Organisationen und KMU werden immer öfter auf gefälschte Software-Webseiten gelockt die eine manipulierte kostenlose Software verteilt die das Fernwartungstool ScreenConnect enthält. Die Versionen laden nach der Installation weitere Schadsoftware wie AsyncRAT nach.
Cyberkriminelle verbreiten das Fernwartungstool ScreenConnect über gefälschte Webseiten, die den offiziellen Seiten bekannter Software-Produkte, darunter OBS Studio, DNS Jumper, DS4Windows, Glary Utilities und Bandicam, täuschend ähnlich sehen. Darüber verschaffen sich die Angreifer dauerhaften Zugriff auf kompromittierte Geräte und laden weitere Schadsoftware wie AsyncRAT nach. Die Kampagne zielt sowohl auf Verbraucher als auch auf Organisationen und Unternehmen ab, die Windows verwenden. Insgesamt identifizierten die Kaspersky-Experten über 90 Domains in zehn Sprachen, unter anderem Deutsch, Englisch, Arabisch, Spanisch, Chinesisch, Portugiesisch und Russisch.
Manipuliertes Fernwartungstool öffnet Angreifern die Tür
Nachdem Kaspersky über seinen Managed-Detection-and-Response-Dienst einen Vorfall registriert hatte, deckte das Unternehmen eine groß angelegte Kampagne auf, bei der Angreifer gefälschte Webseiten nutzen, um Installationsdateien zu verbreiten, die als beliebte Software getarnt sind – darunter OBS Studio, DNS Jumper, DS4Windows, Glary Utilities und Bandicam. Um Anwender auf diese Seiten zu lenken, setzen die Angreifer Suchmaschinenoptimierungstechniken ein, die die gefälschten Webseiten in den Suchergebnissen weit oben platzieren. Insgesamt identifizierten die Kaspersky-Experten mehr als 90 betrügerische Domains, die Teil dieser Masche waren – unter anderem in Deutsch, Englisch, Arabisch, Spanisch, Chinesisch, Portugiesisch und Russisch.
Nutzer, die eine vermeintlich legitime Software von diesen Webseiten herunterluden, erhielten stattdessen das versteckte Fernwartungstool ScreenConnect. Dies erlaubte den Angreifern einen dauerhaften Zugriff auf kompromittierte Geräte und die Installation von AsyncRAT, einen Open-Source-Trojaner, der ihnen die vollständige Kontrolle über die infizierten Systeme verschaffte. Die mit dieser Kampagne in Verbindung stehenden Domain-Registrierungen erreichten im Februar 2026 ihren Höhepunkt; bereits 2025 hatte derselbe Angreifer gefälschte Webseiten verwendet, um schädliche Installationsdateien als Spiele zu tarnen.
Anzeige
Jetzt Newsletter abonnieren
Einmal im Monat die besten News von B2B CYBER SECURITY lesen
Aufklappen für Details zu Ihrer Einwilligung
Es ist für uns eine Selbstverständlichkeit, dass wir verantwortungsvoll mit Ihren personenbezogenen Daten umgehen. Sofern wir personenbezogene Daten von Ihnen erheben, verarbeiten wir diese unter Beachtung der geltenden Datenschutzvorschriften. Detaillierte Informationen finden Sie in unserer
Datenschutzerklärung.
Sie können jederzeit den Newsletter wieder abbestellen. Einen entsprechenden Link finden Sie im Newsletter. Nach einer Abmeldung werden Ihre Daten in kürzester Zeit gelöscht. Eine Wiederherstellung ist nicht möglich. Falls Sie den Newsletter erneut haben möchten, ordern sie diesen einfach neu. Verfahren Sie auch so, wenn Sie eine andere E-Mail-Adresse für Ihren Newsletter nutzen möchten.
Wenn Sie den auf der Website angebotenen Newsletter beziehen möchten, benötigen wir von Ihnen eine E-Mail-Adresse sowie Informationen, welche uns die Überprüfung gestatten, dass Sie der Inhaber der angegebenen E-Mail-Adresse und mit dem Empfang des Newsletters einverstanden sind. Weitere Daten werden nicht bzw. nur auf freiwilliger Basis erhoben. Für die Abwicklung der Newsletter nutzen wir Newsletterdiensteanbieter, die nachfolgend beschrieben werden.
CleverReach
Diese Website nutzt CleverReach für den Versand von Newslettern. Anbieter ist die CleverReach GmbH & Co. KG, Schafjückenweg 2, 26180 Rastede, Deutschland (nachfolgend „CleverReach“). CleverReach ist ein Dienst, mit dem der Newsletterversand organisiert und analysiert werden kann. Die von Ihnen zwecks Newsletterbezug eingegebenen Daten (z. B. E-Mail-Adresse) werden auf den Servern von CleverReach in Deutschland bzw. Irland gespeichert.
