LONDON (IT BOLTWISE) – Sicherheitsforscher warnen vor einer neuen Phishing-Welle, die Hotels gezielt mit gefälschten Stornierungsmails angreift und dabei den DCRat-Trojaner per PowerShell ausrollt. In den Kampagnen werden Defender-Funktionen umgangen und Windows-Komponenten wie MSBuild.exe zur Tarnung missbraucht. Zusätzlich simulieren Täter Systemfehler auf gefälschten Webseiten, um Mitarbeiter zum Ausführen schädlicher Befehle zu bringen. Laut Branchenbeobachtern eskaliert das Risiko, weil gerade in der Sommersaison die Zahl manipulierter Urlaubs- und Reisedomains deutlich zunimmt.
In der Hotellerie schlägt derzeit ein Muster besonders hoch: Angreifer nutzen klassische E-Mail-Nachrichten, um menschliche Routineprozesse auszubremsen und anschließend Fernzugriffstrojaner in Unternehmensnetze zu schleusen. Unter dem Namen PHALT#BLYX werden Kampagnen beschrieben, die sich auf gefälschte Stornierungsmails von Booking.com stützen. Mitarbeiter sollen dabei auf scheinbar legitime Systemhinweise reagieren und eine Kette aus Umleitungen und vermeintlicher Fehlerbehebung auslösen. Für IT-Teams ist das deshalb so kritisch, weil die erste Interaktion nicht nach „Verdächtige Datei“ aussieht, sondern nach einem internen Vorgang rund um Buchungsänderungen.
Konkret starten die Angriffe mit einer Nachricht, die einen Systemfehler oder eine dringende Maßnahme suggeriert. Die Opfer werden auf gefälschte Webseiten gelotst, auf denen entweder fingierte CAPTCHA-Abfragen erscheinen oder ein simuliertes „Blue Screen of Death“ (BSoD). Der entscheidende Dreh kommt danach: Den Mitarbeitern wird nahegelegt, bestimmte PowerShell-Befehle auszuführen, angeblich zur Fehlerbehebung. In Wahrheit installiert dieser Schritt den DCRat-Trojaner, der über Remote-Kommandos die Kontrolle über betroffene Rechner übernehmen kann. Damit verlagern die Täter den Angriffszeitpunkt von der Infektion auf die Nutzerentscheidung.
Technisch setzen die Angreifer dabei auf Umgehung statt bloßem „Schadcode anhängen“. Im beschriebenen Ablauf wird Microsoft Defender deaktiviert, wodurch die Erkennung während der initialen Phase sinkt. Zusätzlich nutzen die Kampagnen legitime Windows-Komponenten, etwa MSBuild.exe, um sich unauffällig zu verhalten und ihr Verhalten eher wie normale Systemaktivität wirken zu lassen. Genau diese Kombination aus Tool-Missbrauch und deaktivierter Schutzschicht ist ein wiederkehrendes Motiv in aktuellen APT-nahen Kampagnen. Als weiterer Hinweis auf die Täterlandschaft finden Sicherheitsforscher in Kampagnen-Dateien russische Sprachhinweise, die für eine russischsprachige Entwicklungs- oder Operator-Umgebung sprechen.
Die Kampagnen erfolgen nicht als isoliertes Ereignis, sondern in Wellen. Microsoft-Analysten beobachten seit April eine fortgesetzte Serie von Angriffen auf Hotels in Europa und Asien, unterbrochen von klaren Peaks zwischen April und Mai sowie durchgehend im Juni. Diese zeitliche Struktur erinnert an „Phishing-Season“-Logiken: Angreifer passen Volumen und Themen an Reise- und Buchungssaisons an. Operational verschicken die Täter ZIP-Dateien, die als harmlose Bilddateien getarnt sind. Das ist für Verteidiger besonders unkomfortabel, weil viele Postfächer und Gateway-Regeln Dateiendungen und typische Makro-Signaturen priorisieren, während die eigentliche Gefahr innerhalb des Kompressions- und Umwandlungspfads entsteht.
Für die Hotellerie ist das Timing zudem marktlogisch. Hotels verarbeiten täglich sensible Gästedaten und häufig auch finanzbezogene Informationen wie Karten- oder Abrechnungsdetails. Sicherheitsbehörden und Research-Teams berichten deshalb über einen Anstieg saisonaler Phishing-Kampagnen: Laut Check Point Research zeigt sich ein sprunghafter Zuwachs bei Sommer-Phishing-Aktivitäten. Ein besonders relevantes Detail sind tausende neu registrierte Urlaubs-Domains, viele davon so gestaltet, dass sie Booking.com oder Agoda täuschen können. Genau hier entsteht ein Supply-Chain-ähnlicher Effekt: Nicht nur die E-Mail ist kompromittiert, sondern auch die nachgelagerte Vertrauensbasis, also der „vermeintlich echte“ Zielhost.
