TORONTO / LONDON (IT BOLTWISE) – Eine neue Malware-Kampagne, die die ClickFix-Technik nutzt, wurde von Cybersicherheitsexperten entdeckt. Diese Kampagne verbreitet den Amatera Stealer und NetSupport RAT, um sensible Daten zu stehlen. Die Bedrohung wird von eSentire unter dem Namen EVALUSION verfolgt und zeigt, wie ausgeklügelt die Methoden der Angreifer geworden sind.
Cybersicherheitsexperten haben eine neue Malware-Kampagne entdeckt, die die ClickFix-Technik nutzt, um den Amatera Stealer und NetSupport RAT zu verbreiten. Diese Kampagne, die von eSentire unter dem Namen EVALUSION verfolgt wird, zeigt, wie ausgeklügelt die Methoden der Angreifer geworden sind. Amatera, erstmals im Juni 2025 entdeckt, wird als Weiterentwicklung des ACR Stealers angesehen, der bis Mitte Juli 2024 als Malware-as-a-Service (MaaS) verfügbar war.
Amatera bietet Angreifern umfangreiche Möglichkeiten zur Datenausbeutung, indem es auf Krypto-Wallets, Browser, Messaging-Anwendungen, FTP-Clients und E-Mail-Dienste abzielt. Besonders bemerkenswert sind die fortschrittlichen Umgehungstechniken, die Amatera einsetzt, um Benutzermodus-Hooking-Mechanismen zu umgehen, die häufig von Sandboxes, Antivirenlösungen und EDR-Produkten verwendet werden.
Typischerweise werden Benutzer bei ClickFix-Angriffen dazu verleitet, bösartige Befehle über das Windows-Ausführungsdialogfeld auszuführen, um eine reCAPTCHA-Verifizierung auf gefälschten Phishing-Seiten abzuschließen. Der Befehl initiiert einen mehrstufigen Prozess, der die Verwendung der “mshta.exe”-Binärdatei beinhaltet, um ein PowerShell-Skript zu starten, das für das Herunterladen eines .NET-Downloaders von MediaFire verantwortlich ist.
Der Payload ist die Amatera Stealer DLL, die mit PureCrypter gepackt ist, einem C#-basierten multifunktionalen Crypter und Loader, der ebenfalls als MaaS-Angebot von einem Bedrohungsakteur namens PureCoder beworben wird. Die DLL wird in den “MSBuild.exe”-Prozess injiziert, woraufhin der Stealer sensible Daten erntet und einen externen Server kontaktiert, um einen PowerShell-Befehl auszuführen, der NetSupport RAT herunterlädt und ausführt.
Besonders bemerkenswert ist die Überprüfung im PowerShell-Skript von Amatera, ob der Zielrechner Teil einer Domäne ist oder Dateien von potenziellem Wert, wie z.B. Krypto-Wallets, enthält. Wenn keines von beiden gefunden wird, wird NetSupport nicht heruntergeladen. Diese Entwicklung fällt mit der Entdeckung mehrerer Phishing-Kampagnen zusammen, die eine Vielzahl von Malware-Familien verbreiten.
Diese Kampagnen umfassen E-Mails mit Visual Basic Script-Anhängen, die als Rechnungen getarnt sind, um XWorm durch ein Batch-Skript zu liefern, das einen PowerShell-Loader aufruft. Kompromittierte Websites, die mit bösartigem JavaScript injiziert sind, leiten Besucher auf gefälschte ClickFix-Seiten um, die Cloudflare Turnstile-Überprüfungen nachahmen, um NetSupport RAT zu liefern.
Darüber hinaus werden gefälschte Booking.com-Seiten verwendet, um gefälschte CAPTCHA-Überprüfungen anzuzeigen, die ClickFix-Köder verwenden, um einen bösartigen PowerShell-Befehl auszuführen, der einen Credential Stealer ablegt, wenn er über das Windows-Ausführungsdialogfeld ausgeführt wird. E-Mails, die interne “E-Mail-Zustellungs”-Benachrichtigungen vortäuschen, behaupten fälschlicherweise, wichtige Nachrichten blockiert zu haben, um Empfänger dazu zu verleiten, auf einen Link zu klicken, der Anmeldedaten unter dem Vorwand abgreift, die Nachrichten in den Posteingang zu verschieben.
Phishing-Kits namens Cephas und Tycoon 2FA werden verwendet, um Benutzer zu bösartigen Anmeldeseiten für Credential-Diebstahl zu führen. Cephas ist besonders bemerkenswert, da es eine unverwechselbare und ungewöhnliche Verschleierungstechnik implementiert, die seinen Code durch die Erstellung zufälliger unsichtbarer Zeichen innerhalb des Quellcodes verschleiert, um Anti-Phishing-Scanner zu umgehen und signaturbasierte YARA-Regeln daran zu hindern, die genauen Phishing-Methoden zu erkennen.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Neue Malware-Kampagne nutzt ClickFix-Technik zur Verbreitung von Amatera Stealer und NetSupport RAT" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Neue Malware-Kampagne nutzt ClickFix-Technik zur Verbreitung von Amatera Stealer und NetSupport RAT" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Neue Malware-Kampagne nutzt ClickFix-Technik zur Verbreitung von Amatera Stealer und NetSupport RAT« bei Google Deutschland suchen, bei Bing oder Google News!