Hackern nutzen veraltetes MSHTA-Tool von Windows, um LummaStealer und Amatera-Malware zu verteilen

Technik und Auswirkungen

Besonders besorgniserregend ist, dass MSHTA standardmäßig in Windows enthalten bleibt und kein Entferndatum angekündigt wurde. Obwohl Microsoft plant, VBScript bis 2027 vollständig aus Windows zu deaktivieren, bleibt MSHTA für die absehbare Zukunft eine offene Tür für Angreifer.

Eine der aktivsten Angriffsketten nutzt einen Loader namens CountLoader, der MSHTA verwendet, um LummaStealer und Amatera zu verteilen. Die Infektion beginnt, wenn ein Opfer Software herunterlädt, die sich als kostenlose oder geknackte Version ausgibt.

Im Archiv befindet sich eine Datei namens Setup.exe, die tatsächlich einen legitimen Python-Interpreter enthält, der mit bösartigen Skripten versehen ist und die Attacke stillschweigend im Hintergrund startet.

Technischer Hintergrund

Während das Python-Skript ausgeführt wird, nutzt es eine umbenannte Kopie von MSHTA, die sich als iso2022.exe ausgeben, um sich mit Servern der Angreifer zu verbinden und die nachfolgende Payload abzurufen.

Die Domains, die in dieser Kampagne verwendet werden, sehen vertrauenswürdigen Diensten wie google-services[.]cc und memory-scanner[.]cc ähnlich, wobei die Top-Level-Domain.cc wiederholt vorkommt.

Die Kampagne erreichte Ende Januar 2026 ihren Höhepunkt, bevor die Angreifer auf Domains mit den Endungen.vg und.gl umstiegen, darunter explorer[.]vg und ccleaner[.]gl. Die finale Payload ist in den meisten Fällen LummaStealer, der entwickelt wurde, um Browser-Credentials, Sitzungs-Cookies und Daten von Kryptowährungs-Wallets zu erbeuten.

Amatera, ein weiterer Stealer derselben Kette,

Amatera, ein weiterer Stealer derselben Kette, zielt auf ähnliche Daten ab. Beide können Konten stumm entleeren und gestohlene Informationen an Kriminelle weiterleiten, oft während die Opfer völlig unbemerkt bleiben.

ClickFix-Sozialengineering und die Emmenhtal-Loader-Kette Eine separate Kampagne nutzt einen anderen Trick, um MSHTA auf den Opfer-Maschinen zum Laufen zu bringen. Angreifer versenden Phishing-Nachrichten auf Discord, die zu gefälschten Verifizierungsseiten führen, die sich als reCAPTCHA-Systeme tarnen.

Wenn ein Benutzer auf eine dieser Seiten zugreift, kopiert JavaScript heimlich einen schädlichen Befehl in die Zwischenablage und weist ihn an, Win + R zu drücken, den Befehl einzufügen und Enter zu betätigen.

Technischer Hintergrund

Diese einzelne Aktion löst aus, dass MSHTA ein Remote-Skript abruft, das vollständig im Arbeitsspeicher ausgeführt wird und die Festplatte nicht berührt, wodurch es die meisten dateibasierten Sicherheitstools umgeht.

Im Inneren befinden sich mehrere verschlüsselte Schichten, die schließlich einen PowerShell-Befehl ausführen und LummaStealer als letztes Payload freisetzen.

Bitdefender empfiehlt Organisationen, MSHTA in administrativen Arbeitsabläufen wherever möglich zu vermeiden und Binärcode wie mshta.exe einzuschränken oder zu blockieren, sofern er nicht mehr benötigt wird.

Die Schulung der Benutzer ist ebenso

Die Schulung der Benutzer ist ebenso wichtig, da diese Kampagnen stark darauf ausgelegt sind, Menschen dazu zu bringen, Befehle auszuführen, die sie nicht vollständig verstehen.

Eine mehrschichtige Verteidigung, die Verhaltenserkennung und Laufzeit-Blockierung umfasst, bleibt der effektivste Weg, um diese Angriffe zu stoppen, bevor dauerhafte Schäden entstehen. Indikatoren für Kompromittierungen (IoCs): – SHA256: Indikator: AA845A8FB4AB38AEBE6A16A2A8F80CA4467AC0991D3EEF4D8A10BDF97DEDB1E9; Beschreibung: Initialer HTA nach ClickFix.

