Betrügerische DeepSeek-TUI-Repositories auf GitHub dienen Hackern als Vehikel für Malware

Sicherheitslage und Risiko

Die primäre Malware-Datei, die in dieser Kampagne identifiziert wurde, heißt DeepSeek-TUI_x64.exe, hat die MD5-Hash-Wert b96c0d609c1b7e74f8cb1442bf0b5418 und ein Kompilierungsdatum vom 29. April 2026. Bevor sie bösartiges Verhalten ausführt, führt sie eine umfassende Umgebungsprüfung durch, um festzustellen, ob sie in einer Sandbox ausgeführt wird.

Wenn sie Anzeichen einer virtuellen Maschine, bekannter Analysetools oder verdächtiger Systemmerkmale erkennt, zeigt sie die Meldung „Sorry, your system does not meet the minimum requirements" an und beendet sich leise.

Sobald die Malware bestätigt hat, dass sie auf einem echten Benutzersystem läuft, schaltet sie wesentliche Windows Defender-Schutzmechanismen mithilfe eines mit XOR-verschlüsselten PowerShell-Skripts aus.

Technischer Hintergrund

Es fügt sechs Ordnerausschlüsse hinzu, deaktiviert die cloudbasierte Berichterstattung, schaltet die Verhaltensüberwachung aus und öffnet drei eingehende Firewall-Ports: 57001, 57002 und 56001.

Der im Beispiel verwendete String-Decryption-Key lautet „xnasff3wcedj", und die Malware kontaktiert Pastebin- sowie snippet.host-Links, um Azure-hostete zweiteilige Payloads abzurufen. Die heruntergeladenen zweiteiligen Komponenten erfüllen jeweils eine spezifische Rolle zur Aufrechterhaltung des Zugriffs des Angreifers.

OneSync.exe und WinHealhCare.exe übernehmen die Installation und die Einrichtung sich über Telegram zurück. Die Komponente onedrive_sync.exe stellt die Persistenz über den Windows-Run-Registry-Eintrag sicher.

Technischer Hintergrund

Gleichzeitig fungiert svc_service.exe als residenter Kern, der NT-Systemaufrufe für Thread-Injektionen nutzt und.NET-Assemblys vollständig im Arbeitsspeicher lädt, um einer Erkennung auszuweichen.

Mehrstufige Persistenz und Umgehung Persistenzmechanismen durch die Kampagne macht es besonders schwierig, den Befall nach einer Systemkompromittierung zu entfernen. Die Malware kann über geplante Aufgaben, Registry-Einträge im Laufverzeichnis, Winlogon-Hooks und Startverknüpfungen überdauern.

Der zweiteilige Loader autodate.exe gibt sich als Dienstmanger aus und injiziert im Hintergrund Payloads in den Arbeitsspeicher. Als Command-and-Control-Domains werden mikolirentryifosttry.info und zkevopenanu.cfd genutzt.

Technik und Auswirkungen

Entwickler und Sicherheitsteams werden dringend aufgefordert, die Echtheit überprüfen, insbesondere bei KI-bezogenen Werkzeugen, die plötzlich öffentliche Aufmerksamkeit erregen. Prüfen Sie stets das Kontenalter, die Commit-Historie und die Anzahl echter Mitwirkender, bevor Sie eine Freigabe vertrauen.

Endpoint-Detection-Tools, die Techniken der Speicherinjektion und ungewöhnliche PowerShell-Aktivitäten überwachen, können ebenfalls dazu beitragen, diese Art ühzeitig zu erkennen. Die Re-Fang-Maßnahmen sind ausschließlich in kontrollierten Threat-Intelligence-Plattformen wie MISP, VirusTotal oder Ihrem SIEM durchzuführen. Sie uns auf