TOKIO / LONDON (IT BOLTWISE) – Sicherheitsforscher berichten von TONResolver, einer Malware, die die TON-Blockchain als „Dead Drop Resolver“ nutzt, um ständig wechselnde Kommando- und Kontrollserver (C2) bereitzustellen. Angreifer verschicken dabei gezieltes Phishing gegen Hotels, tarnt die Nachrichten als Gästekommunikation und umgehen Sicherheitsprüfungen wie SPF, DKIM und DMARC über Umwege. Technisch fällt besonders die smart-contract-basierte Adressabfrage sowie die verschlüsselte WebSocket-Kommunikation mit AES-256-CBC auf. Unternehmen müssen deshalb neben Domain-Blocklisten auch Ausführungsketten, Script- und Node.js-Aktivitäten sowie Browser-Datenabflüsse konsequent überwachen.
Wenn Malware „Adresslisten“ dynamisch nachladen kann, verlieren klassische Abschaltungen von Domains oft ihren Schutzwert. Genau hier setzt TONResolver an: Die im Bericht beschriebenen Angriffe zielen vor allem auf die japanische Hotellerie, starten über Phishing-Mailings mit Betreffzeilen wie „Wichtig: Anfrage zur Gästebewertung“ und leiten Opfer auf Links oder Downloads. Laut den Untersuchungen wurden die Aktivitäten bereits im April und Mai 2026 beobachtet. Für Betreiber bedeutet das einen erhöhten Betriebsaufwand, weil die Entdeckung nicht nur an der Domain hängt, sondern an der gesamten Ausführungskette vom E-Mail-Client bis zur Installation neuer Komponenten.
Der Einstieg beginnt typischerweise mit einer präparierten Nachricht, die sich als Gästebewertung oder als Zimmerbeschwerde tarnt. Besonders tückisch ist die Kombination aus Social-Engineering und Lieferkette: Die Angreifer nutzen dabei offenbar Benachrichtigungen von Terminplanungs-Tools sowie Google-Weiterleitungen, um Mail-Authentifizierungssignale wie SPF, DKIM und DMARC zu umgehen. Sobald das Opfer eine ZIP-Datei öffnet, startet nach der Darstellung eine Abfolge von Schritten über LNK-Dateien und PowerShell. Am Ende steht die Installation einer Node.js-basierten Schadsoftware. Diese Kette ist relevant, weil sie viele „Security-Walls“ zugleich berührt: E-Mail-Filtering, Endpoint-Hardening, Script-Control und Prozess-Telemetrie.
Der zentrale technische Unterschied ist laut Analyse die Nutzung der The Open Network (TON)-Blockchain als „Dead Drop Resolver“. Die Malware fragt dabei bestimmte Smart Contracts ab, um die aktuelle Adresse ihrer Kommando- und Kontrollserver (C2) zu erhalten. In einem dezentralen Netzwerk sind diese Informationen nicht an eine einzelne Domain gebunden, wodurch Sperrlisten und Domain-Blacklists ins Leere laufen können. In der Praxis heißt das: Selbst wenn ein SOC eine C2-Domain zeitnah identifiziert und blockiert, kann die nächste Kommunikation über eine aktualisierte Adresse ablaufen. Damit verschiebt sich die Erkennung stärker in Richtung Verhaltenssignaturen und Netzwerkmuster statt reiner IOCs.
Die Kommunikation wird als verschlüsselte Verbindung über WebSockets beschrieben, zusätzlich abgesichert unter anderem mit AES-256-CBC. Diese Details sind für die defensive Auswertung wichtig, weil sie die Chance erhöhen, dass sich der Traffic anhand von Metadaten, Protokollmustern und Session-Verhalten erkennen lässt, auch wenn der Inhalt kryptografisch geschützt ist. Nach der Installation soll TONResolver zudem persistieren, indem es Registry-Einträge nutzt, um dauerhaft Zugriff zu behalten. Als unmittelbares Ziel werden laut Bericht Zugangsdaten aus Chromium-basierten Browsern wie Chrome und Edge genannt. In einer Enterprise-Umgebung ist das ein doppelter Risikofaktor: Zum einen droht Credential Theft, zum anderen wird das Incident Response-Tempo durch die Notwendigkeit gebremst, Browserdaten sicher zu triagieren und Systeme forensisch zu sichern.
