Zwei neue Schadsoftware-Familien sind in der Szene aufgefallen: WordlistLoader und SynkLoader. Beide werden genutzt, um Folgemodule nachzuladen bzw. Zugriff auf Systeme zu gewinnen. Besonders auffällig ist dabei die Rolle von WordlistLoader ClickFix, weil die Infektion über manipulierte CAPTCHA-ähnliche Interaktionen in Gang gesetzt wird.
Die Hinweise stammen aus Erkenntnissen von Gen Digital sowie weiteren Security-Analysen. Im Kern geht es um Umwege, die Nutzer dazu bringen, selbst einen gefährlichen Windows-Befehl auszuführen, und dabei möglichst wenig Spuren zu hinterlassen.
So startet die WordlistLoader ClickFix-Kette
Bei den WordlistLoader ClickFix-Kampagnen werden Opfer auf echten Websites „abgeholt“, die kompromittiert wurden. Dort erscheinen Prompts im Stil von CAPTCHA-Überprüfungen. Sobald der Besucher auf „Ich bin kein Roboter“ klickt, führt ihn die Oberfläche in einen bekannten ClickFix-Ablauf.
Statt nur eine erfolgreiche Prüfung zu melden, wird eine Abfolge von Aktionen angestoßen, die letztlich darauf abzielt, dass der Benutzer einen schädlichen Befehl übernimmt und ausführt. Laut den Forschern passiert das über eine auffällig konkrete Aufforderung: Der Browser speichert dabei einen Befehl in der Zwischenablage, und das Opfer soll ihn in das Windows-Fenster „Ausführen“ einfügen.
Warum echte Webseiten der Auslöser sind
Die ClickFix-Dialoge werden laut Analyse durch manipuliertes JavaScript eingeblendet, das in einer Base64-codierten Form in die kompromittierte Seite injiziert wird. Dieses Skript lädt anschließend weiteren Code nach.
Ein zusätzlicher Schritt erschwert die Untersuchung: Die Seite holt sich weiteres JavaScript aus einem sogenannten Smart-Contract, der über die Blockchain abrufbar gemacht wird. Dieser Ansatz wird als EtherHiding beschrieben und soll dafür sorgen, dass Bedrohungsakteure Inhalte austauschen können, ohne dass die Infrastruktur dauerhaft statisch gebunden bleibt.
Von ClickFix zum Loader: versteckte Windows-Ausführung
Der kritische Übergang von der „Captcha“-Maske zur eigentlichen Infektionslogik geschieht über eine Kette von Windows-Kommandos. Dabei wird ein versteckter cmd.exe-Prozess eingesetzt, um die sichtbare Darstellung für das Opfer zu reduzieren.
Im beobachteten Ablauf wird außerdem eine remote WebDAV-Ressource eingebunden. Anschließend startet ein Loader-Mechanismus über rundll32.exe die nächste Stufe. Genau diese Art der „korrigierten“ Ausführung ist entscheidend, um aus dem ClickFix-Aktivierungsimpuls heraus zuverlässig weiterzukommen.
WebDAV-Variante und Parallelen
Die Forschung sieht hier Überschneidungen mit bereits beschriebenen Kampagnen. Microsoft hatte zuvor ähnliche Muster dokumentiert: Ein ClickFix-Prompt löst dabei einen Befehl aus, der cmd.exe startet und dann rundll32.exe verwendet, um eine DLL** aus einer remote WebDAV-Freigabe zu laden – allerdings über eine HTTPS-Anbindung.
In den Aufzeichnungen tauchten mehrere Varianten auf, darunter direktes rundll32-Anstoßen sowie Varianten, die zunächst WebDAV über pushd einbinden. Die Form, die am stärksten zu WordlistLoader passt, beinhaltet zudem headless bzw. verschleierte Ausführungsdetails.
