CTI-Zusammenfassung: EDR-Killer, PS1Bot, Charon-Ransomware

In der Zusammenfassung dieser Woche untersucht das Cyber Threat Intelligence (CTI)-Team von Tanium, wie Ransomware-Gruppen zunehmend ein gemeinsames Tool einsetzen, um Endpoint Detection and Response (EDR)-Systeme außer Gefecht zu setzen. Darüber hinaus untersuchen wir eine Malvertising-Kampagne, die das modulare Malware-Framework „ PS1Bot “ verbreitet, und analysieren das Aufkommen der Ransomware „Charon“ – einen Angriff im Stil einer Advanced Persistent Threat (APT), der mit maßgeschneiderten Angriffen auf kritische Sektoren abzielt.

Ein gemeinsam genutztes Tool zur Deaktivierung von EDR-Systemen gewinnt im gesamten Ransomware-Ökosystem zunehmend an Bedeutung

Sophos berichtet unter , dass Ransomware-Gruppen zunehmend ein gemeinsames, hochentwickeltes Tool einsetzen, um EDR-Systeme außer Gefecht zu setzen, der Erkennung zu entgehen und die Durchführung von Angriffen zu optimieren.

[Glauben Sie, dass Ihr EDR Sie ausreichend schützt? Erfahren Sie, wie Transparenzlücken und lange Reaktionszeiten Ihre Endgeräte möglicherweise ungeschützt lassen.]

Das Tool, das vermutlich von RansomHub entwickelt wurde, gilt als Weiterentwicklung von EDRKillShifter. Es nutzt signierte Treiber und Prozessinjektion, um Sicherheitsmaßnahmen zu umgehen.

Auch Hackergruppen wie Blacksuit, Medusa, Qilin, DragonForce, Crytox, Lynx und INC haben das Tool übernommen, was auf eine weit verbreitete Nutzung im gesamten Ransomware-Ökosystem hindeutet.

In Tausenden von Ransomware-Beispielen wurde eine „AV-Killer“-Nutzlast entdeckt

Sophos hat diese Payload in Tausenden von Proben dokumentiert und dabei festgestellt, dass sie häufig im Verlauf eines Angriffs eingesetzt und oft in legitime Dienstprogramme eingebettet wird, um einer Erkennung zu entgehen und Antiviren-Schutzmaßnahmen zu umgehen.

[Erfahren Sie in dieser Tanium-Podcast-Folge mehr über die schwierigen Entscheidungen im Zusammenhang mit der Reaktion auf Ransomware – von der Frage, ob man zahlen soll, bis hin zur Vorbereitung auf den nächsten Angriff.]

So haben die Angreifer beispielsweise in einem Fall die Schadcode-Nutzlast in die Funktion „Clipboard Compare“ von Beyond Compare eingebettet – einem legitimen Dienstprogramm von Scooter Software. Die Angreifer schleusten Loader-Code ein und betteten die schädliche Nutzlast als Ressource ein, zusammen mit weiteren Loader-Komponenten.

Bei der Ausführung entschlüsselte sich die Nutzlast selbst, wodurch Sophos mehrere wesentliche Merkmale identifizieren konnte:

• Der Code ist stark verschleiert und geschützt.
• Es wird nach einem Laufwerk mit einem zufälligen Namen aus fünf Buchstaben gesucht.
• Der Treiber ist mit einem manipulierten Zertifikat signiert.
• Es richtet sich an mehrere Anbieter von Sicherheitslösungen.
• Die Liste der Ziele variiert je nach Probe.

Es wurde bestätigt, dass es sich bei der ausführbaren Datei um einen „AV-Killer“ handelt, der speziell darauf ausgelegt ist, Sophos-Produkte anzugreifen. Sophos weist darauf hin, dass es mehrere Versionen gibt, die sich jeweils hinsichtlich der Sicherheitsprodukte unterscheiden, auf die sie abzielen.

Bei all diesen Varianten versucht das Tool, Prozesse und Dienste aus seiner Zielliste zu identifizieren und zu beenden. Die neueste Variante verwendet einen Treiber, der von der Fuzhou Dingxin Trade Co., Ltd. signiert wurde.

Wie der EDR-Killer in der Regel eingesetzt wird

Die meisten beobachteten Angriffe beginnen mit einem mit HeartCrypt gepackten Dropper, der eine verschlüsselte, EDR-umgehende ausführbare Datei übermittelt und einen Treiber lädt, der mit einem kompromittierten Zertifikat signiert ist.