Auch bei der technischen Anpassung wird nicht „one size fits all“ gefahren. Die Täter sollen das Betriebssystem ihrer Opfer analysieren und unterschiedliche Schadsoftware für Windows, macOS und sogar iOS liefern. Zusätzlich werden gefälschte Google- oder Cloudflare-Verifikationsseiten eingesetzt, um Misstrauen zu reduzieren und den Nutzerfluss in Richtung Schadaktion zu stabilisieren. In früheren Wellen tauchten dabei auch andere Trojaner-Varianten auf, etwa HijackLoader oder StealC, die sich je nach Zielumgebung unterschiedlich verhalten. Aus Verteidiger-Sicht ist das eine deutliche Warnung: Selbst wenn einzelne Komponenten aus früheren Kampagnen bekannt sind, bleibt die Kombination aus Social Engineering und plattformadaptierter Ausnutzung dynamisch.
Experten empfehlen deshalb einen mehrstufigen Ansatz, der sowohl die Angriffsfläche in der E-Mail als auch die Ausführung auf dem Endgerät adressiert. Der Zugriff auf missbrauchte Blockchain-Domains sollte eingeschränkt werden, und für Administratoren und SOC-Teams ist besonders wichtig, dass PowerShell- sowie Node.js-Ausführungen überwacht werden. Multi-Faktor-Authentifizierung wird als Pflichtmaßnahme genannt, weil sie zumindest den Zugriff auf Konten erschwert, falls Nutzerdaten kompromittiert werden. Als ebenso zentral gilt jedoch die „letzte Meile“: gut geschultes Personal. Sicherheitsverantwortliche berichten, dass ein großer Teil der erfolgreichen Kampagnen nicht an technischen Lücken scheitert, sondern daran, dass Nutzer vermeintliche Systemanweisungen zu schnell als echte Fehlerbehebung interpretieren.
Historisch lassen sich solche Angriffe als Weiterentwicklung früherer Phishing-Wellen verstehen. Während früher häufig Makros oder direkt ausführbare Dateien im Zentrum standen, verlagern moderne Kampagnen die Wirkung stärker in Browser-Interaktionen: Gefälschte Interstitials, Fake-Captcha-Flows und BSoD-Simulationen sind dabei Werkzeuge, um kognitive Leitplanken zu verschieben. Parallel hat sich die Tarnstrategie verändert: Statt nur schädliche Binärdateien zu liefern, werden legitime Werkzeuge und Abläufe missbraucht, die in Unternehmen ohnehin normal erscheinen. Das macht klassische Indikatoren wie „unbekannte Signatur“ weniger zuverlässig und erhöht die Bedeutung von Verhaltenssignalen, etwa ungewöhnliche PowerShell-Parameter oder ungewöhnliche MSBuild-Nutzung in Post-Exploitation-Umgebungen.
Für die nächsten Monate ist damit zu rechnen, dass Angreifer ihre Wellen-Logik in den Reisezyklus weiter verfeinern und die Social-Templates an aktuelle Booking- und Gastkommunikationsprozesse anpassen. Für Entwickler und Sicherheitsarchitekturen bedeutet das: „Secure by default“ reicht allein nicht, wenn Nutzeraktionen in Angriffsabläufe eingebettet sind. Organisationen sollten deshalb stärker auf Zero-Trust-Zugriffsmodelle und verifizierte Out-of-Band-Prozesse setzen, etwa klare Regeln, wann Mitarbeitende Stornierungs- oder Fehleranfragen bestätigen dürfen und welche Kanäle dafür genutzt werden. Wer Awareness-Kampagnen mit konkreten Beispielen aus echten Phishing-Formaten koppelt, kann die Wahrscheinlichkeit reduzieren, dass PowerShell-Befehle überhaupt ausgeführt werden—und genau das ist in solchen Szenarien oft der entscheidende Sicherheitshebel.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "PHALT#BLYX: Neue DCRat-Welle trifft Hotels mit Phishing über gefälschte Booking-Mails" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "PHALT#BLYX: Neue DCRat-Welle trifft Hotels mit Phishing über gefälschte Booking-Mails" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »PHALT#BLYX: Neue DCRat-Welle trifft Hotels mit Phishing über gefälschte Booking-Mails« bei Google Deutschland suchen, bei Bing oder Google News!