WordlistLoader und SynkLoader: Zwei neue kriminelle Werkzeuge zielen auf Anmeldedaten und Netzwerkzugriff

Zwei unabhängige Entdeckungen, ein gemeinsames Ziel

In den letzten Monaten haben drei Sicherheitsteams zwei verschiedene Malware-Kampagnen dokumentiert, die jedoch dasselbe Ziel verfolgen: einen ersten Zugriff auf Windows-Rechner zu erlangen und den Boden für spätere Angriffe zu bereiten. Gen Digital hat WordlistLoader identifiziert, einen Zwischen-Loader, der zur Verbreitung von Amatera Stealer (auch bekannt als ACR Stealer oder AcridRain Stealer) eingesetzt wird. Microsoft bestätigte, dass die vorherigen Python-Loader zwischen Ende April und Mitte Juni 2026 durch WordlistLoader ersetzt wurden. Expel wiederum rekonstruierte eine Kampagne auf Basis von SynkLoader, einem Toolkit, das über Phishing auf Microsoft Teams verbreitet wird. Beide Familien werden als Werkzeuge beschrieben, um nachfolgende Payloads zu verteilen oder den Zugriff an Dritte zu verkaufen.

WordlistLoader: Der in einer Wortliste versteckte Code

Die Kampagne, die zu WordlistLoader führt, nutzt die ClearFake-Technik. Auf kompromittierten legitimen Websites wird schädliches JavaScript als Base64-kodierter Blob injiziert. Der Blob ruft ein zweites JavaScript von einem auf einer Blockchain gespeicherten Smart Contract ab – eine als EtherHiding bezeichnete Technik – und führt es dynamisch aus. Der Einsatz der Blockchain ermöglicht es den Angreifern, die Payloads auch dann zu aktualisieren, wenn die auf legitimen CDNs wie cdn.jsdelivr[.]net gehosteten schädlichen Repositories entfernt werden. Zu den beobachteten kompromittierten Websites gehören abogadosrosarinos[.]com, aptisweb[.]com, avene-hebergement[.]com, https-xhamster[.]com, www.caesarjaco.co[.]id und skybap[.]shop.

Der der Zielperson angezeigte ClickFix-Befehl startet eine Ausführungskette, die laut Microsoft drei Varianten umfasst. Die einfachste ruft direkt rundll32.exe auf. Die zweite mountet eine entfernte WebDAV-Freigabe mit pushd und führt dann rundll32.exe aus. Die dritte, fortschrittlichere Variante führt alles headless und verschleiert aus: conhost.exe --headless unterdrückt Konsolenfenster, während die Verschleierung über Umgebungsvariablen mit verzögerter Erweiterung kritische Komponenten wie pushd, rundll32 und den entfernten Hostnamen verbirgt. Diese dritte Variante entspricht der Infektionskette von WordlistLoader.

WordlistLoader ist die Zwischenstufe, die einen Shellcode rekonstruiert. Der Name leitet sich vom Kodierungsformat des Shellcodes ab: eine Abfolge englischer Wörter, bei der jedes Wort ein Byte repräsentiert. Gen Digital hat auch eine Variante identifiziert, die die Wortliste durch ein Array aus 16-Byte-UUID-Chunks ersetzt. Der rekonstruierte Shellcode verwendet einen Reflective Loader, um Amatera 4.3.3-alpha1 zu entpacken und zu laden. Derselbe Reflective Loader war bereits Ende April 2026 in einer anderen ClickFix-Kampagne beobachtet worden. Um Spuren zu vermeiden, setzt WordlistLoader Hardware-Breakpoints ein, um Event Tracing for Windows (ETW) zu umgehen.

Amatera 4.3.3-alpha1: Erweiterte Evasion mit WoW64 und Heaven's Gate

Die neueste Version von Amatera Stealer enthält mehrere aktualisierte Evasion-Techniken. Die statische Verschleierung wurde überarbeitet. Die Systemaufrufe wurden durch einen WoW64-Übergang verstärkt, bei dem dynamisch generierte x64-Indirect-Syscall-Trampolins über Heaven's Gate aufgerufen werden. Außerdem wurde der Bypass der Application-Bound Encryption (ABE) in Anlehnung an Remus Stealer neu gestaltet. ACR Stealer wurde auch über ClickFix-Prompts verbreitet, die MSHTA ausführen, um HTA-Inhalte von einer vom Angreifer kontrollierten Domain abzurufen. Ein VBScript-Loader dekodiert und führt PowerShell aus, das ein JPEG-Bild von einem Bild-Hosting-Dienst herunterlädt und den Stealer-Payload aus dem Speicher extrahiert, wodurch Artefakte auf der Festplatte reduziert werden.