Die Forscher beobachteten, dass die ausführbare Datei versuchte, einen zugehörigen Treiber zu laden, wobei die Ausführung jedoch häufig durch generische statische Erkennungsmechanismen oder dynamische Schutzmaßnahmen wie „ “, „SysCall“ oder „ “ sowie „HollowProcess“ blockiert wird.

Nach der Bereitstellung des EDR-Killers stellte Sophos eine Ransomware-Warnung für RansomHub fest – obwohl ähnliche Abläufe auch bereits Angriffen anderer Ransomware-Familien vorausgegangen sind.

Fallstudien: MedusaLocker und INC-Ransomware in Aktion

Um zu veranschaulichen, wie dieses Tool in verschiedenen Ransomware-Familien angepasst wird, stellt Sophos zwei bemerkenswerte Fälle vor:

1. MedusaLocker: Sophos berichtet über einen Fall im Zusammenhang mit der Ransomware „MedusaLocker“, bei dem die Angreifer vermutlich eine RCE-Zero-Day-Schwachstelle in SimpleHelp nutzten, um sich zunächst Zugang zu verschaffen. Der AV-Killer wurde über eine SimpleHelp-Komponente namens „ “ (JWrapper-Remote Access) ausgeführt und richtete sich gegen Produkte von ESET, Symantec, Sophos, HitManPro, Webroot und Kaspersky.
2. INC: In dem Bericht „ Juni 2025“ hat Sophos einen INC-Ransomware-Angriff identifiziert, bei dem der Angreifer zwei „Packer-as-a-Service“-Tools einsetzte, um zusätzlichen Schutz zu gewährleisten.

Diese Fälle veranschaulichen, wie das Tool bei verschiedenen Ransomware-Familien angepasst wird.

Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium

Die Kommerzialisierung von EDR-Killern ist eine besorgniserregende Entwicklung. Schädliche Tools werden für ein immer breiteres Spektrum von Angreifern leichter zugänglich und tragen dazu bei, die Geschwindigkeit und das Ausmaß von Angriffen zu erhöhen.

Diese Untersuchung von Sophos verdeutlicht zudem, wie Tools von verschiedenen Ransomware-Gruppen wiederverwendet und angepasst werden. Die verstärkte Zusammenarbeit und der Austausch von Programmcode unter Cyberkriminellen erleichtern die Durchführung solcher Aktivitäten und erschweren die Zuordnung der Verantwortlichen.

Malvertising-Kampagne verbreitet das modulare Malware-Framework „ PS1Bot “

Cisco Talos berichtet , dass im Rahmen einer ausgeklügelten Malvertising-Kampagne derzeit „PS1Bot“ verbreitet wird, ein modulares Malware-Framework, das auf PowerShell und C# basiert. Es stiehlt heimlich Anmeldedaten, erstellt Screenshots und umgeht die Erkennung durch Antivirenprogramme – und das alles, während es vollständig im Arbeitsspeicher ausgeführt wird.

PS1Bot wird über irreführende Anzeigen und SEO-Poisoning verbreitet, läuft vollständig im Arbeitsspeicher ab und entwickelt sich rasant weiter – was eine erhebliche Bedrohung sowohl für die Cybersicherheit von Unternehmen als auch für die der Privatpersonen darstellt.

Kampagnenübersicht: Malvertising und Ausführung im Arbeitsspeicher

Cisco Talos hat eine aktive Kampagne verfolgt, bei der mithilfe von Malvertising ein mehrstufiges Malware-Framework verbreitet wird.

Das Framework stellt zusätzliche Module bereit – wie beispielsweise Informationsdiebe, Keylogger und Tools zur Bildschirmaufnahme –, während es forensische Spuren auf ein Minimum reduziert, indem es vollständig im Arbeitsspeicher ausgeführt wird. Cisco Talos bezeichnet diese auf PowerShell basierende Malware als „ PS1Bot“.

Im Folgenden finden Sie die wichtigsten technischen Erkenntnisse aus der „ PS1Bot “-Kampagne, die verdeutlichen, wie die Malware ihre Tarnung, Persistenz und modulare Funktionalität erreicht:

