Betrügerische Videoplayer-Updates: Hacker installieren Minen und Ransomware

Sicherheitslage und Risiko

Millionen von Menschen besuchen diese Plattformen monatlich, wodurch dieses Malware-Programm eine enorme Reichweite erlangt; dabei bleiben Nutzer von illegalen Inhalten die primären Ziele.

Hacker nutzen gefälschte Updates für Videoplayer: Wenn ein Nutzer eine der kompromittierten Websites besucht und versucht, ein Video abzuspielen, erscheint eine Meldung, die behauptet, das Plugin sei veraltet und müsse aktualisiert werden, um die Wiedergabe fortzusetzen.

Das Anklicken dieses Prompts lädt ein ZIP-Archiv herunter, das eine legitimer wirkende Datei namens HLS Installer.874.exe sowie eine große bösartige DLL enthält. Sobald die ausführbare Datei läuft, wird die bösartige DLL in einen legitimen Systemprozess side-loaded, wodurch sie sich unter dem Schutz vertrauenswürdiger Software verstecken kann.

Technischer Hintergrund

Die Bibliothek ist mit unnötigem Code aufgefüllt, um die Analyse zu verlangsamen; im Inneren befindet sich jedoch eine Funktion, die absichtlich einen Stack-Overflow auslöst, um eine Anweisungskette zu erzeugen, die das eigentliche Payload entschlüsselt und in den Arbeitsspeicher lädt.

Anschließend übermittelt die Malware die Systemdetails des Opfers über DNS-Tunneling auf den Server des Angreifers, wobei der Datenverkehr als normale Aktivität getarnt wird, indem er Microsoft-Domain-Namen imitiert.

Erst nach Erhalt eines spezifischen Freigabesignals vom Server führt die Malware ihre Aktionen aus, was zeigt, dass die Angreifer ihre Ziele sorgfältig filtern, um Sicherheitstestumgebungen nicht zu aktivieren.

Technik und Auswirkungen

Ein Miner, ein RAT und ein anhaltender Watchdog Die Kernlast besteht aus einer modifizierten Version des quelloffenen Kryptowährungsminers SilentCryptoMiner. Sobald aktiv, nutzt er stumm die CPU und GPU des Opfers, um Kryptowährungen abzubauen, ohne dass der Nutzer davon merkt.

Ein separates RAT-Modul läuft ebenfalls im Hintergrund und gewährt Angreifern Fernzugriff, um Befehle auszuführen, Dateien zu starten und zusätzliche Malware jederzeit einzufügen. Um auf dem Gerät zu verbleiben, registriert sich die Malware als gefälschter Google-Dienst namens GoogleUpdateTaskMachineQC, der bei jedem Systemstart automatisch gestartet wird.

Ein Watchdog-Komponente, die innerhalb von Windows Explorer ausgeführt wird, prüft alle fünf Sekunden, ob der Miner aktiv ist, und stellt ihn aus einem verschlüsselten Backup wieder her, falls er entfernt wurde.

Einordnung fuer Autofahrer

Sicherheitsteams müssen diesen Watchdog innerhalb von explorer.exe beenden, bevor eine Bereinigung versucht wird; andernfalls wird der Miner lediglich neu installiert. Benutzer werden empfohlen, illegale Streaming- und Content-Websites zu meiden, da diese weiterhin die primären Verbreitungskanäle für diese Bedrohung darstellen.

Teams sollten auf ungewöhnlichen DNS-Verkehr, Dienste, die sich als Google-Update-Programme tarnen, und Codeinjektionen in explorer.exe oder conhost.exe achten. Die Überwachung auf unerwartete Dateien im Ordner C:\ProgramData\Google\Chrome und die Aktualisierung der Endpoint-Schutzsoftware sind entscheidende Schritte zur frühen Erkennung dieser Infektion.

Indikatoren für Kompromittierungen (IoCs): URL: Indikator: urush1bar4[.]online; Beschreibung: URL zum Herunterladen bösartiger Archivdateien. Dateihash (SHA1): Indikator: 6A0FE6065D76715FEEBC1526D456DB737F624407; Beschreibung: Bösartige DLL-Bibliothek.

Technischer Hintergrund

Dateihash (SHA256): Indikator: AE489324E96A708A09C17E6F02A43B3423367B9DDDC24CC7DFC070DF; Beschreibung: Bösartige DLL-Bibliothek. Domain: Indikator: 5d14vnfb[.]space; Beschreibung: RAT-C2-Server (April bis Juli 2025). Domain: Indikator: r7mvjl67[.]space; Beschreibung: RAT-C2-Server (August bis November 2025).

Domain: Indikator: zgj1tam9[.]space; Beschreibung: RAT-C2-Server (Dezember 2025). Domain: Indikator: jeaw520i[.]space; Beschreibung: RAT-C2-Server (Januar bis März 2026). Bereitschaftsindikator: qdmagva5[.]space; Beschreibung: RAT-C2-Server (April bis Juli 2026). Hinweis: IP-Adressen und Domains wurden absichtlich defanged (z.

B. [.] ), um eine unbeabsichtigte Auflösung oder das Erstellen von Hyperlinks zu verhindern. Defang nur in kontrollierten Threat-Intelligence-Plattformen wie MISP, VirusTotal oder Ihrem SIEM wiederherstellen. Tushar ist ein leitender Cybersecurity- und Breach-Reporter.

Sicherheitslage und Risiko

Er spezialisiert sich auf die Berichterstattung über Cybersecurity-Nachrichten, Trends und neu auftretende Bedrohungen, Datenpannen sowie Malware-Angriffe. Mit jahrelanger Erfahrung bringt er Klarheit und Tiefe in komplexe Sicherheitsthemen. Neue ChatGPT-Schwachstelle ermöglicht Angreifern, Webseiten in Phishing-Payloads umzuwandeln.

Kritische Sicherheitsaktualisierung von Oracle – Patch für 35 neue Schwachstellen in verschiedenen Produkten. Google patcht 151 Schwachstellen in Chrome, darunter 22 kritische.