SynkLoader: Der gefälschte Helpdesk auf Teams, der nach dem Passwort fragt

Expel entdeckte Mitte August 2025 eine Phishing-Kampagne auf Microsoft Teams. Ein Konto im Format <username>@<company>.onmicrosoft.com – der Standarddomäne von Microsoft 365 für Unternehmen – kontaktiert das Opfer und gibt sich als „IT Service Desk“ mit einem fiktiven Namen aus. Der Angreifer überredet den Nutzer, ein MSI-Paket von einem Azure-Blob-Storage-Endpunkt herunterzuladen und zu installieren: https://filereserve.blob.core.windows[.]net/vgnghuyk/331/331.msi. Die MSI-Datei präsentiert sich als „PowerShell Cleaner“. Beim Ausführen extrahiert sie ein ZIP-Archiv und ein PowerShell-Skript; das Skript wird automatisch im Speicher ausgeführt. Es entpackt den Inhalt des Archivs und startet einen Python-Loader, der zufällig einen von drei hartcodierten C2-Domains kontaktiert und zwischen den Anfragen 90 bis 120 Sekunden schläft.

Das SynkLoader-Toolkit umfasst mindestens sieben Module. System Profiler ist eine C#-DLL zum Sammeln von Systemdaten. Das Persistence Module erstellt eine geplante Aufgabe mit zufälligem Namen, um SynkLoader bei jeder Benutzeranmeldung und täglich um 10:00 Uhr zu starten. PhishLocker zeigt einen gefälschten Windows-Sperrbildschirm an, um das Anmeldepasswort des Benutzers abzufangen. TrafficRedirector ist ein Backconnect- bzw. Reverse-Proxy, um lokale Netzwerkdienste zu erreichen oder Datenverkehr über den infizierten Rechner zu leiten. Interactive Shell ist ein RAT-Modul zur Ausführung von PowerShell-Befehlen. StreamMaster ist ein VNC-Modul zur Übertragung des Desktops und zur Steuerung von Maus und Tastatur. Schließlich ist Status Checker ein Python-Skript, das den Status der aktiven Module meldet.

Auswirkungen und mögliche Verbindungen zu Ransomware oder Initial Access Brokern

WordlistLoader ermöglicht die Ausführung von Amatera Stealer, das fortschrittliche Evasion-Techniken einsetzt, um Daten zu stehlen und Artefakte auf der Festplatte zu reduzieren. SynkLoader kann Windows-Anmeldedaten über den gefälschten Sperrbildschirm erfassen, Persistenz etablieren, Befehle ausführen, den Desktop per VNC steuern und Datenverkehr in das interne Netzwerk leiten. Die endgültigen Ziele von SynkLoader sind unklar, aber Expel vermutet, dass das Toolkit einer Ransomware-Gruppe oder einem Initial Access Broker gehören könnte. Beide Familien werden als Werkzeuge zur Verteilung nachfolgender Payloads oder zum Verkauf des Zugriffs beschrieben. Derzeit sind keine zugehörigen CVEs bekannt, und es gibt keine Einträge im KEV-Katalog der CISA.

Abwehrmaßnahmen und Kompromittierungsindikatoren

Derzeit stehen keine offiziellen Mitigationsmaßnahmen, Workarounds oder spezifischen Erkennungshinweise der Anbieter zur Verfügung. Bis Patches oder Richtlinien verfügbar sind, können Sicherheitsteams die bereits bekannten Kompromittierungsindikatoren nutzen: die beobachteten kompromittierten Domains (abogadosrosarinos[.]com, aptisweb[.]com, avene-hebergement[.]com, https-xhamster[.]com, www.caesarjaco.co[.]id, skybap[.]shop), das CDN cdn.jsdelivr[.]net und die MSI-URL auf Azure Blob Storage (https://filereserve.blob.core.windows[.]net/vgnghuyk/331/331.msi). Auf Verhaltensebene sollte die anomale Ausführung von conhost.exe, rundll32.exe und mshta.exe überwacht werden, insbesondere wenn sie mit der Verwendung entfernter WebDAV-Freigaben in verdächtigen Befehlsketten einhergeht. Bei SynkLoader kann die Erkennung von Anfragen an hartcodierte C2-Domains oder das Auftauchen zufälliger geplanter Aufgaben auf eine laufende Infektion hindeuten. Die Schulung der Benutzer über gefälschte Helpdesks auf Teams und die Aufforderung, Software von ungeprüften Links zu installieren, bleibt eine grundlegende Gegenmaßnahme.