In dieser Woche befasst sich das Cyber Threat Intelligence (CTI)-Team von Tanium mit drei neuen Bedrohungen, die die aktuelle Bedrohungslage prägen. An erster Stelle steht „Katz Stealer“, eine kürzlich aufgetauchte „Malware-as-a-Service“-Plattform (MaaS), die bei Cyberkriminellen rasch an Beliebtheit gewinnt. Als Nächstes ist das Wiederauftauchen von „Lumma Stealer“ zu verzeichnen, einer berüchtigten Malware zum Diebstahl von Daten. Abschließend befasst sich das Team mit „NailaoLocker“, einer Ransomware-Variante, die auf Windows-Systeme abzielt.
Katz Stealer: Ein berüchtigter „Turnkey“-Infostealer, der es auf Anmeldedaten und Kryptowährungen abgesehen hat
SentinelOne hat auf eine Warnmeldung zu „Katz Stealer“ veröffentlicht, einer neu aufgetauchten MaaS-Plattform, die darauf ausgelegt ist, Zugangsdaten, Daten von Krypto-Wallets und andere sensible Daten zu entwenden.
Katz Stealer bietet Cyberkriminellen eine anpassbare und benutzerfreundliche Plattform für den Datendiebstahl. Der „schlüsselfertige“ Charakter der Malware sowie ihre Tarnfähigkeiten haben zu ihrer raschen Verbreitung beigetragen.
Modulare Nutzlasten und Affiliate-Kampagnen
Partner zahlen für den Zugang zu einem webbasierten Verwaltungsbereich, über den sie maßgeschneiderte Malware-Builds erstellen können. Diese Builds lassen sich durch das Aktivieren bzw. Deaktivieren von Funktionen wie Anti-VM-Prüfungen, Modulen zum Datendiebstahl und Bereitstellungsformaten individuell anpassen. Diese Flexibilität in Verbindung mit einer übersichtlichen Benutzeroberfläche ermöglicht es Angreifern, Kampagnen nahezu reibungslos zu starten und zu verwalten.
Unauffällige Liefer- und Ausführungs-Kette
Katz Stealer gelangt in der Regel über Phishing-E-Mails oder mit Trojanern infizierte Downloads auf den Rechner, die verschleierte JavaScript-Dropper enthalten. Diese Dropper führen PowerShell-Befehle aus, um schädliche Bilddateien abzurufen, in die steganografische Nutzdaten eingebettet sind.
Nach der Installation erweitert die Malware ihre Berechtigungen durch Umgehung der Benutzerkontensteuerung (UAC), sichert ihre Persistenz durch geplante Aufgaben und entgeht der Erkennung durch Anti-Analyse-Prüfungen und Prozess-Hollowing.
Umfassende Funktionen zum Schutz vor Datendiebstahl
Die Malware zielt auf eine Vielzahl von Anwendungen und Diensten ab. Es extrahiert Anmeldedaten und Tokens sowie automatisch ausgefüllte Daten aus Browsern; es sammelt Informationen aus Messaging-, Gaming-, E-Mail-, FTP- und VPN-Clients; und es erstellt Screenshots sowie Audio- und Videoaufnahmen. Seine Funktionen zum Diebstahl von Kryptowährungen sind besonders aggressiv: Das Programm sucht nach über 150 IDs von Browser-Erweiterungen und nach Spuren von Desktop-Wallets.
Umgehungslösungen für Browser-Injektionen und Verschlüsselung
Durch das Einschleusen in Browserprozesse kann Katz Stealer über exponierte APIs auf sensible Daten zugreifen. In der technischen Analyse von SentinelOne wird zudem detailliert beschrieben, wie die Malware Verschlüsselungsmechanismen umgeht, die zum Schutz gespeicherter Anmeldedaten und Wallet-Daten dienen.
Anhaltende „Command-and-Control“-Kommunikation (C2) und fortlaufende Datenexfiltration
Jede Malware-Instanz enthält eine fest programmierte C2 -Adresse und eine Kampagnen-ID. Sobald es aktiv ist, unterhält es eine dauerhafte Verbindung zum C2 -Server und leitet kontinuierlich aktualisierte Opferdaten ab – was seine Rolle als Instrument zur langfristigen Überwachung und zum Datendiebstahl unterstreicht und nicht als einmaliger Angriff.
„Katz Stealer ist kein ‚One-Shot‘-Infostealer; er ist darauf ausgelegt, die Daten des Opfers kontinuierlich zu exfiltrieren.“SentinelOne
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
„Katz Stealer“ ist das jüngste Beispiel dafür, wie Cyberkriminalität zunehmend zu einer Massenware wird und die Eintrittsbarrieren für Angreifer senkt.
Die Tatsache, dass sich „Katz Stealer“ auf Krypto-Wallets und im Browser gespeicherte Anmeldedaten konzentriert, deutet zudem darauf hin, dass sich die Angreifer an moderne Technologie-Stacks in Unternehmen anpassen, um eine möglichst große Wirkung zu erzielen.
