CTI-Übersicht: DragonForce, Qilin, Water Saci

In dieser Woche befasst sich das Cyber Threat Intelligence (CTI)-Team von Tanium mit DragonForce, einer „ “-Ransomware-as-a-Service (RaaS)-Gruppe , die sich als äußerst anpassungsfähig und gefährlich erwiesen hat. Außerdem beleuchten wir die Entwicklung von Qilin zu einer der weltweit aktivsten Ransomware-Bedrohungen. Abschließend befassen wir uns mit einer aktuellen Kampagne namens „Water Saci“, die sich an WhatsApp-Nutzer richtet.

DragonForce baut seinen Einfluss aus

Der neueste „Ransomware Spotlight“- von Trend Micro befasst sich eingehend mit DragonForce: einer RaaS-Gruppe, die erstmals im Jahr 2023 beobachtet wurde und mittlerweile als einer der aggressivsten Akteure im Ökosystem gilt. Die Gruppe hat sich rasch weiterentwickelt und ist von Angriffen auf Basis durchgesickerter Builder zu einem vollständig auf Affiliate-Partnern basierenden Modell übergegangen.

DragonForce, das unter dem Namen „Water Tambanakua“ erfasst wurde, nutzt fortgeschrittene Ausweichtechniken wie „Bring Your Own Vulnerable Driver“ (BYOVD) und unterstützt plattformübergreifende Angriffe auf Windows, Linux, ESXi und NAS. Es nutzt multivariante Nutzlasten und greift dabei auf durchgesickerte LockBit- und Conti-Builder zurück, anstatt sich auf eine einzige Ransomware-Familie zu verlassen. Partner erhalten bis zu 80 % der Lösegeld-Einnahmen sowie Tools für das Angriffsmanagement und die individuelle Anpassung.

Im Jahr 2025 wandelte sich DragonForce zu einem Ransomware-Kartell um und ermutigte seine Partner, eigene Marken aufzubauen und dabei gemeinsame Ressourcen zu nutzen. In dem Bericht „ Juni 2025“ wurde die Gruppe mit den vielbeachteten Datenlecks im britischen Einzelhandel in Verbindung gebracht: . Im August führte das Unternehmen einen Datenanalysedienst ein, der maßgeschneiderte Erpressungsunterlagen wie Gesprächsskripte und pseudojuristische Berichte erstellt und sich dabei an Unternehmen mit einem Jahresumsatz von mindestens 15 Millionen US-Dollar richtet.

Wichtige Trends und Ziele

Trend Micro stellte fest, dass DragonForce in den Vereinigten Staaten einen größeren Einfluss hatte als in jedem anderen Land. Zu den am stärksten betroffenen Branchen zählen das verarbeitende Gewerbe, das Baugewerbe und die IT-Branche. Zu den Opfern zählen sowohl kleine Unternehmen als auch Großkonzerne, was die opportunistische Vorgehensweise der Gruppe widerspiegelt.

Chronologie von DragonForce

• 2023: Erste Angriffe unter Verwendung des durchgesickerten LockBit- 3,0 -Builders
• Mitte 2024: Start des „ “-Partnerprogramms; Veröffentlichung einer eigenen Ransomware, gefolgt von einer Linux-Variante
• Juni 2025: „ “ steht im Zusammenhang mit Anschlägen auf Einzelhandelsgeschäfte in Großbritannien
• März 2025: „ “ – Übergang zum Kartellmodell
• August 2025: Einführung eines Datenanalysedienstes für Partner

Infektionskette und technische Details

DragonForce nutzt bekannte Schwachstellen (z. B. Ivanti Connect Secure, Log4Shell) aus, um sich einen ersten Zugriff zu verschaffen, häufig über Scattered Spider als Initial Access Broker. Die Ransomware kann feste, Wechsel- und Netzlaufwerke verschlüsseln und verfügt über eine Liste von Zeichenfolgen und Dateiendungen, die sie bei der Verschlüsselung ausklammert.

Zudem nutzt es kompromittierte Administratorkonten zur Persistenz, die Nachahmung von Tokens zur Ausweitung von Berechtigungen sowie Tools wie PsExec, WMI und SimpleHelp RMM zur lateralen Bewegung.

[Seien Sie neuen Bedrohungen immer einen Schritt voraus – erfahren Sie, wie die neuen Dashboards für KMU und RMM von Tanium Guardian Ihnen in Echtzeit Einblick in Risiken und entsprechende Abhilfemaßnahmen bieten]

DragonForce ist dafür bekannt, unter anderem Sicherheitsprogramme und -dienste zu deaktivieren, um Abwehrmaßnahmen zu umgehen, sowie Tools zum Auslesen von Anmeldedaten wie Mimikatz und LaZagne einzusetzen.

Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium

Der Wandel der Gruppe – weg von der Nutzung durchgesickerter Build-Versionen hin zur Entwicklung eigener Ransomware und zur Bildung einer kartellähnlichen Struktur – verdeutlicht einen Trend zur Professionalisierung im Ransomware-Ökosystem, wodurch die Zuordnung der Verantwortlichkeiten und die Bekämpfung dieser Aktivitäten erschwert werden.

DragonForce ist vermutlich in der Lage, seinen Erfolg und seine Bedeutung aufrechtzuerhalten, da es großzügige Provisionen an seine Partner zahlt und Techniken wie BYOVD einsetzt, die typischerweise bei fortgeschritteneren APT-Kampagnen zu beobachten sind.

Qilin entwickelt sich zu einer der weltweit größten Ransomware-Bedrohungen

Cisco Talos veröffentlicht unter Einzelheiten zur Entwicklung der Ransomware-Gruppe „Qilin“ zu einer der weltweit aktivsten Ransomware-Bedrohungen und gibt bekannt, dass in der zweiten Hälfte des Jahres 2025 monatlich mehr als 40 Opfer verzeichnet wurden. Die Gruppe arbeitet nach einem RaaS-Modell und wendet doppelte Erpressung an, wobei sie Dateiverschlüsselung mit der Veröffentlichung gestohlener Daten kombiniert.

Qilin, früher bekannt als Agenda und seit Juli 2022 tätig, richtet sich an eine Vielzahl von Ländern, wobei der Schwerpunkt stark auf den USA, Kanada und Großbritannien liegt; darüber hinaus ist das Unternehmen auch in Frankreich und Deutschland präsent. Qilin ist zudem in mehreren Branchen tätig, vor allem im verarbeitenden Gewerbe, gefolgt von den Bereichen freiberufliche und wissenschaftliche Dienstleistungen sowie im Großhandel.

Im Oktober gaben Qilin, DragonForce und LockBit eine strategische Allianz bekannt. Laut ReliaQuest wird die Zusammenarbeit es den Gruppen ermöglichen, Techniken, Ressourcen und Infrastruktur gemeinsam zu nutzen und so die Fähigkeiten jeder einzelnen Gruppe zu stärken.

Erläuterung der Taktiken, Techniken und Vorgehensweisen (TTPs) von Qilin

• Erster Zugriff: Cisco Talos kam mit mäßiger Sicherheit zu dem Schluss, dass Angreifer wahrscheinlich durchgesickerte Anmeldedaten missbraucht haben, um sich VPN-Zugriff zu verschaffen, und möglicherweise Änderungen an den AD-Gruppenrichtlinien vorgenommen haben, um RDP zu aktivieren.
  [Lassen Sie nicht zu, dass kompromittierte Anmeldedaten zu einer offenen Tür werden – erfahren Sie, wie Sie Active Directory absichern und Angreifer stoppen können, bevor diese sich lateral ausbreiten]
  In einem Fall identifizierte Cisco Talos bereits zwei Wochen, nachdem Anmeldedaten im Dark Web offengelegt worden waren, mehrere NTLM-Authentifizierungsversuche gegen das VPN. Die Multi-Faktor-Authentifizierung (MFA) wurde im VPN nicht konfiguriert.
• Erkundung und Erfassung: Die Gruppe wurde dabei beobachtet, wie sie die Befehle nltest.exe sowie net.exe ausführte, um Domänencontroller zu erfassen.
  Cisco Talos beobachtete zudem, wie der Akteur die Berechtigungsstufen verschiedener Benutzer überprüfte, indem er den Befehl whoami sowie tasklist und netscan zur Erfassung von Prozessen und Netzwerken einsetzte.
• Zugriff auf Anmeldedaten und deren Exfiltration: In den von Cisco Talos analysierten Vorfällen gab es einen passwortgeschützten Ordner, der Tools enthielt, die zum Diebstahl von Anmeldedaten genutzt werden konnten. Cisco Talos konnte nicht jede Datei in diesem Ordner überprüfen, geht jedoch davon aus, dass dies „auf die Verwendung von Mimikatz, mehreren von NirSoft veröffentlichten Dienstprogrammen zur Passwortwiederherstellung sowie benutzerdefinierten Skriptdateien hindeutet“.
  Die Registrierung wurde geändert, indem die Einträge „ “ und „WDigest UseLogonCredential“ () aktiviert wurden, wodurch Anmeldedaten im Klartext im Arbeitsspeicher gespeichert werden konnten. Die Daten wurden anschließend in einer einzigen Textdatei zusammengefasst und an einen vom Angreifer kontrollierten SMTP-Server weitergeleitet.
• Spuren der Datenexfiltration: Die Angreifer haben die gestohlenen Daten mit WinRAR gepackt und bei der manuellen Überprüfung Open-Source-Tools wie mspaint.exe, notepad.exe sowie iexplore.exe genutzt, um Dateien zu untersuchen und nach wichtigen Informationen zu suchen.
  In jüngster Zeit nutzt die Gruppe ein Open-Source-Tool namens Cyberduck, um Dateiübertragungen auf Cloud-Server – häufig zu Backblaze – zu ermöglichen. Dabei werden Einstellungen für mehrteilige Uploads verwendet, um groß angelegte Datenexfiltrationen zu erleichtern und die Aktivitäten in den legitimen Datenverkehr einzubinden.
• Erweiterung von Zugriffsrechten und laterale Bewegung: Gestohlene Zugangsdaten ermöglichten den Zugriff auf mehrere IP-Adressen und Netzwerkfreigaben. Die Angreifer änderten die Firewall- und RDP-Einstellungen, fügten Konten zur lokalen Administratorengruppe hinzu und richteten Netzwerkfreigaben ein, die uneingeschränkte Zugriffsrechte gewährten. Zu den beobachteten RMM-Tools zählen AnyDesk, ScreenConnect und QuickAssist.

