LONDON (IT BOLTWISE) – Sicherheitsforscher haben eine neue KI? nein: eine neue, hochentwickelte Schadsoftware der Lazarus-Gruppe entdeckt, die ohne Festplattenartefakte auskommt. RemotePE läuft vollständig im Arbeitsspeicher, sodass klassische forensische Spuren deutlich seltener sichtbar sind. Besonders aufschlussreich ist die belegte Infektionskette: Social Engineering über Telegram, danach eine mehrstufige Toolchain bis zur eigentlichen RAT-Komponente. Für Unternehmen wird damit klarer, wo Erkennung und Härtung ansetzen müssen, bevor die Kompromittierung in die operative Steuerung übergeht.
Die neue Entdeckung rund um die Lazarus-Gruppe zeigt einmal mehr, wie stark sich fortgeschrittene APT-Angriffe heute an die Grenzen klassischer Detektion herantasten. Mit RemotePE liegt nun ein Remote-Access-Trojaner (RAT) vor, der als fileless beschrieben wird: Die Schadsoftware operiert vollständig im Arbeitsspeicher des kompromittierten Systems. In der Praxis bedeutet das, dass viele üblichen “Beweisstücke” im Dateisystem fehlen, was forensische Workflows und Security-Workloads ausbremsen kann. Gerade bei Standard-Workflows, die stark auf Dateihashes oder statische Artefakte setzen, wird die Suche dadurch zwangsläufig weniger treffsicher.
Auffällig ist dabei nicht nur die Tarnung, sondern der Weg dorthin. Laut der Rekonstruktion des Angriffsverlaufs startet die Kampagne mit Social Engineering über den Messengerdienst Telegram. Sobald ein Ziel ausgewählt ist, folgt eine dreistufige Toolchain: erst der DPAPILoader, dann der RemotePELoader, und abschließend die eigentliche RAT-Komponente RemotePE. Diese Kaskade ist technisch sinnvoll, weil jeder Schritt eine klar abgegrenzte Aufgabe übernimmt: Der erste Loader bereitet die Grundlage, die nächste Stufe bringt die Payload in die richtige Laufzeitform, und erst am Ende entsteht die funktionsfähige Fernsteuerung.
Technisch sticht vor allem der DPAPILoader hervor, weil er die Bindung der Schadlast an den Zielrechner über Environmental Keying mit der Windows Data Protection API (DPAPI) umsetzt. DPAPI ist dafür gedacht, kryptografische Daten an den jeweiligen Kontext des Systems oder des Benutzers zu koppeln, sodass Entschlüsselung außerhalb dieses Kontexts scheitert. Für Angreifer ist das ein zweischneidiges, aber nutzbares Werkzeug: Der Loader kann die später benötigten Bausteine zielgebunden “verankern”, während die Schadlogik auf anderen Systemen nicht ohne Weiteres wiederverwendbar wird. Genau diese Zielbindung reduziert damit die Wirksamkeit vieler Copy-and-Paste-Ansätze in der Incident Response, etwa wenn Teams Indikatoren sammeln, aber die Entschlüsselung nicht vollständig nachvollziehen können.
Im weiteren Verlauf übernimmt der RemotePELoader die Aktivierung und bringt die finale RAT-Komponente nach, was die Kampagne in einen Zustand versetzt, in dem Fernzugriff möglich wird. RemotePE selbst ist in C++ beschrieben und deckt ein breites Funktionsspektrum ab: von Dateioperationen über eine umfassende Prozessverwaltung bis zur Fähigkeit, zusätzliche Plugins nachzuladen. Damit folgt der Angriff einem Muster, das in der APT-Welt verbreitet ist: statt alles “einmalig” auszurollen, werden Funktionen gestaffelt verfügbar gemacht, sodass sich die Logik bei Bedarf erweitert oder angepasst verhält. Ebenso wichtig ist das Fähigkeitsprofil zur Verschleierung und Sabotage: Zu den genannten Mechanismen gehören sicheres Löschen von Daten sowie Manipulationen an der Systemumgebung.
Besonders relevant für die Verteidigung ist, dass RemotePE Sicherheits-Hooks entfernen und die Windows-Ereignisverfolgung (ETW) deaktivieren kann. ETW (Event Tracing for Windows) ist im Kern ein Bestandteil, über den viele Erkennungs- und Monitoring-Stacks Auditing- und Telemetrieereignisse erhalten. Wenn ein Angreifer hier eingreift, werden viele Überwachungswerkzeuge zumindest teilweise blind, selbst wenn sie auf Dateiattribute oder einfache Signaturen gar nicht angewiesen sind. Ergänzend kommt die Beobachtung hinzu, dass die Zustellung der finalen Payload nicht vollständig automatisiert wirkt, sondern eine manuelle Genehmigung durch Operateure erfordert. Diese Entscheidung fällt den Forschern zufolge vornehmlich während der Tageszeit in der Zeitzone UTC+9, was für Zeitfenster-basierte Korrelationen in SOC-Umgebungen ein brauchbarer Anker sein kann.
Auch wenn filelose Angriffe die Sichtbarkeit senken, bleiben Spuren nicht zwingend aus der Welt. Laut der Analyse konnten spezifische Indikatoren (IoCs) identifiziert werden. Auf Host-Ebene werden unter anderem DPAPI-verschlüsselte Datenobjekte (Blobs) sowie auffällige Dynamic Link Libraries (DLLs) genannt. Auf Netzwerkebene helfen vor allem DNS-Abfragen zu spezifischen Command-and-Control (C2)-Domains und charakteristische Felder in HTTP-Cookies. Für Unternehmen ist das ein klares Signal: Selbst wenn Dateien fehlen, erzeugt eine RAT im Betrieb weiterhin Netzwerk- und Laufzeitinteraktionen, die sich in Telemetrie übersetzen lassen. Ergänzend veröffentlichen die Analysten YARA-Regeln und Listen bekannter Indikatoren, womit Sicherheitsteams ihre Systeme gezielt auf Spuren der Lazarus-Gruppe und auf konkrete Komponenten aus RemotePE durchsuchen können.
Für die Abwehr ergibt sich daraus eine praktische Priorisierung: Erstens sollten Teams Social-Engineering-Pfade früh im Prozess abfangen, weil die Kampagne laut Rekonstruktion genau dort startet. Zweitens braucht es Erkennungslinien, die nicht nur auf Dateisystemartefakte, sondern auch auf Speicher- und Laufzeitindikatoren sowie auf Netzwerkverhalten setzen. Drittens wird die harte Kante bei ETW-Resilienz deutlich: Wenn Monitoring durch Angriffe auf Ereignisverfolgung ausgehebelt werden kann, müssen Organisationen ihre Detektionsstrategie entsprechend redundanter gestalten, etwa über unterschiedliche Telemetriequellen und klare Korrelationen zwischen DNS, HTTP-Mustern und Host-Signalen. Der Kern bleibt dabei: RemotePE zeigt, wie aggressiv Angreifer menschliche Schwachstellen mit technischen Sicherheitslücken kombinieren, und wie wichtig es ist, Härtung und Detektion als zusammenhängenden Prozess zu begreifen.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "RemotePE: Datei-loser RAT der Lazarus-Gruppe zielt auf Windows mit DPAPI-Bindung" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "RemotePE: Datei-loser RAT der Lazarus-Gruppe zielt auf Windows mit DPAPI-Bindung" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »RemotePE: Datei-loser RAT der Lazarus-Gruppe zielt auf Windows mit DPAPI-Bindung« bei Google Deutschland suchen, bei Bing oder Google News!