E4del und PINHOLE: FTP-Banner werden zu versteckten Kanälen für die Verteilung von Windows-RATs

Eine seit Anfang Juli aktive Kampagne

Zwei Remote-Access-Trojaner für Windows namens E4del und PINHOLE verwenden eine ungewöhnliche Methode, um Anweisungen zu empfangen: die von FTP-Servern angezeigten Willkommensbanner.

Die Kampagne wurde im Juli beobachtet und war laut Untersuchungen der öffentlich indexierten Infrastruktur im August 2026 weiterhin aktiv. Im Laufe des Augusts tauchten neue Server auf – ein Hinweis darauf, dass die Betreiber das für die Verteilung genutzte Netzwerk weiterhin verändern.

Die Infektion beginnt wahrscheinlich mit einer Phishing-Nachricht, die ein ZIP-Archiv enthält. Darin befindet sich eine auf Windows-Verknüpfungsdateien .LNK basierende Angriffskette. Diese werden häufig verwendet, um Befehle auszuführen, ohne dem Benutzer direkt eine herkömmliche ausführbare Datei zu präsentieren.

Die Verknüpfung kontaktiert einen FTP-Server und liest den bei der Verbindung zurückgegebenen Text aus. Dieser Inhalt, der normalerweise vor der Authentifizierung eine Servicemeldung anzeigen soll, wird von der Malware als eine Reihe von Anweisungen interpretiert.

Das FTP-Banner als Dead-Drop Resolver

Bei dieser Technik wird das FTP-Banner in einen Dead-Drop Resolver (DDR) umgewandelt. In diesem Modell muss der Server nicht unbedingt als echtes Command-and-Control-Zentrum fungieren. Es reicht aus, wenn er im Banner die von der Malware erwarteten Daten zurückgibt.

Die Datei .LNK verwendet die Serverantwort, um ein PowerShell-Skript abzurufen, das die Infektionskette fortsetzt und die nachfolgenden Komponenten herunterlädt oder startet. Die Verwendung einer Textnachricht als Befehlsträger ermöglicht es den Betreibern, die Verteilungsinfrastruktur vom eigentlichen Payload zu trennen.

Diese Methode hat jedoch auch einen Nachteil. FTP-Verbindungen zu unbekannten Servern können auffälliger sein als die Nutzung legitimer Plattformen wie sozialer Netzwerke, Code-Dienste oder Videoseiten. In früheren Kampagnen wurden DDRs auch auf Diensten wie X, GitHub und YouTube gehostet, wo sich der Datenverkehr leichter im normalen Aufkommen verstecken kann.

Trotz des Erkennungsrisikos ist die Methode flexibel. Dieselbe Logik könnte an ClickFix-Social-Engineering-Szenarien angepasst werden, bei denen das Opfer dazu gebracht wird, manuell Befehle oder vermeintlich notwendige Schritte zur Behebung eines Problems auszuführen.

E4del tarnt sich als gefälschte Discord-Anwendung

E4del ist ein auf Node.js basierender RAT, der in eine digital signierte Electron-Anwendung eingebettet ist. Das Programm gibt sich als Discord aus und nutzt einen plausiblen Namen sowie eine entsprechende Oberfläche, um den Verdacht des Benutzers zu reduzieren.

Eine digitale Signatur belegt nicht, dass eine Anwendung legitim ist. In diesem Fall wird sie innerhalb eines schädlichen Pakets verwendet, das die Node.js-Komponente und die Remote-Access-Funktionen enthält.

E4del kann:

• Befehle über dauerhafte oder temporäre Shells ausführen;
• Screenshots anfertigen;
• den Desktop über WebSockets übertragen;
• weitere Payloads herunterladen und ausführen.

Diese Funktionen ermöglichen es den Betreibern, von der anfänglichen Ausführung zu einer interaktiven Kontrolle des Systems überzugehen. Außerdem können sie visuelle Informationen sammeln, neue Werkzeuge übertragen und zusätzliche Komponenten installieren.

In der Angriffskette wurde auch das Node.js-Modul crypto32.node identifiziert, das offenbar mit einem möglichen Versuch zur Rechteausweitung in Verbindung steht. Das Modul konnte zur Analyse nicht beschafft werden. Daher sind sein tatsächliches Verhalten und das erreichbare Berechtigungsniveau unbekannt.

PINHOLE kombiniert Pinterest, SurveyMonkey und Injection-Techniken

PINHOLE verwendet eine andere Infrastruktur, um die Konfiguration seines Command-and-Control-Servers abzurufen. Die Malware nutzt Pinterest-Pins und Umfragefragen von SurveyMonkey als Datenquellen.