Marktlich ordnen Experten solche Kampagnen als Teil einer breiteren Eskalationslogik ein: moderne Phishing-Wellen verbinden psychologische Trigger mit technisch ausgeklügelten Umgehungsstrategien. „Wenn Angreifer ihre Infrastruktur über Smart Contracts nachziehen, müssen SOC-Teams stärker als bisher Ausführung und Kommunikation statt nur Domain-Merkmale bewerten“, lautet eine sinngemäße Einschätzung aus der Sicherheits-Community. Als Vergleich lohnt auch der Blick auf parallele Bedrohungen: Cisco Talos hat kürzlich ARToken beschrieben, eine Plattform für Business-E-Mail-Compromise (BEC), die auf Microsoft-365-Konten abzielt und Device-Code-Phishing nutzt, um Zwei-Faktor-Authentifizierung zu umgehen. Für CISOs ist der Zusammenhang klar: Sobald Identitäts- und Zustellkanäle (E-Mail, Authentifizierung, Browser) gleichzeitig angreifbar sind, reicht isoliertes Blocking nicht mehr.
Die Schutzmaßnahmen, die im Bericht empfohlen werden, lassen sich als „mehrschichtiges Gegenkonzept“ zusammenfassen. Für Hotels und andere betroffene Branchen wird unter anderem empfohlen, den Zugriff auf Blockchain-Domains einzuschränken und Node.js-Anwendungen besonders dann zu überwachen, wenn sie aus lokalen Benutzerprofilen starten. Parallel soll die Ausführung von PowerShell-Skripten blockiert werden, und E-Mails von Drittanbieter-Terminplanern müssen genauer geprüft werden. Ergänzend ist für die Zukunft wichtig, dass Teams die Verteidigung zwischen Cloud- und On-Prem-Komponenten verzahnen: Während ein Mail-Gateway nur den Zustellkanal kontrolliert, entscheidet Endpoint-Telemetrie darüber, ob LNK/Powershell/Node.js wirklich gestoppt werden.
Gleichzeitig zeigt der Kontext, dass TONResolver nicht die einzige aktuelle Baustelle ist. Forcepoint X-Labs meldet mehrere aktive Betrugsmaschen rund um die bevorstehende Fußball-Weltmeisterschaft: Dazu zählen Krypto-Wallet-Drainer, die sich als Stake.com ausgeben, Ticket-Phishing über manipulierte Domains wie seatgaek[.]com sowie gefälschte Lotteriegewinne. Als weitere Gefahr wird eine bösartige Browser-Erweiterung („Google Notes“) genannt, die Kryptowährungsadressen in Chromium-Browsern manipuliert – ebenfalls mit Blockchain- bzw. EtherHiding-Ansätzen. Der gemeinsame Nenner ist die Zielrichtung auf Identitäten und Browserdaten. Regulatorisch und datenschutzrechtlich bedeutet das: Bei einem Vorfall sind außerdem Anforderungen an die Protokollierung, Aufbewahrung und die Zweckbindung von Logs zu beachten, damit Ermittlungen nicht die Compliance verletzen.
Für die nächsten Monate zeichnen sich zwei praktische Konsequenzen ab. Erstens sollten Unternehmen ihre Erkennung von „dynamischen C2“-Mechanismen explizit planen, etwa durch Prozessketten-Regeln (ZIP→LNK→PowerShell→Node.js), Netzwerkverhaltensmodelle (WebSocket-Pattern) und Browser-Schutzmaßnahmen gegen Credential Access. Zweitens wird das Thema DevOps-fähige Sicherheit relevanter: Wenn Node.js in der Organisation normal betrieben wird, braucht es eine kontrollierte Policy, die legitime Workloads nicht blockiert, aber verdächtige Startkontexte erkennt. Der Wettbewerb zwischen Angriff und Abwehr verschiebt sich damit weg von statischen Listen und hin zu resilienten Kontrollen, die auch bei wechselnden Infrastrukturadressen funktionieren.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "TONResolver: Malware nutzt die TON-Blockchain als dynamische C2-Zentrale" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "TONResolver: Malware nutzt die TON-Blockchain als dynamische C2-Zentrale" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »TONResolver: Malware nutzt die TON-Blockchain als dynamische C2-Zentrale« bei Google Deutschland suchen, bei Bing oder Google News!