Cybersecurity-Teams beobachten derzeit eine neue Kampagne, bei der FTP-Banner Dead Drops als Transportweg für Malware-Befehle dienen. Dabei nutzen die Angreifer FTP-Startmeldungen, die ein Server dem Client direkt nach der Verbindung ausgibt, um mehrstufige Zugriffe vorzubereiten. Konkret stehen zwei bislang unbekannte Remote-Access-Trojaner im Fokus: E4del und PINHOLE.
Die Idee ist nicht völlig neu, aber die Ausprägung schon: Zwar missbrauchen Täter regelmäßig legitime Dienste, um zusätzliche Command-and-Control-(C2)-Infrastruktur zu tarnen und den Datenverkehr unauffällig wirken zu lassen. Neu ist jedoch, dass diese ungewöhnliche „Dead Drop“-Logik erstmals live im Kontext von FTP-Bannern auftaucht.
Was sind FTP-Banner Dead Drops?
Ein FTP-Banner ist eine Willkommens- oder Textzeichenkette, die ein FTP-Server beim Verbindungsaufbau an den Client sendet. Genau diese erste Antwort wird in dieser Kampagne zur Schnittstelle für die nächsten Schritte: Die Forscher beschreiben, dass sich „Stager“ Befehle direkt aus der anfänglichen Protokollantwort ziehen können.
In der Praxis bedeutet das: Sobald ein Client eine FTP-Verbindung öffnet, „liegt“ die erste Anweisung bereits im Banner. Das kann die nachgelagerte Logik beschleunigen und die Zustellung in eine Stelle verlagern, die viele Sicherheitschecks nur begrenzt detailliert auswerten.
Allerdings kommt diese Methode nicht ohne Haken daher: Im Vergleich zu webbasierten Dead Drops gilt die FTP-Variante als weniger stealthy, weil Kontrollsysteme FTP-Zugriffe auf unbekannte Server eher auffällig finden können.
E4del: Von FTP-Bannern zu interaktivem Remote-Zugriff
Bei E4del zeigt sich eine mehrstufige Kette, die über FTP-Banner Befehle nachlädt. Ein im Bericht genannter Pfad startet mit einem FTP-Banner unter 157.254.194[.]31:21. Darin ist eine Logik enthalten, die einen zweiten FTP-Banner von 167.148.41[.]164:21 abruft.
Dieser zweite Schritt führt zu einer PowerShell-Ausführung, die wiederum einen Binärbestandteil aus einem ZIP-Archiv herunterlädt, extrahiert und startet. Ziel der Kette ist die Auslieferung von E4del, einem RAT auf Node.js, der in eine digital signierte Electron-Anwendung eingebettet sein soll und dabei als legitime Software getarnt wird.
Die Funktionalität von E4del umfasst laut Analyse typische Fähigkeiten für persistente Angriffe: Defense Evasion, Persistenz, Systemfingerprinting und verschlüsselte C2-Kommunikation. Darüber hinaus unterstützt die Schadsoftware eine Reihe operativer Aktionen wie einen interaktiven Reverse Shell, Screenshot-Erfassung, Live-Desktop-Streaming, Dateitransfers sowie die nachträgliche Bereitstellung weiterer Payloads.
Dynamisches „Beaconing“ zur Tarnung
Ein zentraler Punkt im Verhalten ist das Beaconing: E4del soll seine Checks in den C2-Verkehr anpassen, um normalen Netzwerkverkehr ähnlicher zu werden. Laut SOCRadar implementiert der Trojaner ein mehrstufiges Jitter-System und wechselt abhängig von der Zeit seit der letzten Aufgabe zwischen Zuständen.
Der Ablauf lässt sich in drei Phasen einteilen:
- Active (erste 20 Sekunden nach Befehlsannahme): In dieser Phase erfolgen kurzfristige Aktivitäten.