• Verbreitung: Die Opfer werden durch SEO-Poisoning oder Malvertising dazu verleitet, ein komprimiertes Archiv herunterzuladen, das eine einzige Datei enthält –FULL DOCUMENT.js. Diese JavaScript-Datei fungiert als Downloader und leitet die nächste Phase der PS1Bot -Infektionskette ein.
• Abruf in Phase eins: Bei der Ausführung ruft die Malware ein JScript-Scriptlet ab und führt dessen Inhalt aus, um die nachfolgenden Angriffsphasen vorzubereiten. Dazu gehört das Erstellen eines PowerShell-Skripts im Verzeichnis „ProgramData“ und dessen Ausführung, um eine dauerhafte C2 -Verbindung herzustellen. Die Malware gerät in eine Schleife und kontaktiert kontinuierlich den Server C2 , um weitere Befehle abzurufen.
• PowerShell-Module: Cisco Talos hat festgestellt, dass nach der Erstinfektion mehrere PowerShell-Module bereitgestellt wurden, darunter solche zur Umgehung von Antivirenprogrammen, zur Bildschirmaufnahme, zum Abgreifen von Wallet-Daten, zur Keylogging-Erfassung, zur Informationssammlung und zur Persistenz. Die meisten Module enthalten integrierte Protokollierungskomponenten, die es Angreifern ermöglichen, sowohl die Installations- als auch die Laufzeitaktivitäten zu überwachen, wobei die Aktualisierungen an den C2 -Server gesendet werden.
• Antivirus-Erkennung: Das Antivirus-Erkennungsmodul wird bereitgestellt, nachdem die Malware eine C2 -Verbindung hergestellt hat. Es erfasst Details zu den auf dem infizierten Gerät installierten Antivirenprogrammen, indem es die WMI- „ “ abfragt, und meldet diese Informationen an den C2 zurück.
• Bildschirmfoto: Das Modul zur Bildschirmaufnahme erstellt Screenshots mithilfe einer C#-DLL, die zur Laufzeit über PowerShell ausgeführt wird. Es erstellt eine BMP-Bilddatei, konvertiert diese in das JPEG-Format und überträgt sie an den C2 -Server.
• Grabber-Modul: Das Grabber-Modul zielt auf den lokalen Browserspeicher, Erweiterungsdaten, Anwendungsdaten und Dateien mit Passwörtern ab – wobei der Schwerpunkt vor allem auf dem Diebstahl von Kryptowährungs-Wallets liegt.
• Keylogger: Das Keylogger-Modul erfasst Tastatur- und Mausaktivitäten sowie den Inhalt der Zwischenablage und übermittelt die erfassten Daten an den C2.
• Informationserfassung: Das Modul „ “ (WMIComputerCSHARP ) erfasst System- und Umgebungsdaten, indem es über WMI die Domänenzugehörigkeit abfragt.
• Persistenz: Das Persistenzmodul stellt sicher, dass der Schleifenmechanismus der Malware nach einem Neustart oder dem Beenden der Sitzung erneut ausgeführt wird.

Zusammen verdeutlichen diese Module, wie PS1Bot seine Tarnung und Persistenz auf den infizierten Systemen aufrechterhält.

Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium

Die Tatsache, dass die Kampagne auf SEO-Poisoning und Malvertising setzt, verdeutlicht, wie Angreifer das Vertrauen der Nutzer und Suchmaschinen weiterhin ausnutzen – was die Bedeutung der Aufklärung der Nutzer über sichere Surfgewohnheiten und Downloads unterstreicht, selbst wenn diese aus scheinbar seriösen Quellen stammen.

Der Cisco Talos-Bericht hebt zudem einen weiteren Trend hervor, bei dem native Systemtools wie PowerShell genutzt werden, um einer Erkennung zu entgehen und sich auf dem Gerät mit minimalen forensischen Spuren dauerhaft zu etablieren. Dies erschwert die Aufdeckung außerordentlich.

Die Ransomware „Charon“ taucht mit Taktiken im APT-Stil auf, die auf hochrangige Organisationen abzielen

Trend Micro hat eine neue Ransomware-Variante namens „Charon“ identifiziert, die fortschrittliche Techniken im APT-Stil einsetzt – darunter DLL-Sideloading, Prozessinjektion und Anti-EDR-Funktionen –, um äußerst gezielte und schwerwiegende Angriffe durchzuführen.

Charon-Ransomware: Gezielte Angriffe und technische Parallelen zu Earth Baxia

Die Ransomware „Charon“ wurde erstmals im Rahmen eines gezielten Angriffs im Nahen Osten beobachtet, von dem Organisationen des öffentlichen Sektors und der Luftfahrtbranche betroffen waren. Der Angreifer nutzte das Sideloading von DLLs sowie weitere Techniken, die an die „Earth Baxia“-Kampagnen erinnern. In den individuell angepassten Lösegeldforderungen wurden die Opfer namentlich genannt, was den gezielten Charakter der Aktion unterstrich. Diese Taktiken spiegeln einen zunehmenden Trend wider, wonach Ransomware-Betreiber Methoden im Stil von APTs anwenden.

