{"id":49784,"date":"2026-08-24T16:15:46","date_gmt":"2026-08-24T14:15:46","guid":{"rendered":"https:\/\/overcentral.com\/de\/?p=49784"},"modified":"2026-08-24T16:15:46","modified_gmt":"2026-08-24T14:15:46","slug":"wordlistloader-verbreitet-amatera-per-clickfix-synkloader-stiehlt-windows-passwoerter","status":"publish","type":"post","link":"https:\/\/overcentral.com\/de\/wordlistloader-verbreitet-amatera-per-clickfix-synkloader-stiehlt-windows-passwoerter\/","title":{"rendered":"WordlistLoader verbreitet Amatera per ClickFix, SynkLoader stiehlt Windows-Passw\u00f6rter"},"content":{"rendered":"<p>Cybersicherheitsforscher haben zwei neue Schadsoftware-Familien mit den Bezeichnungen <strong>WordlistLoader<\/strong> und <strong>SynkLoader<\/strong> identifiziert. Diese werden gezielt eingesetzt, um weiterf\u00fchrende Schadsoftware-Payloads zu verteilen und den Zugang zu kompromittierten Systemen an Ransomware-Gruppen zu verkaufen. Die Analyse durch Gen Digital zeigt, dass WordlistLoader dabei als zentraler Verteiler f\u00fcr den Infostealer Amatera (auch bekannt als ACR Stealer oder AcridRain Stealer) fungiert. Die Verteilung erfolgt \u00fcber sogenannte ClearFake-Kampagnen, die auf die ClickFix-Technik (auch als FakeCaptcha bekannt) setzen. Dabei werden ahnungslose Besucher unter dem Vorwand einer CAPTCHA-\u00dcberpr\u00fcfung dazu gebracht, sch\u00e4dliche Befehle auf ihrem System auszuf\u00fchren.<\/p>\n<p>Sobald ein Besucher auf das Kontrollk\u00e4stchen \u201eIch bin kein Roboter\u201c klickt, durchl\u00e4uft er den bekannten ClickFix-Ablauf. Dabei wird ein sch\u00e4dlicher Befehl in die Zwischenablage kopiert und das Opfer angewiesen, diesen im Windows-Ausf\u00fchren-Dialog einzugeben und auszuf\u00fchren. Dies f\u00fchrt letztlich zum Herunterladen von WordlistLoader, der wiederum die Ausf\u00fchrung von Amatera einleitet. Die ClickFix-Aufforderungen werden auf legitimen, aber kompromittierten Websites eingeblendet. Diese Websites enthalten sch\u00e4dliches JavaScript, das in Form eines Base64-codierten Blocks injiziert wird. Dieser Block ruft seinerseits ein weiteres JavaScript von einem Smart Contract ab, der auf der Blockchain gespeichert ist \u2013 eine als EtherHiding bekannte Methode \u2013 und f\u00fchrt den abgerufenen Code dynamisch aus. Zu den kompromittierten Websites, die solche ClickFix-Aufforderungen ausliefern, z\u00e4hlen unter anderem folgende Domains:<\/p>\n<ul>\n<li>abogadosrosarinos[.]com<\/li>\n<li>aptisweb[.]com<\/li>\n<li>avene-hebergement[.]com<\/li>\n<li>https-xhamster[.]com<\/li>\n<li>www.caesarjaco.co[.]id<\/li>\n<li>skybap[.]shop<\/li>\n<\/ul>\n<p>In den letzten Monaten wurden die ClearFake-Kampagnen \u00fcberarbeitet. Sie nutzen nun \u201ecdn.jsdelivr[.]net\u201c zur Hosting des sch\u00e4dlichen JavaScripts, was den Missbrauch eines legitimen Content Delivery Networks (CDN) f\u00fcr die Bereitstellung sch\u00e4dlicher Payloads darstellt. Obwohl das CDN eigentlich f\u00fcr das Hosting von JavaScript gedacht ist, hosten die Angreifer darauf ihre b\u00f6sartigen PowerShell-Skripte. jsDelivr scheint zwar die b\u00f6sartigen Repositories relativ schnell zu l\u00f6schen, doch die Verwendung von EtherHiding in der ersten Stufe erlaubt es den Angreifern, gesperrte URLs m\u00fchelos durch funktionierende zu ersetzen. Der ClickFix-Befehl nutzt \u201econhost\u201c, um einen versteckten \u201ecmd.exe\u201c-Prozess zu starten, dann eine entfernte WebDAV-Freigabe mithilfe von pushd zu verbinden und schlie\u00dflich den Loader \u00fcber \u201erundll32.exe\u201c zu starten. Dieser WebDAV-basierte Ansatz \u00fcberschneidet sich mit einer \u00e4hnlichen Kampagne, die k\u00fcrzlich von Microsoft hervorgehoben wurde.