SLOWAKEI / LONDON (IT BOLTWISE) – Sicherheitsforscher melden zwei neue Windows-Varianten eines bislang vor allem als Linux-Backdoor bekannten Systems: WIN_DRV und WIN_PLUS. Auffällig ist die driverbasierte Tarnung im Betriebssystem sowie ein modulartes Vorgehen über Print-Spooler und DLL-Sideloading. Damit erweitert die Kampagne plattformübergreifend ihre Reichweite – und erhöht den Aufwand für Erkennung und Incident Response in Unternehmensumgebungen.
Angreifer passen ihre Tools selten „nur“ an eine neue Plattform an. Häufig geht es um besseren Zugriff, höhere Verweildauer und vor allem um Tarnung – genau in diese Richtung zeigen die jüngsten Erkenntnisse zu SprySOCKS. Sicherheitsforscher haben zwei bislang undokumentierte Windows-Varianten identifiziert, die unter den internen Bezeichnungen WIN_DRV und WIN_PLUS laufen. Während die Linux-Version schon für ihre C2-Logik und umfangreiche Befehlssätze bekannt war, verlagert die Windows-Portierung zentrale Stealth-Mechanismen näher an den Kernel. Das macht die Systeme für Blue-Teams besonders schwer zu untersuchen, weil klassische Indikatoren wie Netzwerk- oder Prozess-Metadaten weniger aussagekräftig sein können.
Technisch betrachtet behalten beide Windows-Varianten die Grundarchitektur der Linux-Vorgänger bei, einschließlich verschlüsselter Kommunikation und der Art, wie Befehle strukturiert abgearbeitet werden. Beide Varianten implementieren zudem eine C2-Kommunikation über mehrere Transportwege: TCP, UDP und WebSocket. Diese Multi-Channel-Strategie ist nicht nur „Komfort“ für die Betreiber, sondern unterstützt auch Ausweichmöglichkeiten bei Netzwerkrestriktionen, Proxy-Setups oder restriktiven Egress-Regeln in Unternehmen. Der Funktionsumfang geht über reine Systemabfragen hinaus: SprySOCKS kann Systeminformationen sammeln, Prozesse auflisten, Services verwalten, Dateien im Zielsystem bearbeiten und auch einen SOCKS-Proxy für weitere interne Verbindungen bereitstellen.
Der entscheidende Unterschied liegt in der Ausführung und Tarnung. Bei WIN_DRV nutzt die Malware Kernel-Driver, um Netzwerkverbindungen, Prozesse, Dateien und Registry-Schlüssel zielgerichtet zu verbergen. Der Treiber-Ansatz wird dabei über einen weiteren verschlüsselten DriverLoader in den Kontext des Systems gebracht, wodurch sich der Schädling näher an die Betriebssystemebene ankoppelt, als es bei reinen Userland-Techniken üblich ist. Zusätzlich wird TCP-Traffic umgeleitet: Operatoren können Befehle über einen zufällig gewählten TCP-Port senden, ohne dass der eigentliche Listening-Port im Netzwerkverkehr sichtbar „durchschlägt“. Damit sinkt die Aussagekraft einfacher Port- und Signature-Detektion erheblich.
WIN_PLUS verfolgt dagegen einen stärker Windows-nativen Weg. Startpunkt ist der Windows Print-Spooler-Service (spoolsv.exe), wobei ein Loader zunächst als Print Processor agiert. Anschließend wird ein SprySOCKS-Loader in einen neu erzeugten svchost.exe-Prozess injiziert, um die eigentliche Backdoor zu starten. Diese Kombination aus Print-Spooler-Logik und Prozessinjektion ist insofern strategisch, als sie bekannte Legitimitätsanker nutzt: Print-Dienste sind in vielen Umgebungen vorhanden und werden häufig weniger strikt überwacht als etwa neu installierte Dienste oder ungewöhnliche Netzwerklistener. Gleichzeitig wird das Laden der letzten Stufe „anders“ als bei WIN_DRV realisiert, wodurch sich auch die forensische Wiederauffindbarkeit verschiebt und Heuristiken häufiger nachjustiert werden müssen.
