Angreifer setzen zunehmend auf Fake-Updates installieren: Statt eine eigene Remote-Access-Lösung direkt auszuliefern, tarnen sie die Installation von Remote Monitoring and Management (RMM)-Software als legitime Aktualisierung oder IT-Routine. Ein aktuelles Beispiel ist die Kampagne SMOKE#SCREEN, die gezielt die RMM-Software ScreenConnect für persistente Zugriffe auf kompromittierte Systeme einsetzt. Dabei kommen mehrere technische Bausteine zusammen – von Phishing-Lures über Skript-Dropper bis hin zu verschlüsselten Payloads und Cloud-basiertem Staging.
Parallel dazu warnen Sicherheitsanbieter auch vor einer zweiten, thematisch anders gelagerten Kampagne: gefälschte Cheats im Gaming-Umfeld führen zu einer mehrstufigen Java-Infektionskette und damit zur Informationsdiebstahl- und Überwachungs-Malware Powercat.
Was steckt hinter SMOKE#SCREEN?
Die unter dem Namen SMOKE#SCREEN geführte Kampagne nutzt Social-Engineering-Lures, die an bekannte Software-Welten angelehnt sind – etwa Adobe– und Zoom-Updates, das Durchsehen von Geschäftsdokumenten sowie Werkzeuge zur „Systemwartung“. Diese Inhalte sollen Empfänger dazu bringen, Dateien auszuführen, die in Wahrheit als Einstieg in die weitere Schadensabwicklung dienen.
Am Ende der Kette steht die Installation eines ScreenConnect-Agents. Anschließend verbindet sich die Schadsoftware mit einem vom Angreifer gesteuerten Relay – und ermöglicht so eine fortgesetzte, entfernte Steuerung des betroffenen Systems.
Wichtig: In den vorliegenden Informationen wurde die Aktivität keiner bekannten Tätergruppe eindeutig zugeordnet.
So liefert die Kampagne die Payload: mehrere Wellen, ein Ziel
Die Forscher beschreiben, dass verschiedene Komponenten in mehreren Stufen eingesetzt werden. Dazu gehören unter anderem:
- VBScript-Dropper als anfängliche Ausführungshilfen
- Batch-Datei-Loader
- kompilierte .NET-Module für weitere Schritte
- eine HTML-Phishing-Seite, die die Verbindung zum Staging ermöglicht
Für das Staging wird ein live server auf Basis von WsgiDAV genutzt. Die beschriebenen Details nennen einen Server unter 207.174.0[.]143:8080. Dieser dient dabei nicht nur zum Ausliefern der benötigten Bausteine, sondern auch als Teil der Steuerung über Befehle.
Warum ScreenConnect? Missbrauch legitimer RMM-Tools
Der besondere Fokus für Verteidiger liegt in der Tatsache, dass die Kampagne legitime RMM-Tools missbraucht. Das ist strategisch: RMM-Lösungen sind in Unternehmen häufig vorhanden oder werden zumindest als „normal“ wahrgenommen. Angreifer können dadurch einfacher in vorhandene Prozesse und Sicherheitswahrnehmungen hineinrutschen – ohne zwingend eine maßgeschneiderte Fernzugriffs-Trojaner-Lösung bauen zu müssen.
Die Folge: Sicherheitskontrollen, die primär auf ungewöhnliche Malware-Patterns setzen, können leichter aus dem Tritt geraten. Gleichzeitig entsteht für die Angreifer ein dauerhaft nutzbarer Zugriffskanal.
Von der Phishing-Mail bis zum Agenten: Ablauf in der Praxis
Als Einstieg wird Spear-Phishing bewertet. Die E-Mails enthalten dabei Hinweise auf Aktualisierungen oder Dokumenten-Workflows. Häufig wird ein obfusziertes VBScript genutzt, das vor der eigentlichen Schadensausführung zunächst die Umgebung prüft.
