LONDON (IT BOLTWISE) – In einem Cato-Analysebericht zeigt ein Angreifer, wie sich Zugriff trotz Offline-Schaltung der Command-and-Control-Infrastruktur fortsetzen lässt. Er installierte vor dem „Go-dark“-Moment OpenSSH und Tailscale auf einem kompromittierten Windows-System und baute damit einen separaten Rückweg. Der Fall macht deutlich, dass Remediation bei reiner C2-Tötung oft zu kurz greift, sobald eine Persistenzschicht existiert. Besonders kritisch: Ein Keylogger sammelte Banking- und E-Mail-Zugänge, ohne dass ein klassischer Exfil-Server im Spiel sein musste.
Ein Cato-Netzwerkbericht liefert derzeit eine der seltenen Analysen, die nicht nur die „Reste“ eines Angriffs zeigen, sondern den operativen Ablauf aus Sicht des Angreifers. Im Kern ging es um einen kompromittierten Zugriff auf ein kleines französisches Automotive-Unternehmen, bei dem ein Keylogger sowie der Diebstahl von Banking- und E-Mail-Zugangsdaten im Vordergrund standen. Spannend wird die Geschichte jedoch an dem Moment, in dem die üblichen Abwehrmaßnahmen instinktiv greifen müssten: Als die Havoc-Infrastruktur später offline ging, blieb der Zugriff des Angreifers bestehen – weil er ihn zuvor mit einem zweiten, unabhängigen Kanal abgesichert hatte.
Technisch war der Angriff bemerkenswert pragmatisch und dennoch wirksam. Die Schadsoftware arbeitete überwiegend im Speicher, was klassische „File-based“ Erkennungen erschwert: Ein VBScript-Stager entschlüsselte verzögert einen PowerShell-Loader, der wiederum einen .NET-Loader nachzog. Dieser startete den Demon-Agent von Havoc, ohne das Implant persistent als Datei abzulegen. Für Rechteerweiterung nutzte der Angreifer zwar eine typische Windows-Mechanik wie Start-Process -Verb RunAs, aber ohne einen „geräuschlosen“ UAC-Bypass: Das System zeigte die Windows-Einwilligung, und in mindestens einem Fall brauchte er viele Versuche über zwei Tage. Die Persistenz wurde danach über einen geplanten Task, Shellcode in Explorer.exe sowie einen zweiten Backup-Kanal festgezurrt.
Der entscheidende Unterschied zur Erwartung vieler Verteidiger liegt im Umgehen der C2-Logik. Am 7. April installierte der Angreifer OpenSSH Server und verband die betroffene Maschine über sein eigenes Tailscale-Netz. Damit entstand eine verschlüsselte Verbindung in einem Mesh-Netz, bei der kein öffentliches Port-Forwarding und kein direkter C2-Call nötig war. Der Rückweg lief über Key-basiertes SSH und einen Reverse-Tunnel; als am nächsten Tag die Havoc-Instanz offline ging, blieb die Zugriffsfähigkeit erhalten, weil der „Backchannel“ auf einer separaten Netzwerkgrundlage beruhte. Als die C2 später am 26. April wiederkam, konnten die Agents sogar automatisch reconnecten – ohne neue Kompromittierung.
Markt- und Branchenkontext: Der Fall wirkt „zuverlässig“ gerade deshalb, weil er keine völlig neuen Exploits erfordert. Cato verortet den Angreifer als eher junioren Operator, der auf frei zugängliche Dienste und leicht verfügbare Infrastruktur setzte, etwa DuckDNS, Backblaze B2 und einen günstigen VPS. Gleichzeitig zeigt die Analyse, dass selbst etablierte Tools wie Tailscale in offensiven Kampagnen oder bei späteren Monetarisierungsversuchen wiederholt auftauchen. Vergleichbar wird es durch Hinweise auf andere Akteure: APT-ähnliche Gruppen nutzten Remote-Tunneling bereits in früheren Zeiträumen, und auch Cybercrime-Teams lecken häufig „legitime“ Remote-Zugriffspraktiken in ihre Taktik. In der Breite bedeutet das: Sicherheitskontrollen, die vor allem auf „böse Dateinamen“ oder auffällige binäre Signaturen zielen, verfehlen Verhalten, wenn es wie Administrationsroutine aussieht.