Für die Markt- und Bedrohungslage ist der Kontext ebenso wichtig wie die Technik. SprySOCKS wird dem FishMonger-Cluster zugeordnet, das wiederum unter das größere Winnti-Umfeld eingeordnet wird. In früheren Analysen wurde SprySOCKS als plattformfokussiert beschrieben; inzwischen zeigt die Windows-Erweiterung, dass das Team plattformübergreifend entwickelte Komponenten wiederverwendet. Als technologische Basis wird dabei Trochilus genannt, ein Windows Remote Access Trojan, der auch mit RedLeaves über Code-Überlappungen in Verbindung steht. Damit verschiebt sich das Risiko: Wer bisher primär nach Linux-Artefakten suchte, kann in Windows-Installationen dieselbe Operator-Absicht über andere Spuren sehen – was in der Praxis häufig zu verzögerten Containment-Entscheidungen führt.
Laut Branchenberichten ist die Aktivität mindestens seit 2021 belegt; zudem wird berichtet, dass ein chinesischer Contractor, i-Soon, beteiligt ist. Auch beim Initial Access lassen sich Muster erkennen, die für enterpriseorientierte Sicherheitsmodelle relevant sind: Die Gruppe soll wiederholt N-Day-Schwachstellen in öffentlich erreichbaren Produkten ausgenutzt haben, etwa bei Fortinet, GitLab, Microsoft Exchange Server, Progress Telerik UI oder Zimbra. Das passt zu einem klassischen Angriffspfad für Spionageoperationen: Erst über eine externe Schwachstelle Fuß fassen, dann mit einem modularen Toolset persistent bleiben und später lateral ausrollen. Im Rahmen einer breiteren Kampagnenbeobachtung wird außerdem eine Operation namens FishMedley diskutiert, die u. a. Organisationen in Taiwan, Ungarn, Türkei, Thailand, Frankreich sowie den USA zwischen Januar und Oktober 2022 betroffen haben soll.
Zusätzlich verdichten sich Indizien, die über „nur“ Backdoor- und Driver-Stealth hinausgehen. Es gibt „limitierte Hinweise“, dass möglicherweise ein UEFI-Bootkit beteiligt sein könnte, vermutlich unter Ausnutzung von CVE-2023-24932 (CVSS 6,7), einer Sicherheitsumgehung im Windows Boot Manager, die in der Szene mit dem BlackLotus-UEFI-Bootkit in Verbindung gebracht wird. Microsoft habe die Lücke bereits im Mai 2023 geschlossen. Für Unternehmen ist das mehr als ein theoretisches Detail: Sobald UEFI-Ebene ins Spiel kommt, verschiebt sich der Incident-Response-Ansatz von „Dateien entfernen und Dienste stoppen“ hin zu „Gerätezustand verifizieren“ – inklusive Secure-Boot-Checks, Firmware-Audit und einer strengeren Wiederherstellungsstrategie.
Für die Zukunft bedeutet die Windows-Portierung von SprySOCKS vor allem eins: Die Härtung und Detektion müssen plattformübergreifend gedacht werden. Blue Teams sollten ihre Telemetrie so ausrichten, dass ungewöhnliche Ausführungswege sichtbar werden – etwa Print-Processor-Aktivitäten, verdächtige svchost.exe-Injektionen, sowie Indikatoren für Kernel-Driver-Loading und TCP-Port-Umleitung. Gleichzeitig gewinnt die Praxis, Sicherheitsupdates in „Extern erreichbar“-Flächen priorisiert zu pflegen, erneut an Bedeutung, weil viele Angriffe über bekannte Produktlücken starten. ESET ordnet die Entdeckung als bedeutende Erweiterung der plattformübergreifenden Fähigkeiten ein; der Tenor der technischen Bewertung lautet sinngemäß, dass die Windows-Version das C2- und Command-Handling beibehält, aber Stealth und Laden der Endstufe stärker an Windows-Mechanismen koppelt. Damit ist zu erwarten, dass in den nächsten Monaten weitere Varianten auftauchen, die sowohl Erkennungsregeln als auch forensische Workflows kontinuierlich herausfordern.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "SprySOCKS-Botnet-Backdoor: neue Windows-Varianten mit Kernel-Stealth" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "SprySOCKS-Botnet-Backdoor: neue Windows-Varianten mit Kernel-Stealth" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »SprySOCKS-Botnet-Backdoor: neue Windows-Varianten mit Kernel-Stealth« bei Google Deutschland suchen, bei Bing oder Google News!