SINGAPUR / LONDON (IT BOLTWISE) – Eine in Alibaba Cloud geparkte Infrastruktur in Singapur diente offenbar als Startpunkt einer China-nexus Kampagne, die u. a. Regierung, Gesundheitswesen und Bildung angegriffen hat. Im Zentrum steht der bislang unbekannte Windows-Loader „TriBack Loader“, der über DLL-Sideloading und verschlüsselte Payload-Dateien arbeitet. Laut den Auswertungen wechselten die Angriffs-Varianten wiederholt die Signatur-Binaries und sogar die letzte Ausführungsroutine, während eine kryptografische XOR-Logik gleich blieb. Für Security-Teams liegt der Hebel besonders in der Erkennung ungewöhnlicher Signatur-Hosts in schreibbaren Nutzerpfaden sowie in der Prüfung auf verdächtige verschachtelte Ordner und Startup-Persistenz.
In einem öffentlich nachverfolgbaren Muster zeigt sich, wie viel Aufwand Angreifer in der „letzten Meile“ der Ausführung sparen können: Die von den Forschern beschriebene JadeProx-Operation nutzte den bislang undokumentierten Windows-Loader TriBack Loader, um nach dem anfänglichen Zugriff schnell in post-exploitative Phasen zu wechseln. Entscheidend ist dabei weniger die reine Existenz des Loaders, sondern die Art, wie die Ausführungslogik in vier Infektionsketten variiert wurde. Der TriBack-Loader taucht demnach in Builds auf, die jeweils ein legitimes, signiertes Host-Programm mit einer bösartigen DLL kombinieren und die eigentliche Nutzlast in einer verschlüsselten.dat- oder.log-Datei ablegen. Damit wird ein klassischer Verteidigungshebel wirksam ausgehebelt: Viele Telemetrie- und EDR-Regeln sind zwar auf bekannten Malware-Signaturen trainiert, aber weniger streng bei komplexen „benigne wirkenden“ Dateiabläufen, solange der eigentliche Ausführungspfad nicht sauber korreliert wird.
Technisch lässt sich TriBack Loader als hochgradig „builder-getrieben“ einordnen. Die DLL reversiert die Bytes der Payload, XOR-verschlüsselt sie mit einem rollierenden Schlüssel und startet anschließend Shellcode über Win32-Mechanismen. Genau hier liegt die Praxisrelevanz: Wenn ein Loader Shellcode über API-Sequenzen ausführt, die EDRs weniger häufig priorisieren, sinken die Chancen auf eine sofortige Detektion, selbst wenn andere Artefakte wie Dateinamen oder Ordnerstruktur Auffälligkeiten liefern. Die Auswertungen nennen zudem, dass die Entwickler die finale Ausführungsroute pro Build wechselten: In zwei Varianten wird die Ausführung über InitOnceExecuteOnce oder TimerQueue-Callbacks getriggert, in einer weiteren Variante über eine nicht dokumentierte Thread-Creation-Routine aus ntdll (EtwpCreateEtwThread). Zusätzlich änderten sich die Signatur-Hosts zwischen den Varianten, während die wiederkehrende API-Choreografie auf eine gemeinsame Loader-Engine bzw. einen wiederverwendeten Builder hindeutet.
Für die Angriffskette ist diese Modularität besonders sichtbar, weil zwei der vier Varianten direkt auf AdaptixC2 verweisen, ein quelloffenes Framework für Post-Exploitation. Eine weitere Build-Variante ordnet die Analyse einem Claude-themed Set an, bei dem DonutLoader genutzt wurde, um Beagle auszuführen. Beagle ist kein völlig unbekanntes Backdoor-Design; entscheidend ist hier die Kombination: Der Einstieg läuft nicht über eine einheitliche „End-to-End“-Malware, sondern über eine Kette aus Loader-Logik, verschlüsselter Payload und dann erst einem etablierten C2- bzw. Backdoor-Framework. Damit erhöht sich für Verteidiger die Komplexität bei der Zuordnung, weil die Werkzeuge allein nicht automatisch auf die selben Akteure schließen lassen. Gleichzeitig wird die Persistenz nachvollziehbar, wenn eine Spear-Phishing-Kampagne über einen MSI-Installer nach einem UAC-Prompt eine Sideloading-Kette in den Windows-Startup-Ordner überführt und damit den nächsten Start des Systems für die weitere Ausführung plant.