Unsere mit CleverReach versandten Newsletter ermöglichen uns die Analyse des Verhaltens der Newsletterempfänger. Hierbei kann u. a. analysiert werden, wie viele Empfänger die Newsletternachricht geöffnet haben und wie oft welcher Link im Newsletter angeklickt wurde. Mit Hilfe des sogenannten Conversion-Trackings kann außerdem analysiert werden, ob nach Anklicken des Links im Newsletter eine vorab definierte Aktion (z. B. Kauf eines Produkts auf dieser Website) erfolgt ist. Weitere Informationen zur Datenanalyse durch CleverReach-Newsletter erhalten Sie unter:
https://www.cleverreach.com/de/funktionen/reporting-und-tracking/.
Die Datenverarbeitung erfolgt auf Grundlage Ihrer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Sie können diese Einwilligung jederzeit widerrufen, indem Sie den Newsletter abbestellen. Die Rechtmäßigkeit der bereits erfolgten Datenverarbeitungsvorgänge bleibt vom Widerruf unberührt.
Wenn Sie keine Analyse durch CleverReach wollen, müssen Sie den Newsletter abbestellen. Hierfür stellen wir in jeder Newsletternachricht einen entsprechenden Link zur Verfügung.
Die von Ihnen zum Zwecke des Newsletter-Bezugs bei uns hinterlegten Daten werden von uns bis zu Ihrer Austragung aus dem Newsletter bei uns bzw. dem Newsletterdiensteanbieter gespeichert und nach der Abbestellung des Newsletters aus der Newsletterverteilerliste gelöscht. Daten, die zu anderen Zwecken bei uns gespeichert wurden, bleiben hiervon unberührt.
Nach Ihrer Austragung aus der Newsletterverteilerliste wird Ihre E-Mail-Adresse bei uns bzw. dem Newsletterdiensteanbieter ggf. in einer Blacklist gespeichert, sofern dies zur Verhinderung künftiger Mailings erforderlich ist. Die Daten aus der Blacklist werden nur für diesen Zweck verwendet und nicht mit anderen Daten zusammengeführt. Dies dient sowohl Ihrem Interesse als auch unserem Interesse an der Einhaltung der gesetzlichen Vorgaben beim Versand von Newslettern (berechtigtes Interesse im Sinne des Art. 6 Abs. 1 lit. f DSGVO). Die Speicherung in der Blacklist ist zeitlich nicht befristet.
Sie können der Speicherung widersprechen, sofern Ihre Interessen unser berechtigtes Interesse überwiegen.
Näheres entnehmen Sie den Datenschutzbestimmungen von CleverReach unter:
https://www.cleverreach.com/de/datenschutz/.
Auftragsverarbeitung
Wir haben einen Vertrag über Auftragsverarbeitung (AVV) zur Nutzung des oben genannten Dienstes geschlossen. Hierbei handelt es sich um einen datenschutzrechtlich vorgeschriebenen Vertrag, der gewährleistet, dass dieser die personenbezogenen Daten unserer Websitebesucher nur nach unseren Weisungen und unter Einhaltung der DSGVO verarbeitet.
Fernzugrifftool steht in KMU auf Whitelist und darf arbeiten
Die Infektion erfolgt über schädliche Archive, die neben der Bibliothek install.res.1033.dll auch die legitime, signierte Microsoft-Datei install.exe enthalten. Die DLL wird per DLL-Sideloading auf das Gerät geladen und startet einen ScreenConnect-Dienst, der auf weitere Anweisungen der Angreifer wartet.
„Die Kampagne zielt sowohl auf Nutzer ab, die kostenlose Programme aus dem Internet herunterladen, als auch auf Unternehmensnetzwerke, in denen Fernzugriffstools häufig auf der Whitelist stehen und mit erweiterten Berechtigungen ausgestattet sind. Sie ermöglicht den Diebstahl von Zugangsdaten in großem Umfang und den unbefugten Zugriff auf Systeme. Die gestohlenen Daten werden typischerweise später in Darknet-Foren weiterverkauft“, kommentiert Denis Kulik, leitender SOC-Analyst bei Kaspersky.
Mehr bei Kaspersky.com
Über Kaspersky
Kaspersky ist ein internationales Cybersicherheitsunternehmen, das im Jahr 1997 gegründet wurde. Die tiefgreifende Threat Intelligence sowie Sicherheitsexpertise von Kaspersky dient als Grundlage für innovative Sicherheitslösungen und -dienste, um Unternehmen, kritische Infrastrukturen, Regierungen und Privatanwender weltweit zu schützen. Das umfassende Sicherheitsportfolio des Unternehmens beinhaltet führenden Endpoint-Schutz sowie eine Reihe spezialisierter Sicherheitslösungen und -Services zur Verteidigung gegen komplexe und sich weiter entwickelnde Cyberbedrohungen. Über 400 Millionen Nutzer und 250.000 Unternehmenskunden werden von den Technologien von Kaspersky geschützt. Weitere Informationen zu Kaspersky unter www.kaspersky.com/
Passende Artikel zum Thema