Zu den beschriebenen Anti-Analyse-Checks gehört das Abbrechen, wenn bestimmte Tools laufen. Genannt werden unter anderem:
- Wireshark (wireshark.exe)
- Process Monitor (procmon.exe)
- Oracle VM VirtualBox (vboxservice.exe)
- VMware Tools (vmtoolsd.exe)
- Citrix XenServer (xenservice.exe)
- Fiddler Classic (fiddler.exe)
Wenn die Checks bestehen, wird ein PowerShell-Kommandostring entschlüsselt. Dieser lädt anschließend einen C#-Payload von 207.189.11[.]170 nach und führt ihn aus. In anderen beobachteten Fällen wird die Ausführung über Business-orientierte Lures so gestaltet, dass Empfänger am Ende ein VBScript starten, das schließlich ebenfalls zur ScreenConnect-Installation führt.
Verschlüsselte Steuerelemente und mehrere C2-Cluster
Die Untersuchung der in den MSI/EXE-Payloads eingebetteten Relay-Konfiguration zeigt drei unterschiedliche C2-Cluster. Diese stehen in Verbindung mit thematisch passenden Ködern: Software-Updates, Dokumentenprüfung sowie Dokumentenbetrachter-Decoys.
Zusätzlich wurden Hinweise darauf gefunden, dass die Schadarchitektur nicht „statisch“ ist, sondern sich je nach Ausspielungsweg anpasst. Für Defender ist das relevant, weil sich damit auch die erwartbaren Spuren im System verändern können.
Zeichen für fortgeschrittene Umgehung: AMSI, UAC, SmartScreen
Ein weiterer Abtaster wird als komprimiertes Archiv ausgeliefert. Daraus wird ein Batch-Skript gestartet, das mehrere Schutzfunktionen gezielt beeinflusst:
- Windows Antimalware Scan Interface (AMSI) wird deaktiviert
- die Rechte werden über ein UAC-Prompt erhöht
- SmartScreen-Schutz wird per Registry-Änderungen abgeschaltet
- anschließend wird der Zone.Identifier-Eintrag (ADS) vom heruntergeladenen MSI entfernt
Erst danach wird das MSI zur Installation weiterverwendet. Die Kombination aus weniger sichtbaren Malware-Schritten und dem gezielten Umgehen von Sicherheitsbarrieren ist ein typisches Muster moderner Kampagnen.
Wechselnde Infrastruktur: Phishing-Seiten, Dropbox und Cloudflare-Tunnel
Die Forscher betonen zudem, dass die Lieferstrategie über mehrere vertrauenswürdige Hosting-Dienste rotiert. Ein früher Ansatz nutzt eine Phishing-Seite mit dem Namen zoom-update.html, die die Payload über einen Dropbox Shared Link bereitstellt. Das kann Reputation-basierte Filtersysteme umgehen, weil Dropbox in vielen Unternehmensumgebungen als erlaubte Plattform gilt.
Darüber hinaus wird eine kompilierte .NET-Komponente beschrieben, die einen Cloud-Service für temporäre Zugriffe referenziert. Genannt wird die Nutzung eines Cloudflare Quick Tunnel. Das Staging wird laut den Angaben nicht nur über eine API-Funktion vorbereitet, sondern es wird auch direkt das zugehörige Binärprogramm verwendet, das eine Art kurzlebige „Tunnel“-Infrastruktur aufspannt.
Woran Defender ansetzen können
Die Kampagne zeigt, wie stark sich Angriffswege auf Skripting, Umgehungstechniken und die Nutzung legitimer Tools stützen. Für die Abwehr werden daher konkrete Maßnahmen empfohlen, die sich auf Ausführung, Manipulation von Security-Komponenten und auf RMM-Nutzung beziehen.
Zu den genannten Empfehlungen zählen:
- Ausführung untrusted MSI-Dateien einschränken
- Überwachen, wenn Prozesse versuchen, Security-Produkte zu verändern
- Legitime RMM-Nutzung auditen und Abweichungen erkennen
- Auf auffällige PowerShell– und cmd.exe-Prozesse achten
- Strenge UAC-Einstellungen umsetzen, damit Standardnutzer UAC-Umgehungen nicht leicht ausnutzen können
Zweite Warnung: Fake-Xeno-Cheats liefern Java-Stealer (Powercat)
Neben SMOKE#SCREEN melden Sicherheitsforscher eine weitere Kampagne, diesmal mit Fokus auf das Gaming-Umfeld. Hier sollen gefälschte „Xeno Roblox Cheats“-Installer, die in Gaming-Foren und in Discord-Communities beworben werden, eine mehrstufige Java-Infektionskette starten.