Aus Sicht der Detektion ist die Beobachtung besonders relevant: Viele eingesetzte Sicherheitsprodukte erkennen schlecht, wenn signierte oder „legitime“ Binaries in einem anomalen Ablauf verwendet werden. Cato beschreibt, dass die Payloads wie OpenSSH/Tailscale sowie das Backup über RustDesk nicht zwangsläufig als „maliziös“ markiert werden, solange das Verhalten nicht über die Zeit hinweg korreliert wird. Dazu kommt ein weiterer Punkt: Der Keylogger war in seiner Exfil-Logik untypisch. Er sammelte Tasteneingaben in einer lokalen Datei, ohne Beaconing und ohne klassisches Exfil-Server-Szenario. Der Angreifer las die Datei manuell aus. Für SOC-Teams ist das eine Mahnung: Selbst ohne „Exfiltration im klassischen Sinn“ kann der Schaden akut sein, insbesondere wenn es um Banking-Logins und E-Mail-Zugriffe geht.
Auch der historische Rahmen erklärt, warum Remediation oft zu kurz greift. In vielen Vorfällen wird die C2 als Hauptschwerpunkt betrachtet, weil sie den klarsten Indikator für Command-and-Control bietet und häufig die stärksten telemetry-basierten Signale liefert. Dennoch kennen Verteidiger das Muster: Wer zuerst eine Persistenzschicht und später erst das C2 nutzt, kann bei einer Abschaltung weiterhin handeln. In diesem Fall dokumentiert Cato den Ansatz besonders sauber: Der Angreifer ließ außerdem einen detaillierten Playbook-Ansatz sowie operativen „Spuren“-Aufbau in einem Storage-Bucket liegen. Das ist nicht nur ein forensisches Detail, sondern ein Indikator dafür, dass der Zugriff nicht bis zur letzten Sekunde ausschließlich von der C2 abhängig war.
Regulatorisch und datenschutzrechtlich ist die Stoßrichtung klar, denn Keylogging und das Abgreifen von Zugangsdaten berühren typischerweise besonders sensible personenbezogene Daten. Für Unternehmen in der EU ist das in der Regel unmittelbar mit Pflichten aus der DSGVO verknüpft, etwa bei der Sicherstellung geeigneter technischer und organisatorischer Maßnahmen, bei der Protokollierung von Zugriffen und bei der Aufklärung betroffener Nutzer. Praktisch bedeutet das: Wenn ein SOC nur den „C2 offline“ denkt, aber die Persistenzschicht nicht beseitigt, bleibt das Risiko für unbefugte Verarbeitung und für Folgehandlungen wie Kontozugriff oder Passwortänderungen. Gerade deshalb sollten Incident-Response-Playbooks die Suche nach separaten Zugängen (SSH, VPN-Mesh, Reverse-Tunnel, geplante Tasks) als gleichwertig zur C2-Tötung behandeln.
Für die Zukunft ergibt sich daraus ein konkreter Handlungsrahmen. Catos Hunting-Liste ist entsprechend „beobachtbar“: Auffällige OpenSSH-Installationen auf Windows-Workstations, unerwartete Tailscale-Prozesse, SSH-Reverse-Tunnel in Richtung externer Ziele sowie das Starten von .vbs-Dateien aus User-Staging-Ordnern. Zusätzlich sollten Teams geplante Tasks mit höchster Priorität prüfen, Shellcode-Injektionen in Prozesse wie Explorer.exe erkennen und Richtlinien für Energieverwaltung wie Änderungen an powercfg ernst nehmen, weil sie auf das Umgehen von Sleep-States hindeuten. Wie ein Analyst aus dem Incident-Response-Umfeld betont, ist die zentrale Lehre: Wenn ein C2 sichtbar ist, existiert oft bereits ein „ruhiger“ Persistenzpfad. Die Frage „Was war in Thales.zip?“ bleibt damit offen – der größere Punkt ist, dass das C2 nicht die einzige Tür war.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Tailscale-Backdoor macht C2-Abschaltung wirkungslos: Fallbericht zu Keylogger und OpenSSH-Persistenz" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Tailscale-Backdoor macht C2-Abschaltung wirkungslos: Fallbericht zu Keylogger und OpenSSH-Persistenz" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Tailscale-Backdoor macht C2-Abschaltung wirkungslos: Fallbericht zu Keylogger und OpenSSH-Persistenz« bei Google Deutschland suchen, bei Bing oder Google News!