BERLIN / LONDON (IT BOLTWISE) – Sicherheitsforscher warnen vor einer neuen Phishing-Welle, bei der Angreifer Steganographie in PNG-Bildern nutzen, um den .NET-Loader PawsRunner und anschließend den Infostealer PureLogs auszurollen. Auffällig ist die Kette aus ungewöhnlichem TXZ/XZ-Tar-Handling, verschlüsseltem JavaScript und einem Loader-Kommunikationsmuster, das den Abruf von Bildern wie normalen Web-Traffic tarnt. Für Unternehmen wird damit erneut deutlich: Erkennungs- und Abwehrstrategien müssen sich stärker auf „Datei-in-Datei“-Logik, Prozessverhalten und Metadatenanalyse stützen.
Eine neue Phishing-Kampagne zeigt, wie flexibel Angreifer inzwischen Netzwerk- und Dateistrukturen ausnutzen, um Erkennung zu umgehen. Im Kern steht der Loader PawsRunner, der aus scheinbar harmlosen Bilddateien Code nachlädt und danach den Infostealer PureLogs startet. Auffällig ist dabei weniger die reine Ausnutzung von Schadsoftware-Ketten, sondern die Tarnlogik: Die Kommunikation und die eigentlichen Payloads sind so verpackt, dass Standard-Workflows in E-Mail-Gateways, Proxy-Analysen und Teile der Endpoint-Erkennung zunächst „normal“ wirken. Für die Verteidigung verschiebt sich der Schwerpunkt damit hin zu Metadaten, Prozesssequenzen und Dateiinhalten, die erst nach dem Entpacken sichtbar werden.
Technisch beginnt der Angriff mit einer täuschend echten Rechnungs-E-Mail, die statt gängiger Anhänge wie ZIP oder RAR ein TXZ-Archiv bereitstellt. Dahinter steckt ein mit XZ komprimiertes TAR-Format, das viele Scanner zwar als Archiv erkennen, aber nicht immer in gleicher Tiefe prüfen. Nach dem Entpacken findet das Opfer eine stark verschlüsselte JavaScript-Komponente, deren Codeabschnitt durch irreführende Kommentare und mehrsprachige Umleitungen die Analyse erschwert. Entscheidend ist, dass das Skript den eigentlichen Schadcode nicht unmittelbar ausliefert. Stattdessen werden verschleierte Schritte über Umgebungsvariablen und danach eine weitere Entschlüsselungs- und Ausführungsphase angestoßen, die gezielt Speicher statt Festplatte in den Vordergrund rückt.
Im nächsten Schritt kommt die Loader-Logik ins Spiel: PawsRunner ist als .NET-Anwendung umgesetzt und bringt eine ungewöhnliche Designentscheidung mit—die Samples tragen „Katzen-Icons“. Solche Details wirken auf den ersten Blick wie ein interner Stil, sind in der Praxis jedoch Teil eines wiedererkennbaren Baukastens, der bei Kampagnen häufig zur Zuordnung genutzt wird. Funktional übernimmt der Loader vor allem das Nachladen und Entschlüsseln von Konfigurationsdaten, darunter eine rotierende Liste von Command-and-Control-Servern (C2). Damit steigt die Robustheit der Kampagne: Wenn ein Endpunkt geblockt wird, wechselt der Loader. Für Defender ist das ein Hinweis darauf, dass statische Sperrlisten allein nicht reichen und dynamische, verhaltensbasierte Signale entscheidend werden.
Das eigentliche Tarnprinzip betrifft die Kommunikationsweise. Statt direkt ausführbare Dateien vom C2 herunterzuladen, fordert der Loader PNG-Bilddateien an. Dadurch sehen viele Überwachungssysteme den Traffic zunächst als üblichen Abruf von Bildern aus Webseiten, nicht als klassische Malware-Download-Operation. Diese Technik ähnelt einem „Content-Blend“, wie man ihn aus legitimen CDNs kennt, nur eben mit manipulierter Nutzlast. Zudem testet der Loader verschiedene Netzwerk-APIs, etwa HttpClient und WebRequest, um die Wahrscheinlichkeit zu erhöhen, dass zumindest eine Kommunikationsvariante durch Policy- und Proxy-Regeln kommt. In der Defensive sollten Organisationen deshalb nicht nur Dateitypen, sondern auch Antwortmuster, Request-Frequenzen und Folgeprozesse im Zeitverlauf korrelieren.
Die eigentliche Gefahr steckt dann in den Bildern: PawsRunner durchsucht PNG-Dateien nach bestimmten Markern in Metadaten-Blöcken, insbesondere in Bereichen, die typischerweise als Text-/Chunk-Strukturen auftreten. Dort verbergen Angreifer verschlüsselte Payloads, die nach der Extraktion mit einem kryptografischen Verfahren (im beschriebenen Fall RC4) entschlüsselt werden. Was für die Nutzer als Katzenfoto erscheint, wird so zur Trägerdatei für die nächste Angriffsstufe. Für Sicherheitsarchitekturen bedeutet das: Signaturen und reine Dateireputation sind weniger aussagekräftig, wenn die „bösen“ Daten erst beim Parsing und Entschlüsseln sichtbar werden. Stattdessen gewinnen fortgeschrittene Bildanalyse, DLP-ähnliche Content-Checks und EDR-Regeln an Bedeutung, die ungewöhnliche Metadatenverarbeitung und nachfolgende .NET-Lade-/Reflexionsmuster erkennen.