<\/p>\n<p>In dieser Kampagne fordert eine ClickFix-Aufforderung das Ziel auf, einen Befehl auszuf\u00fchren, der \u201ecmd.exe\u201c startet. Dieses wiederum ruft \u201erundll32.exe\u201c auf, um eine DLL von einer entfernten, \u00fcber HTTPS zug\u00e4nglichen WebDAV-Freigabe zu laden. Drei verschiedene Versionen des Befehls wurden dokumentiert:<\/p>\n<ul>\n<li>Direkter Aufruf von rundll32<\/li>\n<li>pushd-gemountete WebDAV-Freigabe, gefolgt vom Aufruf von rundll32.exe<\/li>\n<li>Headlesse und verschleierte pushd-Ausf\u00fchrung, gefolgt vom Aufruf von rundll32.exe (entspricht der WordlistLoader-Infektionskette)<\/li>\n<\/ul>\n<p>In der fortschrittlicheren Variante verst\u00e4rken die Angreifer die Tarnung, indem sie Befehle durch conhost.exe \u2013headless starten, sichtbare Konsolenfenster unterdr\u00fccken und Umgebungsvariablen-Verschleierung mit verz\u00f6gerter Variablenexpansion einsetzen. Dadurch werden kritische Ausf\u00fchrungskomponenten wie pushd, rundll32 und der entfernte Hostname verborgen. In Kombination mit minimierter oder headlesser Ausf\u00fchrung reduzieren diese Techniken die Sichtbarkeit f\u00fcr den Benutzer, erschweren die statische Analyse und Erkennung und erm\u00f6glichen die Ausf\u00fchrung der Infektionskette mit minimalen Anzeichen f\u00fcr das Opfer.<\/p>\n<p>Der Hauptunterschied zur zuvor von Microsoft beobachteten, auf Python basierenden Loader-Kampagne (zwischen Ende April 2026 und Mitte Juni 2026) besteht darin, dass diese nun durch WordlistLoader ersetzt wurden. ACR Stealer wurde auch \u00fcber ClickFix-Aufforderungen verbreitet, die einen Befehl ausl\u00f6sen, der MSHTA startet, um entfernte HTA-Inhalte von einer Domain der Angreifer abzurufen und auszuf\u00fchren. Dies f\u00fchrt zur Ausf\u00fchrung eines VBScript-Loaders, der PowerShell decodiert und startet, um ein JPEG-Bild von einem Bildhosting-Dienst herunterzuladen und den Stealer-Payload daraus extrahiert \u2013 alles im Arbeitsspeicher, um Festplattenartefakte zu minimieren und die Erkennung sowie Analyse zu erschweren.<\/p>\n<h2>WordlistLoader: Technische Mechanismen und Amatera-Integration<\/h2>\n<p>Der prim\u00e4re Zweck von WordlistLoader, einer Zwischenstufe in der Amatera-Infektionskette, ist die Rekonstruktion eines Shellcodes, der als Einstiegspunkt f\u00fcr die nachfolgenden Stufen dient. Gleichzeitig verwendet der Loader eine auf Hardware-Breakpoints basierende Methode, um die Event Tracing for Windows (ETW)-Funktion zu umgehen und so Spuren b\u00f6sartiger Aktivit\u00e4ten zu vermeiden. Seinen Namen verdankt WordlistLoader der Tatsache, dass der Shellcode in codierter Form als eine Sequenz von einfachen englischen W\u00f6rtern gespeichert wird, wobei jedes Wort ein Byte repr\u00e4sentiert. Die Forscher von Gen Digital identifizierten auch eine Variante, die die Wortliste durch ein Array von 16-Byte-UUID-codierten Bl\u00f6cken ersetzt. Der so rekonstruierte Shellcode verwendet schlie\u00dflich einen reflektiven Loader, der f\u00fcr das Auspacken und Laden von Amatera verantwortlich ist. Derselbe reflektive Loader wurde bereits Ende April 2026 in einer anderen ClickFix-Kampagne beobachtet, die Amatera 4.3.3-alpha1 auslieferte.