„Katz Stealer“ wird mittlerweile von Angreifern in großem Umfang eingesetzt, was möglicherweise zu einer Zunahme von Angriffen führen könnte, die auf Anmeldedaten abzielen. Allerdings wird erst die Zeit zeigen, wie erfolgreich sich dieser Infostealer in einer von Infostealern überschwemmten Landschaft durchsetzen wird.
Der Lumma Stealer kehrt mit verbesserter Tarnung und modularer Leistung zurück
Nach einer Razzia der Strafverfolgungsbehörden im Rahmen der Operation „ Mai 2025“ ist „Lumma Stealer“ mit verbesserten Tarntechniken und einer modularen Architektur zurückgekehrt – wodurch es sich noch schwerer aufspüren lässt und sich an unterschiedlichste Angriffsvektoren anpassen kann.
Trend Micro warnt , dass diese Entwicklung eine erneute Wachsamkeit und mehrschichtige Verteidigungsstrategien erfordert.
Störung der Strafverfolgung und angebliche Wiederherstellung
Im Rahmen der Abschaltaktion wurden über 2 300 bösartige Domains deaktiviert, wodurch die Kommunikation zwischen den infizierten Rechnern und der Infrastruktur von Lumma unterbrochen wurde.
Die Gruppe hinter Lumma behauptete jedoch später in Untergrundforen, dass der Hauptserver nicht beschlagnahmt worden sei, sondern dass man sich vielmehr über eine Sicherheitslücke Zugang verschafft habe. Sie gaben an, dass der Zugriff auf den Server kurz nach der Störung wiederhergestellt worden sei.
Schneller Wiederaufbau der Infrastruktur und Wiederbelebung des Betriebs
Die Telemetriedaten von Trend Micro zeigen, dass die Infrastruktur von „Lumma Stealer“ bereits wenige Wochen nach der Abschaltung wieder in Betrieb genommen wurde. Zwar ging die Aktivität vorübergehend zurück, doch kehrte sie bald wieder auf das Niveau vor der Störung zurück, was auf einen widerstandsfähigen und entschlossenen Angreifer hindeutet.
Veränderung der Taktiken zur Verschleierung von Netzwerken
Bisher stützte sich Lumma in hohem Maße auf Cloudflare, um seine bösartigen Domains zu verschleiern. Nach der Abschaltung stellte Trend Micro eine strategische Neuausrichtung fest: Es nutzen nun weniger Domains Cloudflare, und die Betreiber der Malware haben ihre Infrastruktur auf mehrere Dienstanbieter verteilt, um das Risiko einer Entdeckung zu verringern.
Kampagnen nach der Produktentfernung und Innovationen im Bereich der Auslieferung
Bei den jüngsten Kampagnen wurden irreführende Verbreitungsmethoden eingesetzt, darunter gefälschte Tools und die „ClickFix“-Technik.
ClickFix im Fokus: Die Entwicklung dieser Social-Engineering-Taktik im Überblick
ClickFix gewinnt als bevorzugte Methode zur Verbreitung von Malware weiter an Bedeutung und wird sowohl von Cyberkriminellen als auch von staatlich geförderten Akteuren genutzt. Das CTI-Team von Tanium hat dessen Entwicklung im Rahmen mehrerer Kampagnen genau verfolgt. Hier sind einige der neuesten Erkenntnisse:
• Rogue Tools, ClickFix und BlueNoroff (veröffentlicht am 25. Juni, 2025): CTI untersucht einen sprunghaften Anstieg von ClickFix-Kampagnen, bei denen die Malware „GHOSTPULSE“ zum Einsatz kommt, und stellt fest, dass diese Technik von staatlich gestützten Akteuren aus Nordkorea, dem Iran und Russland übernommen wird.
• Deepfakes, ToyMaker IAB und ClickFix (veröffentlicht am 30. April, 2025): CTI beschreibt detailliert, wie Angreifer ClickFix nutzen, um einen modifizierten Havoc-Demon-Agenten zu verbreiten, und hebt dabei hervor, dass diese Technik auf der Interaktion des Benutzers beruht und zunehmend an Beliebtheit gewinnt.
• „Silk Typhoon“, gefälschte Lösegeldforderungen und ClickFix (veröffentlicht am 12. März, 2025): Dieser Überblick beleuchtet eine Phishing-Kampagne im ClickFix-Stil, die SharePoint und die Microsoft Graph-API nutzt, um heimlich einen modifizierten „Havoc Demon“-Agenten zu installieren.
Lumma Stealer wurde zudem über GitHub-Repositorys und Social-Media-Plattformen verbreitet – was die Flexibilität der Betreiber bei der Ausnutzung vertrauenswürdiger Kanäle zur Verbreitung von Malware verdeutlicht.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Die Rückkehr von „Lumma Stealer“ unterstreicht die Entschlossenheit der Angreifer und ihre Fähigkeit, ihre Taktiken kontinuierlich weiterzuentwickeln, um moderne Abwehrmaßnahmen zu umgehen.
