Angreifer, die es auf Kryptowährungen und sensible Daten abgesehen haben, nutzen GitHub-Projekte, um Malware zu verbreiten. Diese umgeht die Windows-Schutzmechanismen und installiert Werkzeuge für Fernzugriff und Diebstahl. In einem Bericht vom 9. November 2026 beschrieb Security Affairs die Untersuchung von Doctor Web, die bei Abschluss der Recherche mehr als 2.000 infizierte PCs festgestellt hatte.
Fachleute für Informationssicherheit gehören inzwischen zu den neueren Zielgruppen der Kampagne. Die Repositories versprechen Unterstützung bei automatisiertem Scanning, Sicherheitstests und Log-Analyse, darunter ein angebliches Hilfsprogramm zur Analyse und Bereinigung der Ausgabe des Sicherheitsscanners Fscan. Zuvor richtete sich die Kampagne vor allem an Blockchain-Spielefans, die Kryptowallets nutzten.
Aus einem Projektdownload wird eine Infektion
Die Operation begann vor zwei Jahren mit Visual-Studio-Projekten, die rund um Blockchain-Spiele, Bots und Cheats beworben wurden. Anleitungen führten potenzielle Nutzer durch die Installation von Visual Studio und den Download der GitHub-Projekte. So konnten die Angreifer auch Menschen mit geringen technischen Kenntnissen erreichen.
Die schädlichen Anweisungen waren im Entwicklungsmaterial selbst eingebettet: Projektdateien enthielten Befehle, die vor einem Build ausgeführt werden sollten, während Konfigurationsdateien PowerShell-Befehle enthielten. Auch Python- und Go-Dateien trugen schädlichen Code, der durch lange Abschnitte mit Leerzeichen verschleiert war.
Beim Öffnen eines Projekts startet ein PowerShell-Skript. Es kontaktiert sowohl von Angreifern kontrollierte Server als auch legitime Dienste – YouTube, Telegram, Google Docs, GitCode und Pastebin –, um eine verschlüsselte Zeichenkette mit einem Archivlink abzurufen. Nach dem Entpacken liegt der Inhalt des Archivs in einem Verzeichnis, das einer Komponente von Windows-Fotos ähneln soll.
Die zentrale ausführbare Datei ist Microsoft.exe, eine modulare Electron-Anwendung. Sie meldet Systeminformationen an einen Telegram-Bot, hält ihre Ausführung aufrecht und erhöht die Rechte. Von dort aus schwächt sie die Schutz- und Wiederherstellungsfunktionen des Computers: Windows Defender, die Benutzerkontensteuerung, die Systemwiederherstellung und Schattenkopien werden deaktiviert. Der Loader legt außerdem Ausnahmen für Defender an, injiziert Code in legitime Prozesse und entfernt die Antivirenprodukte von McAfee, ESET und Malwarebytes.
Ihr regulärer Ausführungspfad Mode3 verbirgt die Identität des übergeordneten Prozesses und deaktiviert Smart App Control. Außerdem entfernt er Hooks von Sicherheitssoftware aus ntdll.dll, nutzt direkte Systemaufrufe und patcht im Arbeitsspeicher Event Tracing sowie die Skriptprüfung des Virenschutzes. Scheitert dieser Pfad, wird Mode2 ausgelöst. Er wendet Defender-Ausnahmen an und führt die Injektion über PowerShell durch.
Fernzugriff und Diebstahl folgen
Drei Payloads geben den Angreifern unterschiedliche Möglichkeiten, einen infizierten PC zu nutzen. Für den Fernzugriff startet die Malware zwei identische Instanzen der AsyncRAT-Backdoor auf getrennten Ports. Die Erkenntnisse von Doctor Web deuten darauf hin, dass dadurch wahrscheinlich zwei Operatoren denselben Computer steuern können.
Ein Clipper zielt auf Kryptowährungstransaktionen ab, indem er Wallet-Adressen in der Zwischenablage austauscht. Zusätzlich fertigt er Screenshots an. Ein separater Stealer sammelt Browserdaten, Konfigurationsdateien von FileZilla, MobaXterm und Total Commander, VPN-Einstellungen, Messenger-Dateien, Spielekonten und Discord-Token. Gestohlene Daten werden in ZIP-Archive gepackt und über Telegram übertragen.
Die Malware greift außerdem in die Sicherheitssoftware ein, indem sie die hosts-Datei ändert und so die Domains von Antivirenherstellern blockiert.
Doctor Web fand zudem Hinweise auf eine laufende Weiterentwicklung. Ungenutzte Routinen könnten Lodge.7z herunterladen und entpacken, ein Archiv mit einem unfertigen Electron-Projekt, dessen ausführbare Datei WUDFHost.exe heißt. Der Code verweist auf geplante Funktionen: Installation als Systemdienst, Wiederherstellung von Microsoft.exe nach einer Löschung, Steuerung des Autostarts und Installation von Updates.
Doctor Web empfiehlt Blockchain-Spielefans und Sicherheitsexperten, die diese Projekte herunterladen, Antivirensoftware stets aktuell zu halten und jede heruntergeladene Datei zu prüfen.