<\/p>\n<p>Die neueste Version des Stealers (Amatera 4.0.2 Beta) verf\u00fcgt \u00fcber aktualisierte statische Verschleierung, geh\u00e4rtete Syscall-Aufrufe durch die WoW64-Transition, dynamisch generierte x64-indirekte Syscall-Trampoline, die \u00fcber Heaven&#8217;s Gate aufgerufen werden, und einen neu gestalteten Bypass f\u00fcr die Application-Bound Encryption (ABE), der direkt vom Remus Stealer inspiriert zu sein scheint.<\/p>\n<h2>SynkLoader: Microsoft-Teams-Phishing und falscher Sperrbildschirm<\/h2>\n<p>Parallel dazu wird SynkLoader \u00fcber eine Microsoft-Teams-Phishing-Kampagne verbreitet, die darauf abzielt, die Anmeldedaten des Opfers durch einen vorget\u00e4uschten Sperrbildschirm zu stehlen. Die Aktivit\u00e4t wurde von Expel Mitte August 2025 entdeckt. Ein Angreifer, der eine E-Mail-Adresse im Format @.onmicrosoft.com verwendete (der Standard-E-Mail-Domain von Microsoft 365 f\u00fcr Unternehmen), kontaktierte das Ziel unter dem Namen \u201eIT Service Desk\u201c. Der angebliche IT-Service-Mitarbeiter \u00fcberzeugte den Benutzer, ein MSI-Installationspaket von einem Microsoft-Azure-Dateispeicher-Endpunkt herunterzuladen und zu installieren (https:\/\/filereserve.blob.core.windows[.]net\/vgnghuyk\/331\/331.msi). Dies verlieh der Datei den Anschein, von Microsoft zu stammen.<\/p>\n<p>Das MSI-Installationsprogramm tarnt sich als \u201ePowerShell Cleaner\u201c. Bei der Ausf\u00fchrung extrahiert es ein ZIP-Archiv und ein PowerShell-Skript, das automatisch im Arbeitsspeicher ausgef\u00fchrt wird. Das Skript wird verwendet, um die Inhalte des Archivs zu extrahieren und daraus einen auf Python basierenden Loader zu starten. Dieser Loader w\u00e4hlt einen von drei fest codierten Command-and-Control (C2)-Domains aus und meldet sich in zuf\u00e4lligen Abst\u00e4nden (mit 90 bis 120 Sekunden Pause zwischen den Anfragen) beim Server. Der Loader entschl\u00fcsselt und f\u00fchrt anschlie\u00dfend die Antworten des Servers aus. Bisher wurden mindestens sieben verschiedene Module identifiziert:<\/p>\n<ul>\n<li><strong>System Profiler<\/strong>: Eine C#-DLL zur Erfassung von Systeminformationen des Zielrechners.<\/li>\n<li><strong>Persistence Module<\/strong>: Eine native DLL, die eine zuf\u00e4llig benannte geplante Aufgabe erstellt, die SynkLoader bei jedem Benutzer-Login und t\u00e4glich um 10:00 Uhr startet.<\/li>\n<li><strong>PhishLocker<\/strong>: Eine DLL, die einen gef\u00e4lschten Windows-Sperrbildschirm anzeigt, um das Benutzerpasswort zu stehlen.<\/li>\n<li><strong>TrafficRedirector<\/strong>: Ein Backconnect- oder Reverse-Proxy-Modul, das es dem Angreifer erm\u00f6glicht, auf lokale Netzwerkdienste zuzugreifen oder den Internetverkehr \u00fcber die infizierte Maschine zu leiten.<\/li>\n<li><strong>Interactive Shell<\/strong>: Ein Remote-Access-Trojaner-Modul (RAT) zur Ausf\u00fchrung von PowerShell-Befehlen und zur \u00dcbermittlung der Ergebnisse.