- Semi-Active (wenn 20–40 Sekunden keine neuen Tasking-Kommandos ankommen): Der Interval wird auf etwa 2 bis 5 Sekunden verlängert.
- Inactive (nach 40 Sekunden ohne Aktivität): Die Abfragen werden weiter reduziert, auf grob 5 bis 9 Sekunden.
Dieses Muster soll helfen, die Frequenz und Rhythmik der Kommunikation an „realistischere“ Muster anzulehnen.
Wie gelangen Nutzer in den Angriff? LNK-Umleitung und Staging
Der Angriff beginnt nach den beschriebenen Beobachtungen über Shortcut-File-Phishing. In einem Fall verwenden die Angreifer spanischsprachige Köder im Zusammenhang mit Gutscheinansprüchen, um Nutzer dazu zu bringen, eine Windows-Shortcut (LNK) auszuführen.
Die LNK-Aktion dient dabei als Einstiegspunkt: Anschließend wird die nächste Stufe über die FTP-Banner-Logik geladen. Danach folgt eine Verbindung zu einem WebDAV-Server, der eine DLL-Komponente bereitstellen soll. Ausgeführt wird über rundll32.exe, wobei conhost im Ablauf eine Rolle spielt.
Damit verbindet die Kampagne verschiedene Missbrauchsmuster: Erst die LNK-Ausführung als Trigger, dann der Wechsel in FTP-Banner Dead Drops als Befehlsquelle und schließlich die technische Implementierung über gängige Systemkomponenten.
WebDAV-Variante und weitere Kampagnen im Umfeld
Die WebDAV-basierte Herangehensweise taucht im Kontext weiterer Aktivitäten auf. Laut Bericht wurde ein ähnlicher Ansatz auch mit ClearFake verknüpft, bei dem unter anderem WordlistLoader und Amatera Stealer über ClickFix-Köder verteilt werden. Dazu wurde bereits von Microsoft sowie Gen Threat Labs berichtet.
Charakteristisch für dieses Bedrohungsumfeld ist, dass Angreifer legitime Websites kompromittieren und dann Fake-CAPTCHA-Köder einsetzen. Die Zielrichtung ist klar: Nutzer sollen mit Klick- und Decoy-Elementen dazu gebracht werden, bösartige Befehle auszuführen.
PINHOLE: Dead Drops über andere Plattformen und Cloudflare Workers
Neben E4del missbrauchen die Täter auch PINHOLE als zweite Malware-Familie, die als deutlich fortgeschrittener eingeschätzt wird. Hier nutzen die Angreifer ebenfalls FTP-Banner-Logik als Dead Drop, jedoch mit einem anderen Kerngedanken: Hochwertige Plattformen sollen als DDRs dienen, um die C2-Serverdetails zu ermitteln und den Kommunikationsweg über Cloudflare Workers zu verschleiern.
Ein Beispiel führt zu einem FTP-Banner unter 209.99.185[.]38:21. Das Banner enthält demnach Befehle, die in PowerShell das MSXML2.XMLHTTP-COM-Objekt nutzen, um ein sekundäres Skript von einer HTTPS-URL abzurufen. Anschließend wird das Skript als %TEMP%u.cmd gespeichert, ausgeführt und wieder gelöscht, um Spuren zu minimieren.
Unpacker, Halo’s Gate und APC-Injection
Das Skript agiert als Dropper, der die Hauptnutzlast vorbereitet. Diese startet zunächst als Wrapper, der sich als Update-Utility einer nicht existierenden Firma namens Weston Computing Systems Ltd. ausgeben soll.
Für die Umgehung von Sicherheitssoftware wird außerdem die Halo’s Gate-Technik eingesetzt. Ein erfolgreich aufgelöstes C2 ermöglicht danach die Abfrage eines weiteren Payload-Schritts.
