GIFTEDCROOK: Vom Browser-Dieb zum Spionage-Tool

KIEW / LONDON (IT BOLTWISE) – Die Bedrohung durch die GIFTEDCROOK-Malware hat sich in den letzten Monaten erheblich weiterentwickelt. Ursprünglich als einfacher Browser-Daten-Dieb konzipiert, hat sich das Programm zu einem mächtigen Werkzeug für die Informationsbeschaffung gewandelt.

Die GIFTEDCROOK-Malware hat eine bemerkenswerte Transformation durchlaufen. Ursprünglich als einfacher Browser-Daten-Dieb bekannt, hat sich das Programm zu einem umfassenden Werkzeug für die Informationsbeschaffung entwickelt. Diese Entwicklung wurde in jüngsten Kampagnen im Juni 2025 deutlich, bei denen die Malware in der Lage war, eine breite Palette sensibler Dokumente von den Geräten der Zielpersonen zu exfiltrieren. Dazu gehören potenziell proprietäre Dateien und Browser-Geheimnisse, wie Arctic Wolf Labs in einem kürzlich veröffentlichten Bericht feststellte.

Die Malware wurde erstmals im April 2025 von der Computer Emergency Response Team der Ukraine (CERT-UA) dokumentiert. Sie wurde in Verbindung mit einer Kampagne entdeckt, die sich gegen militärische Einrichtungen, Strafverfolgungsbehörden und lokale Selbstverwaltungsorgane richtete. Die Aktivitäten werden einer Hackergruppe zugeschrieben, die als UAC-0226 bekannt ist. Diese Gruppe nutzt Phishing-E-Mails mit Makro-verseuchten Microsoft Excel-Dokumenten, um GIFTEDCROOK zu verbreiten.

Im Kern ist die Malware ein Informationsdieb, der darauf ausgelegt ist, Cookies, Browserverläufe und Authentifizierungsdaten von beliebten Webbrowsern wie Google Chrome, Microsoft Edge und Mozilla Firefox zu stehlen. Die Analyse von Arctic Wolf hat gezeigt, dass der Dieb als Demo im Februar 2025 begann und mit den Versionen 1.2 und 1.3 neue Funktionen erhielt. Diese neuen Iterationen umfassen die Fähigkeit, Dokumente und Dateien unter 7 MB zu sammeln, wobei speziell nach Dateien gesucht wird, die in den letzten 45 Tagen erstellt oder geändert wurden.

Die Phishing-Kampagnen nutzen militärisch thematisierte PDF-Köder, um Benutzer dazu zu verleiten, auf einen Mega-Cloud-Speicherlink zu klicken, der eine Makro-aktivierte Excel-Arbeitsmappe hostet. Wenn der Empfänger Makros aktiviert, wird GIFTEDCROOK heruntergeladen. Viele Benutzer sind sich nicht bewusst, wie häufig Makro-aktivierte Excel-Dateien in Phishing-Angriffen verwendet werden. Sie umgehen oft Verteidigungsmechanismen, da Menschen häufig Tabellenkalkulationen in Arbeits-E-Mails erwarten, insbesondere solche, die offiziell oder regierungsbezogen aussehen.

Die erfassten Informationen werden in ein ZIP-Archiv gebündelt und an einen von Angreifern kontrollierten Telegram-Kanal exfiltriert. Wenn die Gesamtgröße des Archivs 20 MB überschreitet, wird es in mehrere Teile aufgeteilt. Durch das Senden gestohlener ZIP-Archive in kleinen Stücken vermeidet GIFTEDCROOK die Erkennung und umgeht traditionelle Netzwerkfilter. Im letzten Stadium wird ein Batch-Skript ausgeführt, um Spuren des Diebs vom kompromittierten Host zu löschen.

Diese Entwicklung zeigt, dass es bei der Malware nicht nur um das Stehlen von Passwörtern oder das Verfolgen von Online-Verhalten geht, sondern um gezielte Cyber-Spionage. Die neue Fähigkeit der Malware, aktuelle Dateien zu durchsuchen und Dokumente wie PDFs, Tabellenkalkulationen und sogar VPN-Konfigurationen zu erfassen, weist auf ein größeres Ziel hin: das Sammeln von Informationen. Für alle, die im öffentlichen Sektor arbeiten oder mit sensiblen internen Berichten umgehen, stellt dieser Dokumentendieb ein echtes Risiko dar – nicht nur für die Einzelperson, sondern für das gesamte Netzwerk, mit dem sie verbunden sind.

Der Zeitpunkt der in diesem Bericht diskutierten Kampagnen zeigt eine klare Ausrichtung auf geopolitische Ereignisse, insbesondere die jüngsten Verhandlungen zwischen der Ukraine und Russland in Istanbul. Die Entwicklung von einfachen Anmeldeinformationsdiebstählen in GIFTEDCROOK Version 1 zu umfassender Dokumenten- und Datenexfiltration in den Versionen 1.2 und 1.3 spiegelt koordinierte Entwicklungsbemühungen wider, bei denen die Fähigkeiten der Malware den geopolitischen Zielen folgten, um die Datenerfassung von kompromittierten Systemen in der Ukraine zu verbessern.

Unseren KI-Morning-Newsletter «Der KI News Espresso» mit den besten KI-News des letzten Tages gratis per eMail - ohne Werbung: Hier kostenlos eintragen!