In der fortgeschrittenen Ausprägung wird außerdem mit conhost.exe gearbeitet –headless, wobei sichtbare Konsolenfenster unterdrückt werden. Zusätzlich wird mit Obfuscation über verzögerte Variablenexpansion gearbeitet, um kritische Teile wie pushd-Parameter, rundll32-Kommandos und den Remote-Hostnamen zu verschleiern. Das Ziel: weniger Nutzerwahrnehmung und schwerere statische Analyse.
Wie WordlistLoader Amatera rekonstruiert
WordlistLoader ist dabei eine Zwischenstufe. Sein Zweck besteht laut Gen Digital vor allem darin, eine Shellcode-Struktur so aufzubereiten, dass nachfolgende Module starten können. Gleichzeitig wird ein Schutzmechanismus beschrieben, der darauf abzielt, Spuren im Event Tracing for Windows (ETW) zu reduzieren.
Die Besonderheit liegt in der Art, wie der Shellcode gespeichert und später wiederhergestellt wird: Er liegt in codierter Form als Abfolge englischer Wörter vor, wobei jedes Wort für einen Byte-Wert steht. Damit ändert sich das „Erscheinungsbild“ des Inhalts erheblich und lässt sich weniger leicht auf den ersten Blick als typische Code-Sequenz erkennen.
Gen Digital nennt zusätzlich eine Variante, die nicht auf Wortlisten basiert, sondern auf UUID-Chunking: 16-Byte-Blöcke werden in einem Array codiert, statt über Wörter Byte-Werte abzubilden.
Reflective Loader und Amatera-Ausführung
Am Ende nutzt der Shellcode einen reflective loader, der den eigentlichen Payload entpackt und im Prozesskontext lädt. Ein solcher reflective Loader wurde laut Bericht bereits in früheren ClickFix-Zusammenhängen beobachtet, bei denen ebenfalls Amatera bereitgestellt wurde.
WordlistLoader steht somit im Zusammenspiel mit dem Stealer: Sobald die Rekonstruktion gelingt, folgt die Ausführung von Amatera – in den Berichten auch als ACR Stealer bzw. AcridRain Stealer bezeichnet.
Kontrollierte Infrastruktur: EtherHiding und CDN-Missbrauch
Ein weiterer Punkt betrifft die Dynamik der Infrastruktur. Die Kampagnen wurden offenbar im Laufe der Zeit angepasst, unter anderem mit dem Einsatz von cdn.jsdelivr.net, um bösartiges JavaScript zu hosten. Dabei wird ein legitimes CDN zweckentfremdet.
Security-Analysten weisen darauf hin, dass ein CDN zwar für das Bereitstellen von JavaScript gedacht ist, die Angreifer aber genau diese Position nutzen, um Rogue-Payloads zu verteilen. Gleichzeitig könne die Nutzung von EtherHiding das Austauschen von „verbrannten“ URLs erleichtern: Wenn Verlinkungen entdeckt oder blockiert werden, lassen sich neue funktionierende Varianten nachziehen.
Beispiele kompromittierter Domains
Die Forschung nennt mehrere Websites, über die ClickFix-Prompts ausgeliefert wurden, darunter:
- abogadosrosarinos[.]com
- aptisweb[.]com
- avene-hebergement[.]com
- https-xhamster[.]com
- www.caesarjaco.co[.]id
- skybap[.]shop
SynkLoader: Microsoft-Teams-Phishing und Fake-Lockscreen
Neben WordlistLoader fällt SynkLoader auf, der über eine andere Social-Engineering-Schiene verteilt wurde. Laut Expel wurde die Aktivität Anfang August 2025 erkannt: Angreifer sollen dafür eine Microsoft Teams Phishing-Kampagne genutzt haben, um Anmeldedaten auszuhebeln.
Der Ablauf beginnt mit einer Nachricht an das Ziel, angeblich vom IT Service Desk. Als Absender wurde dabei ein Nutzerformat verwendet, das zu einem Microsoft 365 Standard-Umfeld passt. In der Kommunikation wird der Empfänger überzeugt, ein MSI-Installationspaket herunterzuladen und zu installieren – über einen Azure-Dateispeicher-Endpunkt.
