Angreifer nutzten in zwei bemerkenswerten Angriffsketten im ersten Halbjahr 2026 vertrauenswürdige Tools und legitim wirkende Abläufe. Eine Kampagne verbreitete Malware über kompromittierte geschäftliche E-Mail-Konten, während eine andere Kryptowährungszahlungen umleitete, indem kopierte Wallet-Adressen ersetzt wurden.
Die Kampagnen nutzten unterschiedliche Malware und Infrastrukturen. Beide setzten jedoch auf dieselbe Schwachstelle: Nutzer vertrauten auf Vorgänge, die normal erschienen, bevor die Angreifer unbemerkt veränderten, was als Nächstes geschah.
Kompromittierte E-Mail-Konten verbreiteten Banking-Malware
Die erste Kampagne richtete sich gegen Personen in Tschechien, der Slowakei, Polen und Litauen. Die Angreifer nutzten Versandbenachrichtigungen, Rechnungsnachrichten und Köder mit gescannten Dokumenten, um die Empfänger zum Öffnen schädlicher Anhänge zu bewegen.
Mehrere E-Mails stammten von kompromittierten Unternehmenspostfächern. Dadurch wirkten die Nachrichten überzeugender, da sie über echte Geschäftskonten mit einer etablierten Absenderhistorie verschickt wurden.
Infolgedessen konnten herkömmliche E-Mail-Schutzmaßnahmen nur begrenzt helfen. SPF- und DKIM-Prüfungen können weiterhin erfolgreich sein, wenn Angreifer Nachrichten über die autorisierte Infrastruktur eines Kontos versenden. Auch Reputationssysteme können den Absender als legitim einstufen.
Nachdem ein Opfer den Anhang geöffnet hatte, startete ein JavaScript-Dropper die Infektionskette. Er führte mehrere PowerShell-Stufen aus, bevor er Shellcode und mit GepyS in Verbindung stehende Banking-Malware bereitstellte.
Anschließend veränderte die Malware die Proxy-Einstellungen und installierte eine Browser-Erweiterung. Diese Änderungen brachten die Angreifer näher an die Online-Banking-Aktivitäten des Opfers heran.
Die vollständige Kette führte von einem kompromittierten E-Mail-Konto über einen JavaScript-Dropper, mehrere PowerShell-Stufen und einen Shellcode-Loader bis hin zur Manipulation von Proxy-Einstellungen und Browser.
Malware-Stufen erschwerten die Analyse
Eine Payload der dritten Stufe verwendete einen positionsunabhängigen 32-Bit-Loader, der die statische Analyse erschweren sollte. Die Forscher fanden überflüssige MMX- und SSE-Anweisungen, Sprünge in die Mitte von Anweisungen sowie eine Entschlüsselungsroutine, die einen LFSR-generierten Schlüsselstrom und XOR-Operationen verwendete.
Keine dieser Methoden war neu. Ihre Kombination erschwerte jedoch eine schnelle Analyse.
Für die Kampagne musste der Empfänger lediglich einen einzigen Anhang öffnen. JavaScript und PowerShell übernahmen anschließend die späteren Stufen, während die Änderungen an Proxy und Browser den Angreifern die Möglichkeit gaben, in Online-Banking-Sitzungen einzugreifen.
Andere Aktivitäten im ersten Halbjahr 2026 folgten ähnlichen Mustern. In Italien verbreiteten gefälschte Rechnungs-PDFs, darunter Köder im Stil von Booking.com, auf Vercel gehostete Skripte, PowerShell-Stufen über Blogspot und XWorm. Gleichzeitig nutzten polnische Rechnungsbetrüger einen steganografischen .NET-Loader, um Remcos RAT zu installieren.
Krypto-Clipper ersetzte Wallet-Adressen
Die zweite Angriffskette im ersten Halbjahr 2026 konzentrierte sich auf Kryptowährungszahlungen. Die finale Payload war ein in Rust entwickelter Clipboard-Hijacker, der kopierte Inhalte auf Wallet-Adressen überwachte.
