parallel wird Windows Update sabotiert, indem wuauserv, UsoSvc, uhssvc und WaaSMedicSvc gestoppt und deaktiviert werden; außerdem werden Update-DLLs umbenannt und der SoftwareDistribution-Cache entfernt.
Wenn diese vorbereitenden Schritte erledigt sind, baut die Schadsoftware eine Command-and-Control-Kommunikation über Application-Layer-Protokolle auf und nutzt dabei mehrere nicht standardmäßige Ports. Genannt werden unter anderem 5090, 7031, 7032, 7088–7090, 8050 sowie 28290 und 28300. Als zugehörige C2-Domains führt Microsoft u.a. iualef.net und oijfwe.net an. Für die Einordnung nennt Microsoft außerdem eine moderate Einschätzung zur Zuordnung: Die Aktivität entspreche einem chinesischen Threat-Cluster namens „Silver Fox“ (auch Yinhu), das bereits durch das Spoofing von Vendor-Downloadseiten auffällig wurde. In der Vergangenheit seien dabei Gh0st RAT und ValleyRAT (auch WinOS 4.0) über ähnliche Wege verteilt worden.
Der Kampagnenkontext wird zusätzlich dadurch untermauert, dass die Veröffentlichung nur wenige Tage nach einer anderen Beschreibung erfolgte: Ein anderer Sicherheitsanbieter habe einen bösartigen Installer dokumentiert, der eine modifizierte Desktop-Wallpaper-Verwaltungssoftware namens QN Wallpaper ausnutzt, um über einen DLL-sideloading-Chain ValleyRAT nachzuladen. QN Wallpaper sei in der Originalform als Adware eingestuft worden und liefere beim Installieren gebündelte Partner-Apps sowie Werbebanner aus; in diesem Missbrauchsszenario werde die legitime Komponente jedoch als Türöffner für das Laden eines schädlichen DLL-Codes verwendet, sodass sich der Prozess unter dem Deckmantel eines signierten Ablaufs tarnt. Die Implantatelemente sollen zudem weitere Spurenarbeit erschweren, indem sie ihren eigenen Prozess schützen, Terminierungsversuche abfangen und dauerhaft Systemdaten einsammeln – einschließlich Tastenanschlägen und Clipboard-Inhalten.
ValleyRAT wird dabei als vielseitiges Implantat beschrieben: Es soll Systeminformationen sammeln, den Rechner neu starten oder herunterfahren, Screenshots anfertigen, Logs wischen, C2-Adressen aktualisieren, zusätzliche DLL- oder Shellcode-Module nachladen und Keylogger-Daten zusammen mit Zwischenablageinhalten übertragen. Für Unternehmen wird daran deutlich, dass es nicht nur um einmaliges Ausführen geht, sondern um eine langfristige Kontrolle, die sowohl Spionage als auch operative Anpassungen im Betrieb umfasst. In einem weiteren Kontext wird ValleyRAT auch einem Unterzweig innerhalb eines übergreifenden Akteursprofils zugeordnet, wobei laut Angaben eines Sicherheitsanbieters eine Gruppe namens CuboidalCanine sich vom Gh0st-RAT-Teil abgewandt und den Gambling-Sektor adressiert haben soll; zudem seien Watering-Hole-Ansätze und das Ausnutzen von Code-Signing-Zertifikaten zur Umgehung von Kontrollen erwähnt worden. Security Researcher Aaron Walton sagte: „Due to the source code being public, attribution of this malware to any actor relies on factors other than the malware family itself.“ Gleichzeitig ist der eigentliche Zweck der aktuellen Kampagne noch unklar; Microsoft verweist darauf, dass Defender automatische Eindämmung über Attack Disruption eingeleitet habe, um die Auswirkungen zu begrenzen.
Für die IT-Security-Praxis ergibt sich daraus ein klares Muster, das über einzelne Malware-Familien hinausgeht: Gefälschte Installer ersetzen nicht nur einen Dateinamen, sondern zielen systematisch auf die Kontrollschichten ab, die üblicherweise Patching und Incident Response ermöglichen. Wer Updates verhindert (wuauserv & Co.), Defender-Ausnahmen setzt und zusätzlich Schattenkopien löscht, verkürzt die Zeitfenster für Erkennung und Wiederherstellung. Gleichzeitig zeigt die dynamische Generierung der Payload bei jedem Download, wie wichtig neben statischen Hashes auch Verhaltenstelemetrie, Prozessketten-Analyse und eine saubere Absicherung des Software-Downloadprozesses sind. Für Organisationen bedeutet das konkret, dass sie Downloadpfade, Installer-Workflows und geplante Tasks als Sicherheitsereignisse behandeln müssen, statt sie als normale Systemroutine zu übersehen; denn genau diese Normalität nutzen die Täter als Tarnung.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Fake-Installer kapern Windows-Updates und schwächen Microsoft Defender" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Fake-Installer kapern Windows-Updates und schwächen Microsoft Defender" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Fake-Installer kapern Windows-Updates und schwächen Microsoft Defender« bei Google Deutschland suchen, bei Bing oder Google News!