Für die Ausführung folgt eine komplexe Strategie mit Early Bird APC Injection. Dabei wird ein legitimer, zunächst suspendierter Prozess erstellt und die Shellcode-Logik so injiziert, dass sie später über Asynchronous Procedure Calls (APCs) ausgeführt wird. Der Bericht betont, dass dieses Vorgehen darauf abzielt, Erkennung durch AV/EDR zu erschweren, weil klassische Muster weniger direkt auf die Shellcode-Charakteristik abbilden.
Interessant ist zudem die erwähnte mehrstufige Entpackung: Es sollen sechs Schichten durchlaufen werden, bis ein nativer x86-64-PE mit einer Größe von etwa 119 KB extrahiert ist.
Was PINHOLE danach kann
Die finale injizierte Komponente übernimmt die RAT-Funktionalität. Die Kommunikation mit dem C2 erfolgt über HTTP-GET- und HTTP-POST-Anfragen. Damit lassen sich Befehle abholen, Ergebnisse zurücksenden sowie weitere Module übertragen. Zudem soll die Schadsoftware in der Lage sein, Dateien zu laden oder hochzuladen und einen noch nicht näher spezifizierten Browser-Stealer-Modul-Teil zu beschaffen.
PINHOLE verfügt über 14 Kommandos für Aufgaben wie:
- Auflistung von Dateien und Verzeichnissen
- Exfiltration von Dateien
- Ausführung von Payloads oder Binaries
- rekursives Suchen nach Dateien
- Löschen ausgewählter Dateien
- Anzeige laufender Prozesse und Beenden von Prozessen per PID
- Screenshot-Erstellung
- Ausführen von PowerShell-Kommandos
- Initialisieren einer PowerShell-Sitzung über anonyme Pipes
Monitoring: FTP Stats Panel als Steuerinstrument
Ein weiteres Detail aus dem Bericht: Die Angreifer betreiben ein eigenes „FTP Stats Panel“ unter 69.48.228[.]126:5000. Dort sollen sie den Erfolg ihrer Kampagnen überwachen, etwa anhand der Anzahl von Skriptausführungen, der Verbindungszahlen sowie einzigartiger aktiv oder blockiert auftretender IP-Adressen, die mit der FTP-Infrastruktur interagieren.
Zum Zeitpunkt der Analyse zeigte das Panel nur 11 Ausführungsevents, was darauf hindeuten könnte, dass die Kampagne noch relativ neu war.
Warum FTP-Banner Dead Drops relevant sind
Die Verwendung von FTP-Bannern als Dead Drop ist eine kreative Weiterentwicklung im Delivery-Design: Malware kann Befehle direkt in den Protokollstart integrieren und dadurch einen Teil der Kommandokette an eine Stelle binden, die nicht primär als „Command Channel“ wahrgenommen wird. Gleichzeitig bleibt die Methode weniger unauffällig als rein webbasierte Varianten, weil FTP-Verbindungen auf unbekannte Ziele leichter als Anomalie auffallen können.
Auch für die Praxis gilt: Wenn Angreifer die Logik anpassen, könnte sich das Prinzip künftig auch in andere Köder- oder Kampagnenstile übertragen lassen. Der Bericht erwähnt ausdrücklich, dass neben Shortcut-File-Phishing grundsätzlich auch ClickFix-ähnliche Ansätze denkbar sind.
Fazit
Die Fälle E4del und PINHOLE zeigen, wie flexibel Täter inzwischen Befehle zustellen können. Mit FTP-Banner Dead Drops verlagern sie einen wichtigen Teil der Kommandokette in die anfängliche Antwort des FTP-Protokolls. Für Verteidiger heißt das: FTP-Verbindungen und Protokoll-Startmeldungen sollten stärker in Monitoring-Strategien einbezogen werden, damit ungewöhnliche Bannerinhalte und Folgeketten früher auffallen.
Quelle: https://thehackernews.com/2026/08/e4del-and-pinhole-rats-turn-ftp-banners.html