[Hacker benötigen keine Malware, wenn sie Ihren Helpdesk austricksen können – erfahren Sie, wie Sie Social Engineering verhindern können, bevor es Ihren Daten den Zugang ermöglicht]

• Umgehung von Sicherheitsmaßnahmen: Der Angreifer nutzte eine verschleierte PowerShell-Datei, um AMSI und die TLS-Zertifikatsprüfung zu deaktivieren sowie den eingeschränkten Administratorzugriff zu aktivieren. Der Schauspieler versuchte zudem, EDR mithilfe von Tools wie „dark-kill“ und „HRSword“ zu deaktivieren.
• Auswirkungen und Behinderung der Wiederherstellung: Cisco Talos stellte fest, dass Fernzugriffstools wie der Cobalt Strike Loader und SystemBC vor der Ausführung der Ransomware eingesetzt wurden.
• Qilin-Ransomware: Cisco Talos hat zudem die Variante „Qilin.B“ entdeckt, die sich durch ihre Strategie mit zwei Verschlüsselungsmodulen und ihre gezielte Ausnutzung fortschrittlicher Virtualisierungstechnologien auszeichnet. Diese Variante unterstützt den Einsatz von zwei Verschlüsselungsprogrammen:
  1. encryptor_1.exe, das sich über PsExec auf mehrere Hosts ausbreitet 2. encryptor_2.exe, das von einem einzelnen System aus ausgeführt wird, um zahlreiche Netzwerkfreigaben zu verschlüsseln

Die Variante nutzt zudem PowerShell-Befehle, um AD-Hostnamen aufzulisten und RSAT-Module zu installieren; sie greift gezielt auf ESXi-Umgebungen ab, indem sie Root-Passwörter ändert und Cluster-Schutzmechanismen deaktiviert, und ändert die Einstellungen für symbolische Verknüpfungen über „ “ sowie „fsutil “, um einen umfassenderen Dateizugriff zu erlangen.

Anschließend wird der Akteur damit beginnen, sich seitlich zu bewegen, Änderungen am Volume Shadow Copy Service vorzunehmen, alle Schattenkopien zu löschen und die Lösegeldforderung in jedem verschlüsselten Ordner abzulegen. Jede Lösegeldforderung enthält eine Tor-URL für Verhandlungen sowie eine eindeutige Opfer-ID, die in die Dateiendung eingebettet ist und den Zugriff auf ein spezielles Portal für die Zahlung und weitere Anweisungen ermöglicht.

Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium

Die Verwendung von zwei Verschlüsselungsprogrammen, cloudbasierter Datenexfiltration sowie Fernzugriffstools wie AnyDesk und ScreenConnect durch Qilin zeugt von einer ausgereiften und modularen Angriffsarchitektur. Darüber hinaus zeugt ihre Fähigkeit, sich in verschiedenen Umgebungen wie Windows, ESXi und der Cloud zurechtzufinden, von einem tiefgreifenden Verständnis der Unternehmensinfrastruktur.