<\/li>\n<li><strong>StreamMaster<\/strong>: Ein Virtual Network Computing (VNC)-Modul, das den Desktop des Opfers streamt und die Fernsteuerung von Maus und Tastatur erm\u00f6glicht.<\/li>\n<li><strong>Status Checker<\/strong>: Ein Python-Skript, das den Status der aktuell auf dem System laufenden Module an den C2-Server meldet.<\/li>\n<\/ul>\n<p>Die genauen Ziele der Betreiber sind noch unklar, doch es besteht der begr\u00fcndete Verdacht, dass das Werkzeug entweder von einer Ransomware-Gruppe oder von einem sogenannten Initial Access Broker eingesetzt wird. Die modulare Architektur von SynkLoader, kombiniert mit der M\u00f6glichkeit, Daten zu stehlen, Persistenz zu etablieren und als Proxy zu fungieren, macht es zu einem vielseitigen Werkzeug f\u00fcr verschiedene post-exploitation Aktivit\u00e4ten. Die kommenden Monate werden zeigen, ob diese Malware-Familien in gr\u00f6\u00dferem Umfang von Cyberkriminellen \u00fcbernommen werden und welche neuen Varianten oder Verteilungsmethoden die Bedrohungsakteure noch entwickeln werden. F\u00fcr Unternehmen und Privatanwender bleibt es essenziell, ihre Systeme gegen ClickFix- und Phishing-Angriffe zu sch\u00fctzen sowie den Einsatz von WebDAV und die Ausf\u00fchrung von Skripten aus dem Internet streng zu kontrollieren.<\/p>\n","protected":false},"excerpt":{"rendered":"<p>Cybersicherheitsforscher haben zwei neue Schadsoftware-Familien mit den Bezeichnungen WordlistLoader und SynkLoader identifiziert. Diese werden gezielt eingesetzt, um weiterf\u00fchrende Schadsoftware-Payloads zu verteilen und den Zugang zu kompromittierten Systemen an Ransomware-Gruppen zu verkaufen. Die Analyse durch Gen Digital zeigt, dass WordlistLoader dabei als zentraler Verteiler f\u00fcr den Infostealer Amatera (auch bekannt als ACR Stealer oder AcridRain Stealer) [&hellip;]<\/p>\n","protected":false},"author":5,"featured_media":53728,"comment_status":"closed","ping_status":"","sticky":false,"template":"","format":"standard","meta":{"fifu_image_url":"https:\/\/cards.overcentral.com\/cards\/de\/49784.png","fifu_image_alt":"WordlistLoader verbreitet Amatera per ClickFix, SynkLoader stiehlt Windows-Passw\u00f6rter","footnotes":""},"categories":[6671],"tags":[],"class_list":["post-49784","post","type-post","status-publish","format-standard","has-post-thumbnail","category-scherheit"],"fifu_image_url":"https:\/\/cards.overcentral.com\/cards\/de\/49784.png","fifu_image_alt":"WordlistLoader verbreitet Amatera per ClickFix, SynkLoader stiehlt Windows-Passw\u00f6rter","_links":{"self":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/49784","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/users\/5"}],"replies":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/comments?post=49784"}],"version-history":[{"count":1,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/49784\/revisions"}],"predecessor-version":[{"id":49787,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/49784\/revisions\/49787"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/media\/53728"}],"wp:attachment":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/media?parent=49784"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/categories?post=49784"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/tags?post=49784"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}