Im Februar 2026 identifizierten Sicherheitsexperten eine Reihe bösartiger Aktivitäten, die bereits seit Ende 2025 liefen. Im Zentrum stand eine GoSerpent Backdoor: ein Remote-Access-Trojaner, der als Grundlage der gesamten Angriffskette diente und durch weitere Module ergänzt wurde. Ziel waren vor allem Regierungs- und diplomatische Stellen in Südostasien.
Besonders auffällig ist, dass die Angreifer ihre Werkzeuge nicht zufällig kombinierten. Stattdessen setzten sie ein abgestimmtes Zusammenspiel ein, um Daten zu sammeln, Zugriffsdaten zu stehlen und die Informationen anschließend über Netzwerkwege abzutransportieren. Im Mai 2026 kehrte die Gruppe mit einer erweiterten Tool-Variante zurück, darunter ein neuer RAT und Proxy-Mechanismen.
Überblick: Was die GoSerpent Backdoor antreibt
Die GoSerpent Backdoor ist seit mindestens 2021 aktiv und wurde in späteren Angriffsrunden weiterentwickelt. Die aktuellste Variante tauchte 2026 auf, während ältere Versionen bereits zuvor gegen Opfer in Südostasien eingesetzt wurden. Beide Generationen zeigen das gleiche Grundmuster: erst Zugang schaffen, dann zusätzliche Komponenten nachladen, schließlich sensible Informationen gewinnen und ausleiten.
Im Kern erhält die Backdoor verschlüsselte Befehlsdaten. Daraus werden unter anderem die Adresse eines Command-and-Control-Servers sowie ein Kommunikationspasswort entnommen. Mit diesem Material baut die Schadsoftware die Verbindung auf und übernimmt anschließend die Steuerung über weitere Funktionen und Module.
Kommunikation und Verschleierung der Befehle
GoSerpent verarbeitet Befehle, die als verschlüsselte und base64-kodierte Argumente übergeben werden. Zur Entschlüsselung wird AES-CBC eingesetzt. Die notwendigen Schlüssel werden aus vordefinierten Zeichenfolgen abgeleitet, während ein fester IV-Wert genutzt wird.
Für die eigentliche Kommunikation zwischen der Backdoor und den Steuerservern kommt eine weitere Schutzschicht hinzu: Die Datenübertragung erfolgt über ChaCha20-Verschlüsselung. Als Schlüsselgrundlage dient dabei der SHA256-Hash des Kommunikationspassworts.
Damit nicht genug: Die Backdoor nutzt eine Art Befehlssystem, bei dem bestimmte Kommandowerte unterschiedliche Aktionen auslösen. So wird die Schadsoftware zu einer flexiblen Plattform, die sowohl Netzwerkzugriffe als auch das Nachladen weiterer Module ermöglicht.
Proxy-Funktionen: Umwege für Angreifer
Ein zentraler Baustein im Werkzeugkasten ist die Fähigkeit, SOCKS5-Proxy-Server aufzubauen. Damit können Angreifer den Datenverkehr über kompromittierte Systeme umleiten und gleichzeitig die eigene IP-Adresse verschleiern. In der Praxis erleichtert das den Zugriff auf weitere Netze und Zielsysteme.
Außerdem kann GoSerpent zusätzlich bösartige Tools platzieren. Dazu gehören unter anderem Module für die Dateisammlung sowie Mechanismen zum Credential Dumping. Zum Tarnen setzen die Angreifer Dateinamen ein, die legitimen Systemprozessen ähneln (beispielsweise Dateinamen wie lass.exe oder updates.exe).
Frühe Phase: Dateidiebstahl, Aufbereitung und spätere Exfiltration
In der Anfangsphase steht die Vorbereitung der Datenexfiltration im Vordergrund. Nach dem Start der GoSerpent Backdoor warten die Angreifer typischerweise einige Tage, bevor sie weitere Komponenten für Datensammlung und Credential-Abgriff nutzen. Ziel ist, sensible Dateien zunächst zu sammeln und zwischenzuspeichern.
Ein dafür verwendetes Kernmodul ist ThumbcacheService. Es sammelt Dateien gezielt aus dem System und legt sie so ab, dass sie später effizient archiviert und abtransportiert werden können.
ThumbcacheService: gezielte Sammlung von Dokumenten
ThumbcacheService wird als bösartige DLL in Form eines Windows-Dienstes betrieben. Innerhalb der GoSerpent-Angriffskette übernimmt das Modul die Aufgabe, Dateien zu sammeln und in einer Datenbank abzulegen. Dafür wird eine einfache XOR-Verschlüsselung mit einem Ein-Byte-Schlüssel zur Verschleierung von Strings verwendet.
Die gesammelten Informationen werden in einer Datenbankdatei mit dem Namen thumbcache_605a.db unter C:\
Quelle: https://securelist.com/goserpent-backdoor-in-southeast-asia/120687/
