{"id":237489,"date":"2026-08-05T11:35:09","date_gmt":"2026-08-05T11:35:09","guid":{"rendered":"https:\/\/www.europesays.com\/ch-de\/237489\/"},"modified":"2026-08-05T11:35:09","modified_gmt":"2026-08-05T11:35:09","slug":"smokescreen-angreifer-tarnen-malware-als-zoom-updates","status":"publish","type":"post","link":"https:\/\/www.europesays.com\/ch-de\/237489\/","title":{"rendered":"SMOKE#SCREEN: Angreifer tarnen Malware als Zoom-Updates"},"content":{"rendered":"<p>Angreifer nutzen gef\u00e4lschte Update-Meldungen, um Fernwartungssoftware auf Windows- und Mac-Systemen zu installieren. Die Kampagne betrifft auch deutsche Unternehmen.<\/p>\n<p>Sicherheitsforscher haben eine neue Angriffswelle namens \u201eSMOKE#SCREEN\u201c aufgedeckt. Die T\u00e4ter tarnen Schadsoftware als legitime Software-Updates und verschaffen sich so Zugang zu fremden Systemen. Betroffen sind sowohl Windows- als auch macOS-Nutzer \u2013 auch in Deutschland d\u00fcrfte die Gefahr real sein, warnen Experten.<\/p>\n<p>Die Angreifer setzen auf gef\u00e4lschte Installationsdateien beliebter Anwendungen wie Zoom oder Adobe-Produkte. Auch manipulierte Gesch\u00e4ftsdokumente und fingierte Systemwartungsmeldungen dienen als K\u00f6der. Wer die vermeintliche Aktualisierung ausf\u00fchrt, installiert unwissentlich ScreenConnect \u2013 ein legitimes Fernwartungstool, das den Angreifern dauerhaften Zugriff auf den Rechner verschafft.<\/p>\n<p>Technische Infrastruktur im Detail<\/p>\n<p>Hinter der Kampagne steckt eine ausgekl\u00fcgelte Infrastruktur. Sicherheitsanalysten identifizierten einen zentralen Staging-Server unter der Adresse 207.174.0.143:8080, auf dem 15 verschiedene Schadprogramme abgelegt waren. F\u00fcr die Kommunikation mit kompromittierten Systemen nutzen die T\u00e4ter drei Relay-Cluster, darunter die Adresse 142.202.191.225 und die Domain blog.derrspecial-onlinedmin.live. Die Steuerung l\u00e4uft vor allem \u00fcber Port 8041.<\/p>\n<p>Besonders bemerkenswert ist die Plattform-\u00fcbergreifende Ausrichtung. W\u00e4hrend viele Angriffe dieser Art nur Windows-Systeme ins Visier nehmen, existiert hier auch eine macOS-Variante, die als \u201eZoomUpdateInstaller.pkg\u201c getarnt ist. Auf Windows-Rechnern beginnt die Infektionskette h\u00e4ufig mit einer VBScript-Datei wie \u201ezoom-update.vbs\u201c, die zun\u00e4chst pr\u00fcft, ob das System von Sicherheitsforschern analysiert wird.<\/p>\n<p>Anzeige<\/p>\n<p>Immer mehr Unternehmen werden Opfer von Cyberangriffen durch manipulierte Software \u2013 diese Checkliste hilft Ihnen, es zu verhindern. Erfahren Sie im kostenlosen E-Book, wie Sie sich proaktiv absichern und Sicherheitsl\u00fccken schlie\u00dfen, bevor es zu sp\u00e4t ist. <a href=\"https:\/\/www.datenschutz-praemien.de\/skillsforwork\/cyber-security\/?af=KOOP_MFW_DSN_DNV_YES_CYBER-SECURITY_X-AD1of2-EAID-1073490-CWBNC-BCPID_39232\" rel=\"noopener nofollow\" target=\"_blank\">Gratis-Report zur Cyber-Security jetzt herunterladen<\/a><\/p>\n<p>Raffinierte Tarnung gegen SicherheitssoftwareLesen Sie auch:<a href=\"https:\/\/borncity.com\/news\/qrng-chip-fraunhofer-entwickelt-quanten-schutz-fuer-industrie\/\" class=\"bc-inline-link\" rel=\"nofollow noopener\" target=\"_blank\">QRNG-Chip: Fraunhofer entwickelt Quanten-Schutz f\u00fcr Industrie<\/a><\/p>\n<p>Die Angreifer setzen auf mehrere Tricks, um nicht entdeckt zu werden. Sie wechseln regelm\u00e4\u00dfig die Hash-Werte ihrer Schaddateien, wodurch signaturbasierte Antivirenprogramme die Malware kaum erkennen k\u00f6nnen. Zus\u00e4tzlich sind die Laderoutinen darauf ausgelegt, Sicherheitsfunktionen wie Microsoft Defender, SmartScreen und die Antimalware-Schnittstelle AMSI zu deaktivieren.