Cyberkriminelle missbrauchen TikTok und Instagram Reels zur Verbreitung von Malware durch gefälschte Software-Tutorials

Sicherheitslage und Risiko

In einem von ReversingLabs erstellten Bericht, der mit Cyber Security News (CSN) geteilt wurde, wird festgestellt, dass diese Kombination aus weitreichender Präsenz in den sozialen Medien und leicht zugänglichen Malware-Tools eine wirklich gefährliche Bedrohungsumgebung für Privatpersonen und Organisationen gleichermaßen schafft.

Hacker missbrauchen TikTok- und Instagram-Reels. Die erste Kampagne nutzt Konten mit Benutzernamen wie „windows.tips" oder „windows.insights", die mit einem blau-weißen Profilbild versehen sind, das das offizielle Windows-Logo in den sozialen Medien täuschend ähnlich nachbildet.

Diese Konten veröffentlichen professionelle Tutorial-Videos mit KI-generierten Voice-Overs, in denen Benutzer Schritt für Schritt angeleitet werden, eine bestimmte PowerShell-Befehlszeile einzugeben, die angeblich Spotify Premium kostenlos freischaltet.

Technik und Auswirkungen

Dieser Befehl weist Windows an, eine Skriptdatei von einer entfernten Adresse stillschweigend herunterzuladen und auszuführen. Wenn Benutzer die Anweisungen kritiklos befolgen, führen sie unbewusst eine Datei aus, die als Vidarstealer identifiziert wurde.

Besonders gefährlich ist, wie sauber und autoritär die Videos wirken, wobei viele über 100.000 Aufrufe sowie Tausende von Speichervorgängen und Teilen erreichen. Die zweite Kampagne verfolgt einen deutlich lockereren Ansatz, um Opfer anzulocken.

Diese Konten veröffentlichen kurze, vage Clips, die Premium-Funktionen von Spotify zeigen, während Trendmusik abgespielt wird, und regen die Zuschauer an, aus Neugier Kommentare zu hinterlassen.

Technik und Auswirkungen

Sobald sich die Interaktion verstärkt, antwortet der Angreifer mit Hinweisen auf bösartige Websites wie pluginchad[.]xyz oder d4 µg[.]site, die gefälschte Software-Downloads hinter Umfragen verstecken.

Warum diese Social-Engineering-Angriffe schwer zu stoppen sind Besonders hartnäckig ist diese Bedrohung, weil soziale Medienplattformen nicht gut darauf vorbereitet sind, sie zu bekämpfen. Forscher von ReversingLabs versuchten, bösartige Instagram-Konten als Betrug zu melden, und jede einzelne Meldung wurde abgelehnt.

Selbst wenn Inhalte gemeldet werden, reagieren die Plattformen langsam, und bis ein Konto entfernt wurde, ist der Schaden bereits angerichtet. Angreifer unterdrücken Warnungen der Community zudem mit erheblicher Leichtigkeit.

Wenn ein Zuschauer einen Kommentar hinterlässt,

Wenn ein Zuschauer einen Kommentar hinterlässt, der andere auf den Betrug aufmerksam macht, löschen der Angreifer diesen sofort und sperrt den betreffenden Nutzer. Diese Dynamik macht eine echte Selbstregulierung nahezu unmöglich und verlagert die gesamte Verantwortung für den Schutz vollständig auf Organisationen und einzelne Nutzer.

Praktische Schutzmaßnahmen existieren und sollten jetzt ergriffen werden. Organisationen sollten regelmäßig überprüfen, wer Berechtigungen zur Installation auf Arbeitsgeräten innehat, da einige in diesen Videos beworbene Software als nützliche professionelle Werkzeuge dargestellt wird.

Phishing-Schulungsprogramme müssen auf dem neuesten Stand bleiben und explizit soziale Medien als Angriffsvektor abdecken, nicht nur E-Mails. Nutzer sollten verdächtige Konten konsequent melden, da eine höhere Anzahl an Meldungen die Wahrscheinlichkeit einer Entfernung erhöht und die Dynamik eines Angreifers verlangsamen kann.

Technik und Auswirkungen

Indikatoren für Kompromittierungen (IoCs): Hash: Indikator: 03bbc4fa1fd784276da135ab62fef85aaddea66e6eb176d7e59c3398f818b153; Beschreibung: SHA-256-Hash von build.exe, identifiziert als Vidarstealer. Domain: Indikator: pluginchad[.]xyz; Beschreibung: Schadensite, die gefälschte kostenlose Software-Downloads hostet.

Domain: Indikator: maxapk[.]xyz; Beschreibung: Schadensite, die gefälschte kostenlose Software-Downloads hostet. Domain: Indikator: d4µg[.]site; Beschreibung: Fälschungsseite, die behauptet, „Premium-Spiele und KI-Tools freizuschalten".

Domain: Indikator: slmgr[.]sh; Beschreibung: Domain, die in schädlichen PowerShell-Befehlen zur Auslieferung verwendet wurde. Domain: Indikator: msget[.]run; Beschreibung: Domain, die zur Auslieferung von Vidarstealer über den iex irm-Befehl genutzt wurde.

Technik und Auswirkungen

Konto: Indikator: tiktok[.]com/@windows.tips1; Beschreibung: Schädliches TikTok-Konto, das in einer Tutorial-Kampagne eingesetzt wurde. Konto: Indikator: tiktok[.]com/@windows.insight; Beschreibung: Schädliches TikTok-Konto, das in einer Tutorial-Kampagne eingesetzt wurde. Hinweis: IP-Adressen und Domains wurden absichtlich defanged (z.

B. [.] ) dargestellt, um eine unbeabsichtigte Auflösung oder das Erstellen von Hyperlinks zu verhindern. Defang nur innerhalb kontrollierter Threat-Intelligence-Plattformen wie MISP, VirusTotal oder Ihres SIEM. Tushar ist ein Senior-Experte für Cybersicherheit und Berichterstattung über Sicherheitsvorfälle.

Er spezialisiert sich auf die Berichterstattung über Nachrichten und Trends im Bereich Cybersicherheit sowie auf aufkommende Bedrohungen, Datenpannen und Malware-Angriffe. Mit jahrelanger Erfahrung bringt er Klarheit und Tiefe in komplexe Sicherheitsthemen. Windows BitLocker 0-Day-Schwachstelle ermöglicht Angreifern das Umgehen der Sicherheitsfunktion.

Anthropic hat Claude Fable 5 veröffentlicht, das erste Modell der Mythos-Klasse. Neuer Windows Defender 0-Day-Exploit „RoguePlanet" gewährt Angreifern SYSTEM-Zugriff.