Cybersicherheitsforscher haben zwei neue Schadsoftware-Familien mit den Bezeichnungen WordlistLoader und SynkLoader identifiziert. Diese werden gezielt eingesetzt, um weiterführende Schadsoftware-Payloads zu verteilen und den Zugang zu kompromittierten Systemen an Ransomware-Gruppen zu verkaufen. Die Analyse durch Gen Digital zeigt, dass WordlistLoader dabei als zentraler Verteiler für den Infostealer Amatera (auch bekannt als ACR Stealer oder AcridRain Stealer) fungiert. Die Verteilung erfolgt über sogenannte ClearFake-Kampagnen, die auf die ClickFix-Technik (auch als FakeCaptcha bekannt) setzen. Dabei werden ahnungslose Besucher unter dem Vorwand einer CAPTCHA-Überprüfung dazu gebracht, schädliche Befehle auf ihrem System auszuführen.
Sobald ein Besucher auf das Kontrollkästchen „Ich bin kein Roboter“ klickt, durchläuft er den bekannten ClickFix-Ablauf. Dabei wird ein schädlicher Befehl in die Zwischenablage kopiert und das Opfer angewiesen, diesen im Windows-Ausführen-Dialog einzugeben und auszuführen. Dies führt letztlich zum Herunterladen von WordlistLoader, der wiederum die Ausführung von Amatera einleitet. Die ClickFix-Aufforderungen werden auf legitimen, aber kompromittierten Websites eingeblendet. Diese Websites enthalten schädliches JavaScript, das in Form eines Base64-codierten Blocks injiziert wird. Dieser Block ruft seinerseits ein weiteres JavaScript von einem Smart Contract ab, der auf der Blockchain gespeichert ist – eine als EtherHiding bekannte Methode – und führt den abgerufenen Code dynamisch aus. Zu den kompromittierten Websites, die solche ClickFix-Aufforderungen ausliefern, zählen unter anderem folgende Domains:
- abogadosrosarinos[.]com
- aptisweb[.]com
- avene-hebergement[.]com
- https-xhamster[.]com
- www.caesarjaco.co[.]id
- skybap[.]shop
In den letzten Monaten wurden die ClearFake-Kampagnen überarbeitet. Sie nutzen nun „cdn.jsdelivr[.]net“ zur Hosting des schädlichen JavaScripts, was den Missbrauch eines legitimen Content Delivery Networks (CDN) für die Bereitstellung schädlicher Payloads darstellt. Obwohl das CDN eigentlich für das Hosting von JavaScript gedacht ist, hosten die Angreifer darauf ihre bösartigen PowerShell-Skripte. jsDelivr scheint zwar die bösartigen Repositories relativ schnell zu löschen, doch die Verwendung von EtherHiding in der ersten Stufe erlaubt es den Angreifern, gesperrte URLs mühelos durch funktionierende zu ersetzen. Der ClickFix-Befehl nutzt „conhost“, um einen versteckten „cmd.exe“-Prozess zu starten, dann eine entfernte WebDAV-Freigabe mithilfe von pushd zu verbinden und schließlich den Loader über „rundll32.exe“ zu starten. Dieser WebDAV-basierte Ansatz überschneidet sich mit einer ähnlichen Kampagne, die kürzlich von Microsoft hervorgehoben wurde.
In dieser Kampagne fordert eine ClickFix-Aufforderung das Ziel auf, einen Befehl auszuführen, der „cmd.exe“ startet. Dieses wiederum ruft „rundll32.exe“ auf, um eine DLL von einer entfernten, über HTTPS zugänglichen WebDAV-Freigabe zu laden. Drei verschiedene Versionen des Befehls wurden dokumentiert:
- Direkter Aufruf von rundll32
- pushd-gemountete WebDAV-Freigabe, gefolgt vom Aufruf von rundll32.exe
- Headlesse und verschleierte pushd-Ausführung, gefolgt vom Aufruf von rundll32.exe (entspricht der WordlistLoader-Infektionskette)
In der fortschrittlicheren Variante verstärken die Angreifer die Tarnung, indem sie Befehle durch conhost.exe –headless starten, sichtbare Konsolenfenster unterdrücken und Umgebungsvariablen-Verschleierung mit verzögerter Variablenexpansion einsetzen. Dadurch werden kritische Ausführungskomponenten wie pushd, rundll32 und der entfernte Hostname verborgen. In Kombination mit minimierter oder headlesser Ausführung reduzieren diese Techniken die Sichtbarkeit für den Benutzer, erschweren die statische Analyse und Erkennung und ermöglichen die Ausführung der Infektionskette mit minimalen Anzeichen für das Opfer.
Der Hauptunterschied zur zuvor von Microsoft beobachteten, auf Python basierenden Loader-Kampagne (zwischen Ende April 2026 und Mitte Juni 2026) besteht darin, dass diese nun durch WordlistLoader ersetzt wurden. ACR Stealer wurde auch über ClickFix-Aufforderungen verbreitet, die einen Befehl auslösen, der MSHTA startet, um entfernte HTA-Inhalte von einer Domain der Angreifer abzurufen und auszuführen. Dies führt zur Ausführung eines VBScript-Loaders, der PowerShell decodiert und startet, um ein JPEG-Bild von einem Bildhosting-Dienst herunterzuladen und den Stealer-Payload daraus extrahiert – alles im Arbeitsspeicher, um Festplattenartefakte zu minimieren und die Erkennung sowie Analyse zu erschweren.