Die letzte Stufe, PureLogs, ist als 64-Bit-Infostealer in C# beschrieben und gehört zur „Pure“-Familie, die seit Jahren im Untergrundumfeld aktiv ist. Besonders relevant für Unternehmen ist das Profil des Datensammelns: Der Stealer fokussiert Browserdaten wie Cookies, AutoFill-Informationen und gespeicherte Zugangsdaten in Chrome-/Chromium- und Gecko-basierten Browsern. Zusätzlich werden Daten aus Kryptowallet-Ökosystemen, bestimmte Desktop-Apps und Anwendungsdatenströme verarbeitet; genannt werden etwa Telegram-nahe Inhalte und Zugriffe, die mit FTP-Tools wie FileZilla verknüpft sind. Ergänzend kommen Überwachungsfunktionen wie Screenshots und Keylogging hinzu—also ein Mix, der sowohl Kontenübernahmen als auch spätere Monetarisierung ermöglicht. Wie Sicherheitsanalysten in jüngsten Interviews betonen, wird PureLogs vor allem deshalb gefährlich, weil die Exfiltration in der Praxis „nahtlos“ nach der Initialinfektion startet und sich damit dem klassischen Single-Alert-Ansatz entzieht.
Beim Transport der gestohlenen Daten wird laut Beschreibung dreifach DES (3DES) eingesetzt, um die Daten vor einfachen Inhaltsinspektionen zu schützen. Optional kann der Malware-Komponente sogar ein Tor-Browser nachladen, um die Kommunikationswege stärker zu verschleiern. Gerade hier zeigt sich der Markttrend: Stealer-Malware wird zunehmend als Service angeboten, was die Einstiegshürde senkt und die Verbreitung beschleunigt. Dadurch können auch Teams mit weniger Erfahrung professionell wirkende Toolchains mieten und anpassen. Im Vergleich zur breiten Welle der Ransomware ist das nicht nur ein „Angreifer-Workflow“-Wechsel, sondern auch ein Ressourcen- und Skill-Shift: Phishing bleibt der Hebel, aber die monetäre Wirkung entsteht schneller über Identitätsdiebstahl und Session-Abgriff statt über Verschlüsselung und Erpressung.
Historisch ist Steganographie zwar kein neues Konzept—bereits seit Jahren wird sie in unterschiedlichen Kontexten diskutiert, von Forschung bis zu Sicherheitsangriffen. Neu ist jedoch die Breite: Was früher eher Spezialfällen vorbehalten war, wird nun über Loader-Frameworks und käufliche Komponenten in den Alltag krimineller Kampagnen übernommen. In der Defensive sollten Unternehmen das in ihre Risikoanalyse einbeziehen: E-Mail-Sicherheit muss auch seltene Archivformate (wie TXZ/XZ-Kombinationen) berücksichtigen, und der Schutz sollte besonders auf verdächtige PowerShell-Aktivitäten achten, etwa wenn Befehle wie Invoke-Expression in ungewöhnlichen Prozessketten auftauchen oder Umgebungsvariablen manipuliert werden. Wettbewerber in der Sicherheitsindustrie setzen zudem stärker auf verhaltensbasierte Erkennung: Branchen-EDR-Anbieter bewerten dafür zunehmend .NET-Reflection-Ladeereignisse und In-Memory-Ausführung als Trigger.
Für die Umsetzung im Unternehmen folgt daraus ein mehrschichtiger Ansatz. Praktisch heißt das: Mail-Gateways sollten nicht nur auf Dateiendungen reagieren, sondern auch auf Entpack-/Scan-Tiefe und auf die anschließende Prozesskommunikation. Endpoint-Schutz muss erkennen, wenn aus scheinbar „statischen“ Dateiformaten dynamische, verschlüsselte Inhalte extrahiert und entschlüsselt werden. Gleichzeitig sollten zentrale Logs aus Proxy, DNS, Web-Requests und EDR auf Korrelationsebene zusammenlaufen, um das Muster „PNG-Abruf → Entschlüsselung → Loader-Start → Exfiltration“ als Kette sichtbar zu machen. Aus Regulatory-/Privacy-Sicht ist das besonders wichtig: Beim Diebstahl von Browserdaten, Zugangsdaten und ggf. weiteren personenbezogenen Informationen greifen regelmäßig Pflichten nach DSGVO, etwa zur Protokollierung, Risikoanalyse und fristgerechten Meldung im Falle eines Datenvorfalls. Wer die Erkennungs- und Reaktionszeiten senkt, reduziert nicht nur Schadwirkung, sondern auch Compliance-Risiken.
Der Ausblick ist klar: Solche Kampagnen werden vermutlich weiter „normalisiert“, indem Angreifer weitere Content-Typen als Container nutzen und die Kommunikationswege an organisatorische Gegebenheiten anpassen. Für Entwickler und Security-Teams bedeutet das eine stärkere Relevanz von Supply-Chain-artigen Prüfungen innerhalb des Endpoint-Lebenszyklus—also das konsequente Validieren, was nach dem Entpacken wirklich passiert. In den nächsten Monaten dürfte außerdem die Konkurrenzsituation härter werden: Sicherheitsanbieter werden ihre Erkennungsregeln entlang von Loader-Verhalten verfeinern, während Angreifer versuchen, diese Signale mit weiteren API-Varianten und dynamischer C2-Auswahl auszuhebeln. Unternehmen, die jetzt Metadatenanalyse, EDR-Korrelation und Incident-Playbooks auf solche „Datei-in-Bild“-Ketten ausrichten, verbessern ihre Resilienz messbar und verkürzen die Zeit bis zur Containment-Maßnahme.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "PawsRunner-Loader nutzt Steganographie in PNGs für PureLogs-Infostealer" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "PawsRunner-Loader nutzt Steganographie in PNGs für PureLogs-Infostealer" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »PawsRunner-Loader nutzt Steganographie in PNGs für PureLogs-Infostealer« bei Google Deutschland suchen, bei Bing oder Google News!