Das Cybersicherheitsunternehmen Bitdefender entdeckte die Kampagne, die seit Jahresbeginn auf Roblox-Nutzer abzielt. Die Aktivität nahm im März deutlich zu, bevor sie sich später auf einem niedrigeren Niveau stabilisierte.
Die Angreifer bewerben die Malware als unerkannte Version von Xeno Executor. Sie richten sich an Spieler, die ein Tool nutzen möchten, das Skripte ausführen kann, ohne die Anti-Cheat-Schutzmechanismen von Roblox auszulösen.
Angreifer verbreiten gefälschten Xeno über Gaming-Communitys
Xeno Executor ist ein Drittanbieter-Tool für Roblox, mit dem Nutzer Aktionen automatisieren oder eigene Skripte ausführen können. Einige Spieler verwenden es auch zum Cheaten.
Roblox unterstützt das Tool offiziell nicht. Der Spielclient blockiert regelmäßig bestehende Versionen, wodurch die Entwickler von Xeno gezwungen sind, neue Builds zu veröffentlichen.
Die Angreifer nutzen diesen Umstand aus. Sie verbreiten einen gefälschten Xeno Executor über Gaming-Foren, Discord-Communitys sowie kompromittierte oder gefälschte Konten.
Die Opfer laden ZIP-Dateien herunter, die ein Installationsprogramm und Anweisungen enthalten. In anderen Fällen verwenden die Angreifer selbstentpackende Archive, die die schädlichen Dateien automatisch entpacken.
Die Pakete wirken glaubwürdig, da sie die Verzeichnisstruktur einer legitimen Xeno-Installation kopieren. Außerdem enthalten sie echte Lua-Skripte und verwenden überzeugende Dateinamen.
Sobald die Opfer jedoch xeno.exe starten, wird der Malware-Loader der ersten Stufe ausgeführt.
Malware installiert Java-basierten RAT
Der Loader überprüft zunächst, ob auf dem Gerät eine Java Runtime Environment installiert ist. Fehlt Java, entpackt die Malware ihre eigene Kopie.
Anschließend liest sie eine lokale Datei mit Validierungsschlüsseln für den Command-and-Control-Server der Angreifer. Danach startet sie eine verschleierte Java-Nutzlast, die sich als decompiler.exe ausgibt.
Diese Nutzlast analysiert das infizierte System, registriert das Opfer bei der Infrastruktur der Angreifer und lädt die eigentliche Malware herunter.
Die finale Nutzlast kombiniert einen Java-basierten Remote-Access-Trojaner mit einem Infostealer. Sie kann Anmeldedaten sammeln, Benutzeraktivitäten überwachen und den Angreifern weitreichende Kontrolle über den infizierten Computer verschaffen.
Gestohlene Daten umfassen Browser- und Zahlungsinformationen
Die Malware kann Cookies und andere gespeicherte Browserdaten aus Chrome, Edge, Brave, Opera und Vivaldi stehlen.
Außerdem hat sie es auf Konto- und Zahlungsinformationen von Discord-, Roblox-, Minecraft- und Microsoft-Store-Konten abgesehen. Darüber hinaus kann sie Daten aus Exodus Wallet stehlen und zahlreiche weitere Krypto-Wallet-Anwendungen erkennen.
Zu den Überwachungsfunktionen gehören:
- Tastatureingaben protokollieren und Mausaktivitäten überwachen
- Screenshots erstellen und den Desktop streamen
- Zugriff auf die Webcam
- Dateien hoch- und herunterladen
- PowerShell-Befehle ausführen
- Interaktiver Fernzugriff auf die Kommandozeile
Bitdefender geht davon aus, dass die Kampagne mit Powercat in Verbindung steht, einem Bedrohungscluster, der zuvor von ThreatLocker dokumentiert wurde. Die Angreifer haben die Malware jedoch weiterentwickelt und auf eine neue Command-and-Control-Infrastruktur umgestellt.
Die gefälschte Xeno-Executor-Kampagne zeigt, warum Roblox-Spieler keine Drittanbieter-Tools aus unbekannten Quellen herunterladen sollten. Als unerkannte Cheat- oder Skript-Tools beworbene Installationsprogramme können gefährliche Malware verbergen, die Konten, Zahlungsdaten und Geräte gefährdet.
0 Kommentare zu „Gefälschter Xeno Executor verbreitet Malware unter Roblox-Spielern“