WordlistLoader: Technische Mechanismen und Amatera-Integration
Der primäre Zweck von WordlistLoader, einer Zwischenstufe in der Amatera-Infektionskette, ist die Rekonstruktion eines Shellcodes, der als Einstiegspunkt für die nachfolgenden Stufen dient. Gleichzeitig verwendet der Loader eine auf Hardware-Breakpoints basierende Methode, um die Event Tracing for Windows (ETW)-Funktion zu umgehen und so Spuren bösartiger Aktivitäten zu vermeiden. Seinen Namen verdankt WordlistLoader der Tatsache, dass der Shellcode in codierter Form als eine Sequenz von einfachen englischen Wörtern gespeichert wird, wobei jedes Wort ein Byte repräsentiert. Die Forscher von Gen Digital identifizierten auch eine Variante, die die Wortliste durch ein Array von 16-Byte-UUID-codierten Blöcken ersetzt. Der so rekonstruierte Shellcode verwendet schließlich einen reflektiven Loader, der für das Auspacken und Laden von Amatera verantwortlich ist. Derselbe reflektive Loader wurde bereits Ende April 2026 in einer anderen ClickFix-Kampagne beobachtet, die Amatera 4.3.3-alpha1 auslieferte.
Die neueste Version des Stealers (Amatera 4.0.2 Beta) verfügt über aktualisierte statische Verschleierung, gehärtete Syscall-Aufrufe durch die WoW64-Transition, dynamisch generierte x64-indirekte Syscall-Trampoline, die über Heaven’s Gate aufgerufen werden, und einen neu gestalteten Bypass für die Application-Bound Encryption (ABE), der direkt vom Remus Stealer inspiriert zu sein scheint.
SynkLoader: Microsoft-Teams-Phishing und falscher Sperrbildschirm
Parallel dazu wird SynkLoader über eine Microsoft-Teams-Phishing-Kampagne verbreitet, die darauf abzielt, die Anmeldedaten des Opfers durch einen vorgetäuschten Sperrbildschirm zu stehlen. Die Aktivität wurde von Expel Mitte August 2025 entdeckt. Ein Angreifer, der eine E-Mail-Adresse im Format @.onmicrosoft.com verwendete (der Standard-E-Mail-Domain von Microsoft 365 für Unternehmen), kontaktierte das Ziel unter dem Namen „IT Service Desk“. Der angebliche IT-Service-Mitarbeiter überzeugte den Benutzer, ein MSI-Installationspaket von einem Microsoft-Azure-Dateispeicher-Endpunkt herunterzuladen und zu installieren (https://filereserve.blob.core.windows[.]net/vgnghuyk/331/331.msi). Dies verlieh der Datei den Anschein, von Microsoft zu stammen.
Das MSI-Installationsprogramm tarnt sich als „PowerShell Cleaner“. Bei der Ausführung extrahiert es ein ZIP-Archiv und ein PowerShell-Skript, das automatisch im Arbeitsspeicher ausgeführt wird. Das Skript wird verwendet, um die Inhalte des Archivs zu extrahieren und daraus einen auf Python basierenden Loader zu starten. Dieser Loader wählt einen von drei fest codierten Command-and-Control (C2)-Domains aus und meldet sich in zufälligen Abständen (mit 90 bis 120 Sekunden Pause zwischen den Anfragen) beim Server. Der Loader entschlüsselt und führt anschließend die Antworten des Servers aus. Bisher wurden mindestens sieben verschiedene Module identifiziert:
- System Profiler: Eine C#-DLL zur Erfassung von Systeminformationen des Zielrechners.
- Persistence Module: Eine native DLL, die eine zufällig benannte geplante Aufgabe erstellt, die SynkLoader bei jedem Benutzer-Login und täglich um 10:00 Uhr startet.
- PhishLocker: Eine DLL, die einen gefälschten Windows-Sperrbildschirm anzeigt, um das Benutzerpasswort zu stehlen.
- TrafficRedirector: Ein Backconnect- oder Reverse-Proxy-Modul, das es dem Angreifer ermöglicht, auf lokale Netzwerkdienste zuzugreifen oder den Internetverkehr über die infizierte Maschine zu leiten.
- Interactive Shell: Ein Remote-Access-Trojaner-Modul (RAT) zur Ausführung von PowerShell-Befehlen und zur Übermittlung der Ergebnisse.
- StreamMaster: Ein Virtual Network Computing (VNC)-Modul, das den Desktop des Opfers streamt und die Fernsteuerung von Maus und Tastatur ermöglicht.
- Status Checker: Ein Python-Skript, das den Status der aktuell auf dem System laufenden Module an den C2-Server meldet.
Die genauen Ziele der Betreiber sind noch unklar, doch es besteht der begründete Verdacht, dass das Werkzeug entweder von einer Ransomware-Gruppe oder von einem sogenannten Initial Access Broker eingesetzt wird. Die modulare Architektur von SynkLoader, kombiniert mit der Möglichkeit, Daten zu stehlen, Persistenz zu etablieren und als Proxy zu fungieren, macht es zu einem vielseitigen Werkzeug für verschiedene post-exploitation Aktivitäten. Die kommenden Monate werden zeigen, ob diese Malware-Familien in größerem Umfang von Cyberkriminellen übernommen werden und welche neuen Varianten oder Verteilungsmethoden die Bedrohungsakteure noch entwickeln werden. Für Unternehmen und Privatanwender bleibt es essenziell, ihre Systeme gegen ClickFix- und Phishing-Angriffe zu schützen sowie den Einsatz von WebDAV und die Ausführung von Skripten aus dem Internet streng zu kontrollieren.