Die Malware unterstützte 21 Blockchain-Typen, darunter Bitcoin, Ethereum und Litecoin. Sobald sie eine unterstützte Adresse erkannte, ersetzte sie diese durch eine von den Angreifern kontrollierte Alternative.
Die Opfer konnten ihrem gewohnten Zahlungsablauf folgen: eine Adresse kopieren, sie in eine Wallet oder Kryptobörse einfügen und anschließend die Transaktion bestätigen. Das Ziel war jedoch bereits verändert worden, bevor die Zahlung signiert wurde.
Die Blockchain selbst war nicht kompromittiert, und die Kryptografie der Wallet blieb intakt. Die Transaktion war gültig, schickte das Geld jedoch an den falschen Empfänger.
Lange Wallet-Adressen lassen sich visuell nur schwer überprüfen. Viele Menschen vergleichen lediglich die ersten und letzten Zeichen. Dadurch können Angreifer Adressen verwenden, die bei einer schnellen Kontrolle korrekt erscheinen.
Smart Contracts halfen bei der Auflösung der C2-Infrastruktur
Der Clipper nutzte über EtherHiding außerdem die Binance Smart Chain als Teil seiner Command-and-Control-Infrastruktur. Anstatt sein vollständiges Backend auf der Blockchain zu speichern, las die Malware Infrastrukturverweise aus einem Smart Contract aus.
Diese Verweise führten die Malware zu Domains, URLs oder IP-Adressen, die von den Angreifern kontrolliert wurden.
Dieser Ansatz machte einfache Listen mit Netzwerkindikatoren weniger nützlich. Eine Domain kann blockiert oder ersetzt werden, doch Daten in Smart Contracts bleiben öffentlich zugänglich und lassen sich durch herkömmliche Takedown-Verfahren schwieriger entfernen.
Verteidiger sollten daher die Vertragsadresse, die Methode zum Abrufen der Daten, die zurückgegebenen Informationen und die anschließend kontaktierte Infrastruktur als eine zusammenhängende Kette untersuchen.
Erkennung muss den gesamten Ablauf abdecken
Organisationen sollten verdächtige Aktivitäten nach der Zustellung einer E-Mail miteinander korrelieren, anstatt jedes Ereignis einzeln zu bewerten. Ein heruntergeladener Anhang, der JavaScript startet, PowerShell zum Abrufen weiterer Dateien, die Ausführung von Shellcode, Änderungen an Proxy-Einstellungen und eine neu installierte Browser-Erweiterung können auf einen koordinierten Angriff hindeuten.
Eine legitime Absenderhistorie sollte die Priorität verdächtigen Verhaltens nicht verringern, wenn ein E-Mail-Konto möglicherweise kompromittiert wurde.
Wo es sinnvoll ist, können Organisationen Skriptinterpreter einschränken, Richtlinien zur Anwendungskontrolle auf heruntergeladene Anhänge anwenden und unerwartete Änderungen an Browser-Erweiterungen oder Proxy-Einstellungen überwachen.
Bei Bedrohungen im Zusammenhang mit Kryptowährungen sollten Verteidiger nach Prozessen suchen, die Inhalte der Zwischenablage verändern, Wallet-Adressen abgleichen oder Blockchain-Abfragen von Software ausführen, die solche Anfragen normalerweise nicht stellen sollte.
Nutzer sollten unmittelbar vor der Bestätigung einer Kryptowährungszahlung die vollständige Zieladresse auf dem Gerät überprüfen, auf dem die Transaktion signiert wird. Adressbücher und Positivlisten können außerdem das Risiko bei der manuellen Eingabe oder beim Kopieren bekannter Zieladressen verringern.
Beide Kampagnen zeigen, warum vertrauenswürdige E-Mails und vertraute Zahlungsschritte allein nicht ausreichen. Sicherheitskontrollen müssen jede Stufe zwischen der ersten Nachricht, der kopierten Adresse und der endgültigen Bestätigung abdecken.
0 Kommentare zu „Angriffsketten im H1 2026 nutzen echte E-Mails und gekaperte Kryptozahlungen“