Vor diesem Hintergrund ist es jedoch nicht überraschend, dass sich Qilin zu einer derart aktiven und erfolgreichen RaaS-Gruppe entwickelt hat. Ihre Fähigkeit, monatlich mehr als 40 Opfer zu identifizieren, ist beeindruckend und macht dies zu einer globalen und gut skalierten Operation.

„Water Saci“ verbreitet sich über WhatsApp

Trend Micro hat kürzlich einen Forschungs veröffentlicht, der sich mit einer aktiven Malware-Kampagne namens „Water Saci“ befasst, die über eine sich selbst verbreitende Infektionskette auf WhatsApp-Web-Sitzungen abzielt. Die Malware nutzt skriptbasierte Loader (VBS + PowerShell) zur dateilosen Ausführung, kapert Browsersitzungen und automatisiert den Versand von WhatsApp-Nachrichten, um base64-encoded schädliche ZIP-Dateien mit zufällig generierten Dateinamen an alle Kontakte und Gruppen zu verbreiten. Er zeichnet sich durch eine ausgeprägte Persistenz und eine Befehlssteuerung in Echtzeit per E-Mail aus und weist ähnliche Vorgehensweisen wie der Banking-Trojaner „Coyote“ auf.

Details zur Angriffskette

Die Untersuchung von Trend Micro ergab, dass „Water Saci“ eine streng strukturierte Infektionskette nutzt, die über WhatsApp Web ausgelöst wird. Die Kampagne beginnt mit dem Herunterladen verdächtiger Dateien und entwickelt sich zu einer vollständigen Übernahme der Sitzung sowie zu einer automatisierten Verbreitung.

Zu den wichtigsten Phasen gehören:

• Erste Phase: Der Angriff beginnt, wenn ein Opfer ein ZIP-Archiv mit dem Namen „ Orcamento-2025*.zip“ von der Adresse herunterlädt und entpackt. Im Inneren befindet sich ein verschleierter VBS-Downloader (Orcamento.vbs), der einen PowerShell-Befehl ausgibt, um tadeu.ps1 direkt im Speicher mithilfe von New-Object Net.WebClient auszuführen, wodurch eine dateilose Ausführung ermöglicht wird und auf fest codierte Standardwerte zurückgegriffen wird, falls C2 nicht erreichbar ist.
• Täuschende Aufmachung: Das PowerShell-Skript zeigt ein Banner an, das sich als „WhatsApp Automation v6,0“ ausgibt, und stellt anschließend eine Verbindung zu seiner Command-and-Control-Infrastruktur (C2) her, um Ziellisten, Nachrichtenvorlagen und Zeitkonfigurationen abzurufen. Es erstellt einen temporären Arbeitsbereich, lädt die WA-JS-Automatisierungsbibliothek von GitHub herunter und speichert eine schädliche Nutzlast zur späteren Verwendung.
• Browser-Hijacking: Die Malware überprüft die installierte Chrome-Version, lädt den passenden ChromeDriver herunter und installiert das Selenium-PowerShell-Modul für automatisierte Browsing-Aufgaben. Es beendet Chrome-Prozesse, löscht alte Sitzungen und kopiert das Chrome-Profil des Opfers (Cookies und Tokens), um die WhatsApp-Authentifizierung ohne Scannen eines QR-Codes zu umgehen. Chrome wird mit Automatisierungs-Flags neu gestartet, die darauf ausgelegt sind, einer Erkennung zu entgehen, und WA-JS wird eingebunden, um die vollständige Kontrolle über WhatsApp zu erlangen.
• Verbreitung und Datenexfiltration: Während die gekaperte Sitzung aktiv ist, erfasst die Malware alle WhatsApp-Kontakte und leitet diese an den Server C2 weiter. Anschließend verbreitet es schädliche ZIP-Dateien unter Verwendung der base64 -Kodierung, zufällig generierter Dateinamen und personalisierter Nachrichten, während die Angreifer die Kampagne auf den infizierten Rechnern in Echtzeit steuern, anhalten, fortsetzen und überwachen können.

SORVEPOTEL-Backdoor

Das heruntergeladene ZIP-Archiv enthält die Dateien „ “, „Orcamento.vbs“ und „“, die auch als „SORVEPOTEL“-Backdoor bekannt ist. Diese Komponente nutzt fortschrittliche Techniken zur Verhinderung von Analysen, darunter Sprachprüfungen, um die Ausführung auf portugiesische Systeme zu beschränken, die Erkennung von Debuggern sowie einen WMI-basierten Mutex, um die Ausführung als Einzelinstanz sicherzustellen. Werden Analyse-Tools erkannt, löst die Malware eine Selbstzerstörungsroutine aus.