Der Angriff begann mit der Ausführung einer legitimen Binärdatei, Edge.exe (die während des Angriffs von cookie_exporter.exe umbenannt wurde), die dazu missbraucht wurde, eine schädliche DLL namens msedge.dll per Sideloading zu installieren. Diese DLL fungierte als Loader, entschlüsselte die Ransomware-Nutzlast und fügte sie in einen neuen „ “-Prozess „svchost.exe“ ein. Indem sich die Malware als legitimer Windows-Dienst tarnt, erhöht sie ihre Chancen, herkömmliche Erkennungsmechanismen zu umgehen.

Trend Micro hat aufgedeckt, dass Charon eine mehrstufige Extraktion der Nutzlast einsetzt. Es wurde festgestellt, dass eine scheinbar harmlose Datei – „ “ und „DumpStack.log“ – verschlüsselten Shellcode enthielt, der letztendlich die Ransomware-Nutzlast auslöste. Die forensische Analyse ergab, dass die endgültige Nutzlast durch zwei Verschlüsselungsebenen geschützt war.

[Erfahren Sie, wie Sie sich in der risikoreichen Welt der Ransomware-Verhandlungen zurechtfinden – mit Strategien, die Ihre Daten, Ihren Ruf und Ihren Gewinn schützen.]

Das technische Profil von Charon: Verschlüsselung, Umgehungsmechanismen und Zielauswahlverhalten

Auf der Grundlage dieser Erkenntnisse hat Trend Micro die ausführbare Datei von Charon weiter analysiert und dabei deren ausgefeilte Funktionen sowie ausgereifte Betriebsmerkmale festgestellt:

• Initialisierung und Parameter: Nach der Initialisierung akzeptiert Charon Parameter, die die Speicherung von Fehlerprotokollen, Zielserver oder IP-Adressen, den Verschlüsselungsumfang sowie die Reihenfolge steuern. Außerdem wird ein Mutex mit dem Namen „ OopCharonHere“ erstellt:.
• Verhalten vor der Verschlüsselung: Bevor die Verschlüsselung beginnt, stoppt Charon sicherheitsrelevante Dienste, beendet aktive Prozesse, löscht Schattenkopien und leert den Papierkorb, um eine Wiederherstellung zu verhindern. Anschließend ermittelt das Programm die verfügbaren Prozessorkerne und startet mehrere Threads für die Dateiverschlüsselung.
• Verschlüsselungslogik: Bei der Verschlüsselung vermeidet Charon die Verschlüsselung von Dateien mit den Endungen „ .exe“, „“, „ .dll“, „“, „ .Charon“, „“ sowie von Lösegeldnotiz-Dateien. Verschlüsselte Dateien erhalten die Dateiendung .Charon, und es wird ein Infektionshinweis –„hCharon is enter to the urworld!“ – hinzugefügt. Die Ransomware nutzt die Kryptografie mit elliptischen Kurven gemäß Curve25519 in Kombination mit der Stromverschlüsselung gemäß ChaCha20 .
• Verhalten nach der Verschlüsselung: Nach der Verschlüsselung hinterlässt Charon seine Lösegeldforderung auf allen Laufwerken, in allen Netzwerken und Verzeichnissen.

Zu den weiteren Verhaltensweisen gehören das aktive Scannen nach zugänglichen Netzwerkfreigaben, zugeordneten Laufwerken und UNC-Pfaden sowie deren Verschlüsselung. Charon enthält zudem eine Treiberkomponente, die dazu dient, EDR-Lösungen zu deaktivieren.

[Erfahren Sie, warum sich Ihr Unternehmen durch den alleinigen Einsatz von EDR angreifbar machen könnte – und was wirklich erforderlich ist, um sich gegen moderne Cyberbedrohungen zu schützen.]

Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium

Ransomware-Betreiber greifen zunehmend auf verdecktere und ausgefeiltere Methoden zurück, um ihre Angriffe zu optimieren. Wie Trend Micro feststellt, „zwingt dies Unternehmen dazu, herkömmliche Ansätze zu überdenken und ihre Sicherheitslage durch mehrschichtige Abwehrmaßnahmen zu stärken.“

Trend Micro hat in dem Bericht „ “ zudem einige bewährte Verfahren aus dem Bereich „ “ zusammengestellt, die zum Schutz vor der Ransomware „Charon“ beitragen sollen.

Haben Sie Einblicke in diese Geschichten, die Sie gerne weitergeben möchten? Besuchen Sie das Tanium-Diskussionsforum unter, um eine Diskussion zu starten.

Wenn Sie sich weiter informieren möchten, lesen Sie unsere aktuellen Zusammenfassungen zu Cyber-Bedrohungsinformationen von unter.