Eine neue, bislang nicht dokumentierte Angriffskette zeigt, wie professionell Angreifer heute vorgehen: In einer Spear-Phishing-Kampagne gelangten sie über einen als „Case Documents“ getarnten Windows-Shortcut (LNK) in das Zielsystem. Im Mittelpunkt der Aktivitäten steht die Kombination HollowFrame Matryoshka – ein mehrstufiger Ansatz aus einem Go-basierten Loader-Framework und einer Rust-basierten Backdoor-Familie, die anschließend weitere Komponenten nachlädt.
Die Forschenden berichten, dass die Kette mit mehreren Technikstufen arbeitet, darunter Privilege Escalation, das gezielte Schwächen von Microsoft Defender-Schutzmechanismen sowie modulare Persistenz. Dadurch kann der Angreifer dauerhaften Fernzugriff aufbauen und Aufgaben wie Erkundung, Dateitransfer und die Auslieferung zusätzlicher Tools umsetzen.
Wie die Kampagne startet: LNK-Datei als Köder
Laut den verfügbaren Informationen beginnt die Intrusion mit einer gezielten E-Mail an Mitarbeitende einer (nicht näher genannten) Rechtsanwaltskanzlei. Die Nachricht enthält einen Link zu einem verschlüsselten Archiv. In diesem Archiv befindet sich ein Windows-Shortcut (LNK), der die Empfänger zum Ausführen bewegen soll.
Damit nicht sofort Misstrauen entsteht, tarnt die Datei sich als „Case Documents“. Wird der Shortcut ausgeführt, startet eine mehrstufige Kette, die nicht nur weitere Payloads bereitstellt, sondern auch Sicherheitskontrollen aushebelt. Ziel ist es, die sichtbare Schadlogik auf mehrere Komponenten zu verteilen.
HollowFrame: modularer Loader mit Persistenz und Anti-Analyse
Bei HollowFrame Matryoshka übernimmt HollowFrame die Rolle eines modularen Loader-Frameworks. Es wird dabei über ein DLL-Sideloading-Setup gestartet: Der Prozess nutzt ein legitimes Windows-Binary („python.exe“) zusammen mit einer bösartigen bzw. manipulierten DLL („python311.dll“). So wird eine Lade-Kette aufgebaut, in der nur ein Teil der Aktivitäten früh sichtbar ist.
Ein weiterer Baustein ist die Vermeidung von Analyseumgebungen. HollowFrame führt Anti-Analyse-Prüfungen durch, bevor es aktiv wird. Die Entscheidung basiert unter anderem auf Systemlaufzeit (Uptime), der installierten Speicherausstattung, der Anzahl von Dateien im Benutzerprofil sowie beobachteter Cursorbewegung. Damit soll das Verhalten in Sandboxes und automatisierten Prüfungen unauffällig bleiben.
Für die Stabilität der Zugriffsaufnahme sorgt Persistenz: HollowFrame richtet dazu eine geplante Aufgabe (Scheduled Task) ein. Dadurch kann die Angriffslogik auch nach Reboots wieder anlaufen, ohne dass ein erneutes Spear-Phishing erforderlich ist.
Verschlüsselter Container und zweite Sideloading-Stufe
Der Go-Loader bringt einen verschlüsselten Container mit. Nach dem Entpacken startet er eine weitere Sideloading-Kette, um schließlich Matryoshka zu installieren. In dieser Stufe wird von einer Datei namens „version.dll“ berichtet, die zur Bereitstellung der nächsten Komponente dient.
Matryoshka: Backdoor mit zwei Kommunikationswegen
Die Backdoor-Familie Matryoshka wurde in zwei Varianten beobachtet. Beide zielen darauf ab, Befehle entgegenzunehmen und Ergebnisse zurückzusenden. Der Unterschied liegt im verwendeten Kommunikations- bzw. Command-and-Control-Mechanismus.
Variante eins arbeitet über HTTP: Matryoshka kommuniziert demnach per HTTP mit einem C2-Server, um eine Shell zu starten und weitere Tools zu übertragen. Variante zwei nutzt GitHub als Grundlage für Command-and-Control. Anstatt einen klassischen, eigens betriebenen Command-Server vorzuhalten, wird eine öffentlich zugängliche bzw. kontrollierte GitHub-Struktur eingesetzt, um befehlsbezogene Daten abzulegen und auszutauschen.
GitHub als C2: „Mailboxen“ pro Opfer
Besonders auffällig ist die GitHub-basierte Variante von Matryoshka. Berichtet wird, dass die Backdoor eine private GitHub-Repository-Struktur („adioziaete/memio“) nutzt, um victim-spezifische Kommandos zu „poll“en, Ergebnisse zu übermitteln und zusätzliche Payloads herunterzuladen.