Die Persistenz wird durch verschiedene Mechanismen erreicht, darunter Registrierungsänderungen und geplante Aufgaben unter Verwendung einer dort abgelegten Kopie mit dem Namen „ “, „WinManagers.vbs“ ( ) im Verzeichnis „“ sowie „C:\ProgramData\WindowsManager\“ ().

Trend Micro ist der Ansicht, dass die ausgefeilteste Funktion von SORVEPOTEL in seiner Dual-Channel- C2 -Architektur liegt:

• Abruf per E-Mail: Die Malware nutzt IMAP-Verbindungen zu fest programmierten E-Mail-Konten unter terra.com.br, um C2 Server-URLs und Konfigurationsdaten abzurufen. Diese E-Mails enthalten verschiedene Arten von URLs (Daten-Endpunkte, Backup-Server und die Übermittlung von PowerShell-Payloads). Die Angreifer führten später für diese Konten die Zwei-Faktor-Authentifizierung (MFA) ein, was zwar zu betrieblichen Verzögerungen führte, jedoch die Sicherheit ihrer Infrastruktur verbesserte.
• HTTP-Abfrage zur Live-Steuerung: Sobald die URLs abgerufen wurden, wechselt die Malware zu einer aggressiven HTTP-Abfrage, um Befehle in Echtzeit auszuführen. Dieser Mechanismus ermöglicht es Angreifern, botnetzähnliche Vorgänge auf infizierten Rechnern anzuhalten, fortzusetzen und zu koordinieren, wodurch eine dynamische Steuerung und Anpassungsfähigkeit während der Kampagnen gewährleistet wird.

Zu den unterstützten Befehlen gehören unter anderem das Abrufen von Systeminformationen, die Ausführung von PowerShell-Befehlen, das Erstellen von Screenshots, die Auflistung von Prozessen, Dateioperationen sowie die Steuerung der Systemstromversorgung (Neustart/Herunterfahren).

Die Entwicklung von Water Saci und mögliche Verbindungen zu Coyote

Die Analyse von Trend Micro zeigt, dass „Water Saci“ erhebliche technische und operative Ähnlichkeiten mit dem Banking-Trojaner „Coyote“ aufweist, was darauf hindeutet, dass beide Kampagnen möglicherweise aus demselben brasilianischen Cyberkriminalitäts-Ökosystem stammen.

Zu den wichtigsten Überschneidungen zählen:

• Nutzung des WhatsApp-Web-Session-Hijacking zur Selbstverbreitung
• Browser-Automatisierung über ChromeDriver und Selenium in Kombination mit WA-JS-Injektion
• Fortgeschrittene Techniken zur Verhinderung von Analysen, wie beispielsweise Überprüfungen auf portugiesische Sprache und die Erkennung von Debuggern
• Dauerhafte Präsenz durch Änderungen an der Registrierungsdatenbank, geplante Aufgaben und hinterlegte Skripte

Diese Überschneidungen verdeutlichen einen allgemeinen Trend: Angreifer wechseln von auffälligen, kompilierten Payloads zu verdeckten, skriptgesteuerten Angriffen, die legitime Browserprofile und Messaging-Plattformen ausnutzen.

Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium

Die Verlagerung auf WhatsApp Web als Infektionsweg verdeutlicht eine bedeutende Weiterentwicklung der Social-Engineering-Taktiken von „ “. Angreifer nutzen mittlerweile vertrauenswürdige Kommunikationsplattformen, um herkömmliche, auf E-Mails basierende Abwehrmaßnahmen zu umgehen und die Vertrautheit der Nutzer auszunutzen.

Da die Kampagne auf eine dateilose Ausführung und Echtzeitsteuerungsfunktionen zurückgreift, ist sie zudem schwerer zu erkennen und einzudämmen. Diese Bedrohung sollte man im Auge behalten, insbesondere angesichts ihrer Weiterentwicklung und ihrer neuesten Fähigkeiten.

Haben Sie Einblicke in diese Geschichten, die Sie gerne weitergeben möchten? Besuchen Sie das Tanium-Diskussionsforum unter, um eine Diskussion zu starten.

Wenn Sie sich weiter informieren möchten, lesen Sie unsere aktuellen Zusammenfassungen zu Cyber-Bedrohungsinformationen aus der Reihe „ “ unter.