Cyberkriminelle nutzen GHOSTYNETWORKS und OMEGATECH für JavaScript-Malware-Infrastruktur

Technik und Auswirkungen

Der finanzielle Motiv hinter diesen Kampagnen entspricht einem gut etablierten und wachsenden Bedrohungsprofil. Das FBI meldete allein im Jahr 2025 Verluste von über 3 Milliarden US-Dollar durch Betrugsgeschäfte per E-Mail.

Angreifer zielen zunehmend auf Organisationen mit schwächeren Sicherheitsvorkehrungen ab, wie etwa Finanzministerien kleinerer Nationen, bei denen begrenzte Budgets und weniger ausgereifte E-Mail-Schutzmaßnahmen sie deutlich anfälliger für Kompromittierungen machen. Hacker nutzen GHOSTYNETWORKS und OMEGATECH.

Die Infrastruktur hinter diesen Kampagnen macht diesen Fall besonders bemerkenswert. GHOSTYNETWORKS, das unter der AS-Nummer 205759 operiert und im Januar 2026 in Kentucky registriert wurde, beherbergte eines der IP-Adressen, die Spam versendeten.

Moegliche Anwendungen

Vier von seinen sechs angekündigten Netzwerkpräfixen werden derzeit von Spamhaus als missbräuchlich eingestuft; dieser Anbieter wird als Netzwerk beschrieben, das Cyberkriminalitätsoperationen weltweit ermöglicht.

Intrinsec verknüpfte GHOSTYNETWORKS mit hoher Zuversicht zu einem mittlerweile nicht mehr existierenden Netzwerk namens OPTIBOUNCE, das ebenfalls in Kentucky registriert war und zuvor mit AnonRDP, einem gut dokumentierten Anbieter für Bulletproof-Hosting, in Verbindung gebracht wurde.

Der gleiche Organisationsname, Daniel Mishayev, taucht bei mehreren in Kentucky registrierten Unternehmen auf, die jeweils mit einem Netzwerk verbunden sind, das konsistent für missbräuchliche Inhalte markiert wurde. Im gesamten März 2026 registrierten Honeypots über 30.000 Netzwerkkontakte von IP-Adressen, die von GHOSTYNETWORKS angekündigt wurden.

Technik und Auswirkungen

OMEGATECH (AS202412), mit Sitz in den Seychellen, hostete die Command-and-Control-Domäne des JavaScript-Backdoors sowie eine zweite Domain zum Versenden von Spam. Spamhaus identifiziert diese Einrichtung als weiteres Frontunternehmen für Virtualine, einen in Russland ansässigen Bulletproof-Anbieter, der auf unterirdischen kriminellen Foren beworben wird.

Während des März 2026 protokollierten Honeypots mehr als 642.000 Netzwerkkontakte von IP-Adressen von OMEGATECH, was verdeutlicht, wie stark dieses Netzwerk für schädliche Zwecke ausgenutzt wird. JavaScript-Backdoor-Lieferung und defensive Empfehlungen Das JavaScript-Backdoor wurde für Stealth entwickelt.

Die Kommunikation erfolgte mit dem C2-Server über ungewöhnliche Ports wie 2002, 2004 und 7273, wobei eine veraltete Internet Explorer-Benutzeragenten-String verwendet wurde, um den Datenverkehr als normale Browseraktivität zu tarnen.

Sicherheitslage und Risiko

Dieses Design unterstützt die Malware dabei, sich zu tarnen und grundlegende Sicherheitsfilter zu umgehen, die sich auf offensichtlichere Binärbedrohungen konzentrieren.

Intrinsec empfiehlt Organisationen, Dateitypen, die mit JavaScript in Verbindung stehen, wie.js,.jse und.mjs-Anhänge zu blockieren, sowie ZIP-, ISO- und RAR-Container, die möglicherweise eingebettete Skripte enthalten.

Die Durchsetzung von Anwendungskontrollen, um die Ausführung von wscript und cscript außerhalb vertrauenswürdiger Pfade zu verhindern, bietet einen weiteren wichtigen Schutzschicht. Der Einsatz fortschrittlicher E-Mail-Sicherheitsgateways zur Erkennung und Filterung von Phishing-E-Mails mit bösartigen Anhängen wird ebenfalls dringend empfohlen.

Sicherheitslage und Risiko

Neben technischen Kontrollen bleibt das Bewusstsein der Mitarbeiter eine kritische Verteidigungslinie. Regelmäßige Phishing-Schulungen und simulierte interne Tests helfen dem Personal dabei, verdächtigen Inhalt zu erkennen, bevor er echten Schaden anrichtet.

Das Blockieren von Netzwerkpräfixen, die mit bekannten bulletproof-hosting-Autonomien verknüpft sind, bleibt auf Firewall-Ebene eine der effizientesten Methoden, um bösartigen Verkehr daran zu hindern, interne Systeme zu erreichen. Indikatoren für Kompromittierungen (IoCs): ASN: Indikator: 205759; Beschreibung: GHOSTYNETWORKS.

ASN: Indikator: 202412; Beschreibung: OMEGATECH-AS. IPv4: Indikator: 83.142.209[.]64; Beschreibung: Sendet Spam. IPv4: Indikator: 91.92.243[.]79; Beschreibung: Sendet Spam und JS-Backdoor-C2. IPv4: Indikator: 158.94.211[.]76; Beschreibung: JS-Backdoor-C2. Domain: Indikator: mail.talruit[.]com; Beschreibung: Sendet Spam.

Technik und Auswirkungen

Domain: Indikator: talruit[.]com; Beschreibung: Sendet Spam. Domain: Indikator: scan.aryamint[.]com; Beschreibung: JS-Backdoor-C2. Hinweis: IP-Adressen und Domains wurden absichtlich defanged (z. B. durch [.] ) dargestellt, um eine unbeabsichtigte Auflösung oder Hyperlinkierung zu verhindern.

Defang nur innerhalb kontrollierter Threat-Intelligence-Plattformen wie MISP, VirusTotal oder Ihres SIEM. Tushar ist ein Senior-Reporter für Cybersicherheit und Sicherheitsverletzungen.

Er spezialisiert sich auf die Berichterstattung über Nachrichten, Trends und neu auftretende Bedrohungen im Bereich der Cybersicherheit, einschließlich Datenlecks und Malware-Angriffe. Mit jahrelanger Erfahrung bringt er Klarheit und Tiefe in komplexe Sicherheitsthemen.

Der Datenleck-Vorfall bei Carnival Cruise hat die persönlichen Daten von Millionen von Kunden offengelegt. Die Schwachstelle im Gitea-Container gefährdet private Container-Images und macht sie Angreifern zugänglich. Die kritische Schwachstelle im Roundcube-Webmail ermöglicht es Angreifern, SQL-Abfragen einzufügen.