Die kombinierte Nutzung verschiedener Dienste erschwert eine vollständige Unterbrechung der Kommunikation. Das Entfernen eines einzelnen Inhalts oder einer einzelnen Domain reicht möglicherweise nicht aus, da die Malware einen Teil der Konfiguration weiterhin über eine andere Plattform beziehen kann.

Auf dem kompromittierten Gerät begrenzt PINHOLE mithilfe einer Technik namens Shellcode Fluctuation die gleichzeitig im Speicher gehaltene Code-Menge. Der Payload wird aufgeteilt, und jeweils nur ein 4-KB-Abschnitt bleibt im Speicher. Bei Bedarf wird daraus die endgültige Assembly wiederhergestellt.

Anschließend wird der Code über Early Bird APC Injection in den angehaltenen Prozess ApplicationFrameHost.exe injiziert. Mit dieser Methode lassen sich asynchrone Aufrufe vorbereiten, bevor der Prozess seine normale Ausführung beginnt, wobei ein legitimer Prozess als Container dient.

PINHOLE unterstützt 14 Befehle, darunter:

• das Sammeln von Systeminformationen;
• das Hoch- und Herunterladen von Dateien;
• das Ausführen von Befehlen;
• die Verwaltung von Prozessen;
• das Anfertigen von Screenshots;
• die Verteilung eines Moduls zum Diebstahl im Browser gespeicherter Zugangsdaten.

Während der Analyse hatte das Skript lediglich 11 Ausführungsereignisse erzeugt. Dies passt zu einer Kampagne in einer frühen Phase, erlaubt allein jedoch keine Einschätzung des Gesamtumfangs der Aktivitäten.

Wer gefährdet ist und welche Daten offengelegt werden können

Potenzielle Opfer sind Windows-Benutzer, die per Phishing erhaltene ZIP-Archive öffnen oder nicht überprüfte .LNK-Verknüpfungen starten. Die Ausführung der Verknüpfung kann PowerShell aktivieren, FTP-Verbindungen herstellen und den RAT installieren, ohne dass der Benutzer direkt eine erkennbare ausführbare Datei starten muss.

Die Folgen hängen von den verfügbaren Berechtigungen und den anschließend installierten Payloads ab. Zu den beobachteten Fähigkeiten gehören Fernsteuerung, Befehlsausführung, Screenshots, Desktop-Übertragung, Dateitransfer und Prozessverwaltung.

PINHOLE kann außerdem ein Modul zum Diebstahl gespeicherter Browser-Zugangsdaten verteilen. E4del könnte mithilfe von crypto32.node eine Rechteausweitung versuchen. Dies wurde jedoch nicht bestätigt, da das Modul nicht für die Analyse verfügbar war.

Konkrete Opfer, betroffene Branchen oder Gesamtzahlen kompromittierter Systeme wurden nicht bekannt gegeben.

Kontrollen auf Endpunkten und im Netzwerk aktivieren

Organisationen sollten insbesondere Folgendes überprüfen:

• ZIP-Archive, die über unerwartete Nachrichten oder von gefälschten Absendern eingehen;
• das Starten von .LNK-Dateien, insbesondere wenn diese PowerShell aufrufen;
• PowerShell-Ausführungen in Verbindung mit FTP-Verbindungen;
• FTP-Zugriffe auf unbekannte externe Server;
• Banner mit Zeichenfolgen oder Daten, die nicht zu einer normalen Servicemeldung passen;
• Electron-Anwendungen, die Discord imitieren;
• ungewöhnliches Verhalten von ApplicationFrameHost.exe;
• Early-Bird-APC-Injections und ungewöhnliche Zugriffe auf Browserdatenbanken.

Nützliche Indicators of Compromise zur Identifizierung infizierter Server und Hosts sind in den ausgewerteten öffentlichen Daten nicht verfügbar. Die Erkennung sollte daher Netzwerk-Telemetrie, PowerShell-Ereignisse, Prozesserstellung und Prüfungen von Windows-Verknüpfungen kombinieren.

Benutzer sollten unerwartete ZIP-Archive nicht öffnen, per E-Mail erhaltene .LNK-Dateien nicht ausführen und vor der Installation die Herkunft von Electron-Anwendungen überprüfen. Das Blockieren oder Einschränken ausgehenden FTP-Datenverkehrs, sofern dieser für die Geschäftstätigkeit nicht erforderlich ist, kann die Angriffsfläche zusätzlich reduzieren.