<\/p>\n<p>Eine Neuerung: Seit kurzem verz\u00f6gern die T\u00e4ter die Ausf\u00fchrung ihrer Schadsoftware um drei Minuten. Diese zeitliche Pause soll offenbar die Korrelations-Engines von Sicherheitsplattformen wie Elastic austricksen, die den Zusammenhang zwischen erster Ausf\u00fchrung und sp\u00e4teren Schadaktivit\u00e4ten dann nicht mehr herstellen k\u00f6nnen. Zur weiteren Verschleierung nutzt die Kampagne Cloudflare-Tunnel und Dropbox f\u00fcr die Steuerung \u2013 der Datenverkehr tarnt sich damit als legitimer Webdienst.<\/p>\n<p>Anzeige<\/p>\n<p>Wer sich mit dem Schutz digitaler Infrastrukturen befasst, muss heute auch die psychologischen Tricks der Angreifer kennen. Dieser kostenlose Report enth\u00fcllt aktuelle Methoden der Cyberkriminellen und zeigt in 4 Schritten den Weg zur erfolgreichen Abwehr. <a href=\"https:\/\/www.datenschutz-praemien.de\/allgemein\/anti-phishing-paket\/?af=KOOP_MFW_DSN_DNV_YES_ANTI-PHISHING-PAKET_X-AD2of2-EAID-1073490-CWBNC-BCPID_39232\" rel=\"noopener nofollow\" target=\"_blank\">Kostenloses Anti-Phishing-Paket sichern<\/a><\/p>\n<p>Ein wachsender Trend: Missbrauch von Fernwartungstools<\/p>\n<p>Der Fall reiht sich ein in eine Serie \u00e4hnlicher Vorf\u00e4lle. Erst Ende Juli entdeckten Forscher eine Phishing-Kampagne, die sich als Bank of America ausgab. Die Angreifer nutzten damals ein ZIP-Archiv mit einem VBScript, um die Benutzerkontensteuerung zu umgehen und ScreenConnect als versteckten Systemdienst zu installieren.<\/p>\n<p>Eine konkrete Zuordnung zu einer bestimmten Hackergruppe steht noch aus. Die Kombination aus signierten Programmen und legitimer Fernwartungssoftware macht die Angriffe besonders gef\u00e4hrlich: Herk\u00f6mmliche Malware-Erkennung greift nicht, weil die installierte Software ein normales Gesch\u00e4ftswerkzeug ist. Sicherheitsexperten empfehlen Unternehmen daher, verst\u00e4rkt auf Verhaltensanalyse zu setzen und den Einsatz nicht genehmigter Fernwartungsl\u00f6sungen im Netzwerk strikt zu unterbinden.<\/p>\n","protected":false},"excerpt":{"rendered":"Angreifer nutzen gef\u00e4lschte Update-Meldungen, um Fernwartungssoftware auf Windows- und Mac-Systemen zu installieren. Die Kampagne betrifft auch deutsche Unternehmen.&hellip;\n","protected":false},"author":2,"featured_media":237490,"comment_status":"","ping_status":"","sticky":false,"template":"","format":"standard","meta":{"footnotes":"","_share_on_mastodon":"0"},"categories":[15],"tags":[46,2937,51309,4694,45,60,59,1378,44,64,61,63,62],"class_list":["post-237489","post","type-post","status-publish","format-standard","has-post-thumbnail","category-wissenschaft-technik","tag-ch","tag-cybersicherheit","tag-fernwartung","tag-malware","tag-schweiz","tag-science","tag-science-technology","tag-software-updates","tag-switzerland","tag-technik","tag-technology","tag-wissenschaft","tag-wissenschaft-technik"],"share_on_mastodon":{"url":"https:\/\/pubeurope.com\/@ch_de\/117042689459214354","error":""},"_links":{"self":[{"href":"https:\/\/www.europesays.com\/ch-de\/wp-json\/wp\/v2\/posts\/237489","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.europesays.com\/ch-de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.europesays.com\/ch-de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.europesays.com\/ch-de\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/www.europesays.com\/ch-de\/wp-json\/wp\/v2\/comments?post=237489"}],"version-history":[{"count":0,"href":"https:\/\/www.europesays.com\/ch-de\/wp-json\/wp\/v2\/posts\/237489\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.europesays.com\/ch-de\/wp-json\/wp\/v2\/media\/237490"}],"wp:attachment":[{"href":"https:\/\/www.europesays.com\/ch-de\/wp-json\/wp\/v2\/media?parent=237489"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.europesays.com\/ch-de\/wp-json\/wp\/v2\/categories?post=237489"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.europesays.com\/ch-de\/wp-json\/wp\/v2\/tags?post=237489"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}