MSI „Cleaner“ als Tarnung
Das MSI wird dabei als „PowerShell Cleaner“ ausgegeben. Beim Ausführen entpackt es ein ZIP-Archiv und führt automatisch einen PowerShell-Script aus, der dann wiederum in den Speicher lädt und dort weiterarbeitet.
Im nächsten Schritt startet ein Python-basierter Loader, der aus drei fest codierten Command-and-Control-Domains auswählt. Er verbindet sich dabei nicht dauerhaft im Sekundentakt, sondern meldet sich nach dem Zufallsprinzip und wartet zwischen den Requests etwa 90 bis 120 Sekunden.
Module von SynkLoader und mögliche Ziele
SynkLoader setzt auf mehrere Module, die abhängig vom Bedarf nachgeladen bzw. ausgeführt werden. Dazu gehören unter anderem:
- System Profiler: eine C#-Komponente, die Informationen über das Zielsystem sammelt.
- Persistence Module: erstellt eine zufällig benannte geplante Aufgabe, die SynkLoader bei Login und täglich um 10:00 Uhr startet.
- PhishLocker: eine DLL, die einen Fake-Windows-Sperrbildschirm ausliefert und damit Zugangsdaten abgreift.
- TrafficRedirector: dient als Rückkanal/Reverse-Proxy, um den Zugriff auf interne Dienste zu ermöglichen oder Traffic umzuleiten.
- Interactive Shell: Remote-Zugriff per RAT-Modul zur Ausführung von PowerShell-Kommandos und Rückmeldung von Ergebnissen.
- StreamMaster: VNC-Modul zum Streamen des Desktops und zur Fernsteuerung von Maus und Tastatur.
- Status Checker: Python-Skript zur Meldung, welche Module laufen.
Ob die Betreiber damit vor allem auf Datendiebstahl, späteren Zugriff oder Angriffe auf Ransomware-Ziele abzielen, bleibt unklar. Die Vermutung geht jedoch in Richtung eines Toolkits, das in Szenarien eines Initial Access Brokers oder einer Ransomware-Umgebung eingesetzt werden könnte.
Was Organisationen aus diesen Mustern ableiten können
Beide Kampagnen zeigen, wie stark Angriffe auf Interaktionsebene und Betriebsumgebungen setzen: Bei WordlistLoader ClickFix werden Nutzer aktiv in eine schädliche Windows-Ausführung „eingewickelt“. Bei SynkLoader wird dagegen das Benutzerverhalten über eine IT-nah formulierte Nachricht sowie einen Fake-Lockscreen ausgenutzt.
Für Unternehmen heißt das vor allem: Sensibilisierung für solche „CAPTCHA“-Aufforderungen, konsequente Kontrolle von Installationspaketen aus externen Quellen sowie die Absicherung von Endpunkten gegen verdächtige Prozessketten (z. B. rundll32.exe in Kombination mit Remote-Shares). Ebenso wichtig ist die Überprüfung typischer Phishing-Indikatoren in Teams-Nachrichten.
Fazit
WordlistLoader ClickFix steht exemplarisch für moderne Umgehungsstrategien: Kompromittierte Websites liefern CAPTCHA-artige Dialoge aus, die am Ende einen Benutzer dazu bringen, einen gefährlichen Befehl auszuführen. Von dort aus rekonstruiert WordlistLoader den nächsten Payload-Schritt und ermöglicht die Ausführung von Amatera – inklusive Mechanismen, die Spuren im System reduzieren sollen.
Parallel zeigt SynkLoader, wie Phishing über Microsoft Teams mit Installations-Tarnung und einem Fake-Sperrbildschirm kombiniert werden kann, um Zugangsdaten zu sammeln. Zusammen liefern die Berichte ein klares Bild: Social Engineering und technische Tarnung arbeiten in diesen Kampagnen Hand in Hand.
Quelle: https://thehackernews.com/2026/08/wordlistloader-delivers-amatera-via.html