Lumma Stealer ist nicht die einzige Gruppe, die nach ihrer Zerschlagung wieder aufgetaucht ist. Dies macht deutlich, dass Maßnahmen der Strafverfolgungsbehörden zwar den Betrieb erheblich beeinträchtigen können, die Bedrohung jedoch nicht immer beseitigen.
Wie Trend Micro betont, stellen die Betreiber hinter der Malware „ein anhaltendes Risiko für Unternehmen und Privatpersonen weltweit dar“. Schulungen zur Sensibilisierung für Sicherheitsfragen sind neben technischen Schutzmaßnahmen von entscheidender Bedeutung.
NailoLocker Cheese: Eine raffinierte Bedrohung für Windows-Systeme mit integrierter Entschlüsselungsfunktion
Forscher von Fortinet haben „NailaoLocker“ identifiziert, eine Ransomware-Variante, die auf Windows abzielt und den Spitznamen „Cheese“ trägt. Was dieses Programm auszeichnet, ist die Verwendung von SM2 fest programmierten kryptografischen Schlüsseln und einer integrierten Entschlüsselungsfunktion – eine ungewöhnliche Kombination, die Fragen hinsichtlich seiner wahren Absicht aufwirft. Könnte dies eine seltene Chance auf Genesung sein oder eine Falle, die darauf abzielt, Opfer und Forscher in die Irre zu führen?
Unauffällige Bereitstellung durch DLL-Side-Loading
NailaoLocker wird als Trio von Dateien bereitgestellt:
- Eine legitime ausführbare Datei (
usysdiag.exe), die zum seitlichen Laden von DLLs verwendet wird - Eine bösartige Loader-DLL (
sensapi.dll) - Die verschleierte Ransomware-Nutzlast (
usysdiag.exe.dat)
Die Ausführung beginnt, sobald der Angreifer die legitime ausführbare Datei startet, die die schädliche DLL lädt und die Nutzlast direkt in den Arbeitsspeicher entschlüsselt. Um forensische Spuren zu minimieren, gibt der Loader nach der Ausführung seinen eigenen Speicher frei und löscht die DLL.
Verhalten bei der Modusumschaltung und Initialisierung
Die Ransomware ermittelt, ob sie im Verschlüsselungs- oder Entschlüsselungsmodus ausgeführt werden soll, indem sie einen fest programmierten Wert mit einer bestimmten Zeichenfolge („XXXX“) vergleicht. Dieser Schalter scheint intern zu sein, da NailaoLocker keine Befehlszeilenargumente zur Modusauswahl unterstützt.
Bei der Initialisierung öffnet das Programm ein Konsolenfenster für Statusaktualisierungen in Echtzeit und erstellt eine Protokolldatei (lock.log), um den Fortschritt zu verfolgen – was darauf hindeutet, dass keine Absicht besteht, seine Aktivitäten zu verbergen.
Multithread-Verschlüsselung mit SM2 Schlüsselpaaren
NailaoLocker nutzt eine Multithread-Architektur, um den Durchsatz über alle Prozessorkerne hinweg zu maximieren. Es verschlüsselt Dateien mit AES-256-CBC und fügt den betroffenen Dateien die Endung „.locked“ hinzu, wobei diese zudem als versteckt markiert werden. Die Verwendung von SM2 fest programmierten Schlüsselpaaren – eingebettet im ASN.1-DER-Format – durch die Ransomware ist ein charakteristisches Merkmal, das sowohl Verschlüsselungs- als auch Entschlüsselungsroutinen ermöglicht.
Entschlüsselungsmodus: Ein integrierter Wiederherstellungspfad?
Im Entschlüsselungsmodus durchsucht NailaoLocker Verzeichnisse nach verschlüsselten Dateien und versucht, diese mithilfe des integrierten privaten Schlüssels „ SM2 “ wiederherzustellen. Zwar könnte diese Funktion einen Wiederherstellungsweg bieten, doch Fortinet weist darauf hin, dass sie auch als Täuschungsmanöver oder als interne Testfunktion dienen könnte.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Die Entschlüsselungsfunktion von NailaoLocker ist äußerst ungewöhnlich und könnte entweder auf eine vom Entwickler eingebaute Hintertür hindeuten oder einfach auf eine Taktik, um sowohl Analysten als auch Opfer zu verwirren.
Sollten Sicherheitsforscher herausfinden, wie sich der Entschlüsselungsmodus zuverlässig auslösen lässt, könnte diese Ransomware ironischerweise zu einem Lehrbeispiel dafür werden, wie Fehler von Angreifern in Erfolge für die Verteidiger umgewandelt werden können.
Diese Ransomware-Variante zeichnet sich zudem durch die Verwendung eines eingebetteten SM2 -Schlüsselpaars aus, das sich nach Ansicht von Fortinet möglicherweise noch in der Entwicklung befindet.
Haben Sie Einblicke in diese Geschichten, die Sie gerne weitergeben möchten? Besuchen Sie das Tanium-Diskussionsforum , um eine Diskussion zu starten.
Wenn Sie sich weiter informieren möchten, lesen Sie unsere aktuellen Zusammenfassungen zu Cyber-Bedrohungen unter .