Auch die inhaltliche Maske der Kampagnen spielt eine Rolle, weil sie den Weg zum initialen Zugriff in unterschiedliche Zielumfelder öffnet. Ein Spear-Phishing-Archiv verwendete als Decoy ein scheinbares Kontoauszug-Template eines Getränkelieferanten, ein anderes Set gab sich als Claude-Software aus, die angeblich von einer Domain wie „claude-pro[.]com“ heruntergeladen werden könne. Laut den beschriebenen Umständen ist davon auszugehen, dass zumindest ein Teil der Infrastruktur nicht nur „intern“ gegen Ministerien oder Krankenhäuser zielte, sondern auch gegen User, die öffentlich nach einem KI-Tool suchen. Für die Detektion ist genau diese Überlappung mit legitimen Nutzerintentionen relevant: Wenn eine gefälschte Download-Quelle die Einstiegshürde senkt, können Angreifer die Exposition breiter skalieren, während die eigentliche Besonderheit (TriBack-Loader und Sideloading) im weiteren Verlauf greift. Die Untersuchungen zeigen zudem eine aggressive Scan-Phase in Hongkong: Die Operatoren setzten Nuclei mit Critical-Severity-Templates gegen eine Liste von 14.653 URLs ein und identifizierten dabei 13 spezifische Schwachstellen. Das allein sagt noch nichts über erfolgreiche Folgeausnutzung aus, liefert aber ein klares Bild für das „Recon-to-Exploit“-Vorgehen, bei dem das Finden wahrscheinlicher Schwachstellen priorisiert wird.
Ein weiterer Schwerpunkt liegt auf der Auswahl der verwundbaren Komponenten. In der Auswertung werden vier konkrete CVEs genannt, die gegen einzelne Hosts versucht wurden und deren Existenz sich anhand öffentlicher Datenbanken nachvollziehen lässt: CVE-2018-11511 in ASUSTOR ADM, CVE-2021-24139 im 10Web Photo Gallery WordPress-Plugin, CVE-2021-31755 in Tenda AC11 Routern sowie CVE-2021-32305 in WebSVN. Auffällig ist dabei weniger die Breite als die Konsequenz: Alle vier tragen einen CVSS Base Score von 9,8. Besonders beim Tenda-Befund ist der Zeitdruck historisch verankert, weil diese Schwachstelle seit 2021 als bekannt ausnutzbar in einer US-Programmliste geführt wurde und eine behördliche Frist zur Behebung bereits abgelaufen ist. Für Security-Teams bedeutet das: Selbst wenn der Loader technisch neu wirkt, ist der „Angriffsaufhänger“ häufig altbekannt – und damit ist die Verbesserung der Patch- und Expositionshygiene ein direkter Bestandteil der Risikoreduktion, nicht nur eine generische Empfehlung.
Aus Sicht der Verteidigung beginnt die Alarmierung daher nicht beim Loader selbst, sondern bei der Datei- und Pfadlogik. Die beschriebenen Indikatoren drehen sich um signierte Vendor-Binaries, die aus nutzerbeschreibbaren, temporären oder Startup-Verzeichnissen heraus gestartet werden. Sobald eine verschlüsselte.dat- oder.log-Datei im gleichen Ordner auftaucht, steigt die Wahrscheinlichkeit, dass es sich um eine Sideloading-Kette handelt. Ebenso fallen unerwartete Kopien typischer Runtime-Module wie hostfxr.dll, avk.dll oder MpClient.dll auf, die zusätzlich mit verschachtelten Ordnerstrukturen wie _CL_######-Varianten und Artefakten im Stil von ~del.vbs.bat korrelieren können. Daneben rücken Domain-Blocklisten in den Fokus, weil die Infrastrukturlisten mehrere aktive Marker nennen, darunter claude-pro[.]com und license[.]claude-pro[.]com sowie weitere Lookalike-Domains, die sich in Sicherheitskampagnen regelmäßig als „Update-“ oder „Advisory“-Träger tarnen. Die Stage-Server-Details aus der Analyse umfassen dabei auch einen explizit genannten Zielport (8000) und eine konkrete IP in einem öffentlichen Netzsegment, wodurch sich die Umsetzung in SIEM- und IDS-Regeln relativ klar verdichten lässt.
Schließlich bleibt die wichtigste organisatorische Konsequenz: Die Forscher führen aus, dass Werkzeuggleichheit nicht automatisch Akteursgleichheit bedeutet, weil im China-nexus Ökosystem Tooling und Komponenten offenbar flexibel weitergereicht werden. Für Unternehmen heißt das, dass Zuordnung und Incident-Triage stärker datengetrieben arbeiten müssen – also mit Korrelationen aus Pfaden, Ausführungsmustern, Dateistrukturen und Netzwerkindikatoren – statt sich auf „eine“ Malware-Komponente zu versteifen. Gleichzeitig ist die technische Botschaft relativ stabil: Wenn ein Loader seine Ausführung über Sideloading, Byte-Umkehrung, XOR-Entschlüsselung und dann Thread-Erzeugung in einer Art orchestriert, die EDRs in der Praxis weniger streng überwachen, verschieben sich die Detektionschancen hin zu der Umgebung, in der dieser Code abgelegt und gestartet wird. Genau dort sollten Sensibilisierung, Patch-Exposition und Telemetrie-Korrelation eng verzahnt werden, bevor aus einem gefundenen 9,8er CVE eine erfolgreiche Kette mit C2-Übergang wird.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "JadeProx setzt TriBack Loader per DLL-Sideloading ein: neue Angriffswege" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "JadeProx setzt TriBack Loader per DLL-Sideloading ein: neue Angriffswege" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »JadeProx setzt TriBack Loader per DLL-Sideloading ein: neue Angriffswege« bei Google Deutschland suchen, bei Bing oder Google News!