Die Malware heißt Powercat. Sie wird in mehreren Stufen verteilt und zielt auf den Diebstahl sensibler Informationen ab. Dazu gehören:
- Credential-Theft
- Browser-Cookies sowie Konten-Diebstahl (u. a. Discord, Roblox, Minecraft)
- Aufnahme von Daten zu Krypto-Wallets sowie Zahlungsinformationen
- zusätzlich Überwachungsfunktionen wie Keylogging, Webcam-Zugriff und Desktop-Streaming
Die Forscher heben hervor, dass die Payload nicht nur Informationen sammelt, sondern auch Persistence, Remote Access, Dateimanipulation und die Ausführung von Befehlen abdeckt.
Wie die Java-Kette abläuft
Den Angaben zufolge liefen Teile der Kampagne seit Anfang 2026, mit einem stärkeren Anstieg in der zweiten Märzhälfte. Die „Cheats“ kommen dabei als Archive, die eine plausible Xeno-Installation imitieren – inklusive glaubwürdiger Dateinamen.
In der Ausführung wird die Datei xeno.exe angewiesen zu starten. Statt jedoch einen Cheat zu öffnen, startet sie eine erste Stufe der Malware. Anschließend prüft der Code, ob eine Java Runtime Environment vorhanden ist; falls nicht, wird sie extrahiert. Danach wird eine lokale Datei namens XenoIcon.jpg ausgelesen, die offenbar Schlüsselinformationen für die Validierung enthält. Die Kommunikation mit dem Kontrollserver erfolgt über solthere[.]net.
Danach wird ein verschleiertes JAR-Element gestartet, das als decompiler.exe getarnt ist. Dieser Abschnitt führt weitere Checks durch, registriert den Opferkontext und lädt schließlich die finale Powercat-Payload nach.
Welche Anwendungen sind besonders betroffen
Powercat richtet sein Sammeln von Daten auf verschiedene Kategorien. Dazu zählen Webbrowser (z. B. Brave, Chrome, Edge, Opera, Opera GX, Vivaldi), Krypto-Wallet-Apps (u. a. Atomic, Cake Wallet, Exodus, Monero Wallet, SafePal, Tron Wallet), Entwicklungsumgebungen und Tools (z. B. Git, JetBrains-Tools, Microsoft Visual Studio, Python IDLE), Gaming-Launcher sowie Messenger.
Außerdem werden explizit Roblox- und Minecraft-Installationen erwähnt. Für Wallets wie Exodus wird laut den Angaben ein spezifisches Version-Check- und Manipulationsmuster genutzt: Bei passender Version wird das app.asar-Archiv entpackt und Code injiziert, um gültige Token zu erfassen und an den C2 zu übermitteln.
Fazit: Fake-Updates installieren kann mehr als nur „harmlos aussehen“
SMOKE#SCREEN macht deutlich, wie wirkungsvoll Fake-Updates installieren für Angreifer sein kann: Die Inhalte wirken vertraut, die Ausführung nutzt Skripte und verschlüsselte Komponenten, und als Endziel dient die Installation einer RMM-Lösung für dauerhaften Fernzugriff. Damit wird der Angriff nicht nur technisch, sondern auch durch die Täuschung der Wahrnehmung vorangetrieben.
Gleichzeitig zeigt das Beispiel mit Powercat, dass Social-Engineering-Köder auch außerhalb klassischer Software-Updates funktionieren – etwa über Gaming-Themen. Für beide Fälle gilt: Wer Ausführung untrusted Dateien begrenzt, Prozesse bei Sicherheits- und RMM-Aktivitäten genauer überwacht und UAC sowie relevante Sicherheitskonfigurationen konsequent absichert, reduziert die Angriffsfläche deutlich.
Quelle: https://thehackernews.com/2026/08/fake-adobe-and-zoom-updates-install.html