Die Forschenden beschreiben das System als Sammlung von pro Host getrennten Ablagebereichen. Ein Opfer erhält ein dediziertes Verzeichnis, dessen Name sich aus einem Muster wie <computer>_<username> zusammensetzt. In diesen Ordnern liegen Dateien wie „beacon.json“, „cmd.json“ und „result.json“; in manchen Fällen existiert zusätzlich ein Ordner „upload/“ für den Dateitransfer.
Dieses Design ermöglicht es dem Betreiber, Aufgaben und Ergebnisse pro Endpunkt über GitHub zu organisieren, ohne eine separate, maßgeschneiderte Infrastruktur für den Befehlskanal betreiben zu müssen. Gleichzeitig entstehen durch den Versionsverlauf der Repository-Änderungen zumindest im Hintergrund Spuren, die sich aber ändern können, wenn Commits oder das Repository entfernt werden.
Auch Details zur zugehörigen GitHub-Nutzerkennung werden genannt: Die Kontoerstellung soll am 6. Januar 2023 erfolgt sein, Aktualisierungen am Profil datieren bis zum 7. Juni 2026. Wer tatsächlich hinter der Aktivität steckt, bleibt unklar.
Was Angreifer mit der Kombination HollowFrame Matryoshka erreichen
In Summe verschaffen HollowFrame Matryoshka dem Angreifer eine persistente Präsenz für Fernkommandos. Dabei geht es nicht nur um das Ausführen von Befehlen. Die Forschenden ordnen der Kette insbesondere folgende Fähigkeiten zu:
- Remote Command Execution (Fernkommandos) auf betroffenen Systemen
- Erkundung im Umfeld von Active Directory
- Dateitransfer zwischen Angreifer- und Opferumgebung
- Auslieferung zusätzlicher Tools im weiteren Verlauf der Kampagne
Diese Werkzeuge können – je nach späteren Modulen – potenziell darauf abzielen, Zugangsdaten zu stehlen, sich seitlich innerhalb des Netzwerks zu bewegen (Lateral Movement) und so eine breitere Kompromittierung innerhalb der Domain zu unterstützen.
Warum die mehrstufige Kette die Erkennung erschwert
Ein zentrales Prinzip der beschriebenen Vorgehensweise ist die Aufteilung der bösartigen Funktionalität auf mehrere Stufen. Laut den Forschenden reduziert jede Phase die Menge an schädlichem Verhalten, die in der jeweils vorherigen Stufe sichtbar ist. Damit wird es für Detektionsmechanismen schwieriger, einen vollständigen „Tatablauf“ aus nur einem einzelnen Artefakt abzuleiten.
Zusätzlich bedeutet die Trennung von Loader, Backdoor und Kommunikationslogik, dass keine einzelne Komponente bereits das gesamte Bild liefert – weder hinsichtlich der Infektionslogik noch in Bezug auf das komplette Command-and-Control-Setup. Für Security-Teams kann das die Zuordnung (Attribution) und die technische Erkennung deutlich verkomplizieren.
Beispielhafte Zielumgebung und Ablauf auf zwei Endpunkten
Die Aktivität wurde in einem konkreten Szenario beobachtet: Die Intrusion zielte auf zwei Endpunkte innerhalb einer Anwaltsumgebung. Welche Systeme genau betroffen waren, bleibt in den verfügbaren Angaben offen.
Der entscheidende Punkt ist jedoch der Ablauf: Der als „Case Documents“ getarnte LNK triggert eine PowerShell-basierte Komponente, die nächste Stufen von einer Remote-Quelle nachlädt. Als Beispiel wird dabei eine IP-Adresse genannt, von der die weiteren Komponenten bezogen werden.
Fazit: HollowFrame Matryoshka als Beispiel für moderne Loader- und C2-Strategien
Die beobachtete Spear-Phishing-Kampagne zeigt, wie effektiv moderne Angriffsketten sein können, wenn mehrere Techniken kombiniert werden: getarnter Einstieg über LNK, DLL-Sideloading, modulare Loader-Mechanismen mit Persistenz, Anti-Analyse-Prüfungen sowie eine Backdoor, die je nach Variante über HTTP oder über GitHub als C2-Kanal agiert.
HollowFrame Matryoshka steht damit exemplarisch für ein Vorgehen, das Fernzugriff, Erkundung und die schrittweise Nachladung zusätzlicher Tools ermöglicht – und gleichzeitig durch die Aufteilung der Logik die Detektion erschwert. Für Unternehmen bedeutet das: Nicht nur einzelne Signaturen, sondern vor allem das Zusammenspiel von Host-Verhalten, Ladeketten und Kommunikationsmustern sollte aufmerksam bewertet werden.
Quelle: https://thehackernews.com/2026/07/hollowframe-loader-deploys-matryoshka.html
