LONDON (IT BOLTWISE) – Sicherheitsforscher ordnen den RemotePE-Trojaner der Lazarus-Gruppe zu und beschreiben eine Schadsoftware, die ausschließlich im Arbeitsspeicher arbeitet. Weil der Code im RAM verbleibt, sollen auf den Datenträgern nur minimale Spuren entstehen. Dadurch wird das gezielte Unterlaufen von Endpoint-Detection-and-Response-Systemen wahrscheinlicher. Im Fokus stehen zudem Social-Engineering über Telegram sowie Prüfhinweise zu DPAPI-Blobs und DNS-Queries zu Command-and-Control-Domains.
Die Entdeckung des RemotePE-Trojaners zeigt, wie dynamisch sich die Angriffslogik bei APT-Gruppen weiterentwickelt: Nicht mehr die klassische Ablage einer Datei im Betriebssystem steht im Mittelpunkt, sondern die Ausführung ausschließlich im Arbeitsspeicher. Laut der Sicherheitsanalyse, die von Fox-IT (Teil der NCC Group) veröffentlicht wurde, agiert RemotePE als sogenannte RAM-Only-Malware. Für Verteidiger ist das entscheidend, weil viele Detektionsansätze genau dort ansetzen, wo das Betriebssystem Artefakte hinterlässt – etwa über file-basierte Anomalien auf der Festplatte.
Technisch bedeutet „läuft im RAM“ vor allem: Die Malware soll während der gesamten Laufzeit ohne dauerhafte Spuren auf dem physischen Datenträger auskommen. In der Praxis wird dadurch die forensische Nachvollziehbarkeit erschwert, weil weniger verwertbare Dateien, weniger lesbare Indikatoren und häufig auch weniger klassische Hash- oder Signaturtreffer entstehen. Gleichzeitig treffen solche Ansätze auch EDR-Systeme an ihrem typischen Schwachpunkt: Viele Lösungen kombinieren zwar Telemetrie aus unterschiedlichen Ebenen, prüfen aber in der konkreten Ausführung dennoch häufig dateibasierte Muster und Indikatoren, die bei speicherresidenten Varianten fehlen oder nur reduziert auftreten.
Das Toolset um RemotePE ist modular aufgebaut. Die Analyse nennt als weitere Bausteine den DPAPILoader sowie den RemotePELoader, die mit dem eigentlichen Trojaner zusammenwirken sollen. Diese Aufteilung deutet darauf hin, dass die Gruppe nicht nur „einen Schädling“ ausrollt, sondern einzelne Funktionsblöcke orchestriert – vom Initialisieren über das Laden relevanter Komponenten bis hin zum späteren Betrieb. Damit lassen sich Angriffe besser an Zielumgebungen anpassen und die Wahrscheinlichkeit erhöhen, dass einzelne Detektionslogiken nicht greifen, weil Verhalten statt Datei- oder Artefaktmuster im Vordergrund steht.
Auch der Weg hinein wirkt in der Beschreibung konsequent auf menschliche Schwachstellen ausgerichtet. Den Analysen zufolge erfolgt der Erstzugriff über gezielte Social-Engineering-Kampagnen, wobei Telegram als Kontaktkanal genutzt werden soll. Zusätzlich werden gefälschte Internet-Domains erwähnt, die Buchungsplattformen wie Calendly oder Picktime nachahmen, um Mitarbeiter über tückisch echt wirkende Oberflächen zu einer Interaktion zu bewegen. Solche Ketten sind für Unternehmen besonders schwer, weil sie nicht mit technischen Exploit-Indikatoren starten, sondern zunächst Vertrauen und Handlungsbereitschaft aufbauen – erst danach folgt das eigentliche Einschleusen des Schadcodes in die Infrastruktur.
Für die Bewertung der Bedrohung ist außerdem der Kontext des Vorfalls relevant: Die detaillierte technische Ausarbeitung basiert auf einem konkreten Sicherheitsereignis in einer Organisation aus dem DeFi-Umfeld (Dezentralisierte Finanzen). Genau solche Bereiche gelten laut der Einordnung der Sicherheitsanalyse seit geraumer Zeit als bevorzugtes Ziel, weil dort insbesondere Gelder und Zugriffsrechte gebündelt sind und kompromittierte Systeme schnell zu Exfiltration und weiterem Eskalationspotenzial führen können. Im Zuge der Aufarbeitung sollen die Experten nachverfolgt haben, wie die Lazarus-Gruppe die Komponenten des Toolsets einsetzt, um sensible Daten abzugreifen oder Zugriffsberechtigungen auszuweiten, ohne dabei zwingend klassische Alarme auszulösen.
Für die IT-Verteidigung leiten die Sicherheitsforscher konkrete Prüf- und Monitoringansätze ab, die zu speicherbasierter Malware passen. Da herkömmliche Scan-Methoden bei RAM-residenten Varianten oft weniger zuverlässig wirken, rücken alternative Beobachtungspunkte in den Vordergrund: Besonders genannt werden die Überwachung von DPAPI-Blobs, also kryptografisch geschützten Containerstrukturen, die in Windows-Umgebungen häufig zur Speicherung von Anmeldedaten genutzt werden. Daneben wird empfohlen, die Verwendung von Dynamic Link Libraries (DLLs) auf verdächtige Verhaltensmuster hin zu prüfen. Ergänzend sollen DNS-Abfragen zu bekannten Command-and-Control-Domains als Indikator dienen, weil über diese Anfragen die Malware Anweisungen aus der Infrastruktur der Angreifer beziehen kann.
In der Gesamtschau unterstreicht RemotePE, dass staatlich akquirierte Akteursgruppen ihre Werkzeuge fortlaufend verfeinern, um auch in gut abgesicherten Umgebungen unentdeckt zu bleiben. Der praktische Effekt für Betreiber geschäftskritischer Systeme liegt dabei nicht nur in der reinen Erkennung von RemotePE selbst, sondern in der Anpassung von Detektionsstrategien: Wer sich ausschließlich auf dateibasierte Signale verlässt, riskiert blinde Flecken gegen RAM-Only-Ansätze. Umgekehrt helfen Kombinationen aus Endpoint-Telemetrie, gezieltem Monitoring relevanter Credential-Artefakte und verhaltensorientierten Prüfungen dabei, die Hürde für spätere Stufen der APT-Kette zu erhöhen – und damit den Angriff nicht erst dann zu sehen, wenn bereits Zugriff etabliert ist.
Für Teams in der Security-Praxis heißt das zuletzt auch: Social-Engineering- und Technik-Detektion dürfen nicht getrennt gedacht werden. Telegram-Interaktionen und externe Terminbuchungsseiten sind zwar für sich genommen keine Sicherheitsereignisse, doch im Zusammenspiel mit dem späteren Telemetrie-Bild (etwa zu DPAPI-Blobs, DLL-Nutzung und C2-DNS) entstehen verwertbare Hinweise. Wer diese Kette konsequent abbildet, kann schneller reagieren, wenn sich ein realer Incident entwickelt – statt erst nachträglich in der Forensik nach schwachen Restspuren zu suchen.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "RemotePE: Lazarus setzt speicherbasierte Malware für EDR-Umgehung ein" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "RemotePE: Lazarus setzt speicherbasierte Malware für EDR-Umgehung ein" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »RemotePE: Lazarus setzt speicherbasierte Malware für EDR-Umgehung ein« bei Google Deutschland suchen, bei Bing oder Google News!