SHA256: Indikator: 02630FA994B1566AD1515FD87220FC037B967F07495985A3637D68D7E08C57EE; Beschreibung: Obfuszierter PowerShell. SHA256: Indikator: 1E0E375F3EE82D5AF5DFE6F7DF0E2FAC9A7D37C67ADD3390D05A93AFD85B7C84; Beschreibung: LummaStealer-Payload. URL: Indikator: hxxp[://]185[.]147[.]124[.]40/Capcha[.]html; Beschreibung: Emmenhtal-URL.

URL: Indikator: hxxp[://]92[.]255[.]57[.]155/Capcha[.]html; Beschreibung: Emmenhtal-URL.

URL: Indikator: hxxp[://]92[.]255[.]57[.]155/Capcha[.]html; Beschreibung: Emmenhtal-URL. URL: Indikator: hxxps[://]denek[.]local-wanderer[.]shop/RIWZ[.]mp4; Beschreibung: Emmenhtal-URL. URL: Indikator: hxxps[://]buck2nd[.]oss-eu-central-1[.]aliyuncs[.]com/dir/sixth/singl6[.]mp4; Beschreibung: Emmenhtal-URL.

URL: Indikator: hxxps[://]macphotoeditor[.]shop/singl5[.]mp4; Beschreibung: Emmenhtal-URL. URL: Indikator: hxxps[://]topofsuper[.]shop/re5[.]mp4; Beschreibung: Emmenhtal-URL. URL: Indikator: hxxps[://]antibot-check[.]icu/Capcha[.]html; Beschreibung: Emmenhtal-URL. URL: Indikator: hxxps[://]checkpageonce[.]com/singl6[.]mp4; Beschreibung: Emmenhtal-URL.

URL: Indikator: hxxps[://]echoicedeals[.]shop/s6[.]mp3; Beschreibung: Emmenhtal-URL. URL: Indikator: hxxps[://]kizmond[.]shop/riiw1[.]mp4; Beschreibung: Emmenhtal-URL. URL: Indikator: hxxps[://]klipjaqemiu[.]shop/web44[.]mp4; Beschreibung: Emmenhtal-URL. URL: Indikator: hxxps[://]macphotoeditor[.]shop/singl6[.]mp4; Beschreibung: Emmenhtal-URL.

URL: Indikator: hxxps[://]onceletthemcheck[.]com/singl5[.]mp4; Beschreibung: Emmenhtal-URL.

URL: Indikator: hxxps[://]onceletthemcheck[.]com/singl5[.]mp4; Beschreibung: Emmenhtal-URL. URL: Indikator: hxxps[://]pawpaws[.]readit-carfanatics[.]com/madonna[.]mp4; Beschreibung: Emmenhtal-URL. URL: Indikator: hxxps[://]propofgustestyle[.]info/recaptcha-verify[.]html; Beschreibung: Emmenhtal-URL.

URL: Indikator: hxxps[://]recaptcha-process[.]com/recaptcha-verify[.]html; Beschreibung: Emmenhtal-URL. URL: Indikator: hxxps[://]retrosome[.]shop/ru2-2[.]eml; Beschreibung: Emmenhtal-URL. URL: Indikator: hxxps[://]savecoupons[.]store/s7[.]mp4; Beschreibung: Emmenhtal-URL.

URL: Indikator: hxxps[://]solve[.]gevaq[.]com/awjxs[.]captcha?u=a1bdaa0d-6aab-4d96-bafe-483ef5eb8cae; Beschreibung: Emmenhtal-URL. URL: Indikator: hxxps[://]solve[.]jenj[.]org/awjxs[.]captcha?u=8508de42-23ab-4b24-aa95-eda5feae86e8; Beschreibung: URL aus Emmenhtal. URL: Indikator: hxxps[://]thepremiumstuffs[.]shop/s5[.]mp4; Beschreibung: URL aus Emmenhtal.

URL: Indikator: hxxps[://]triptrip[.]melody-wave[.]shop/re2[.]mp4; Beschreibung: URL aus

URL: Indikator: hxxps[://]triptrip[.]melody-wave[.]shop/re2[.]mp4; Beschreibung: URL aus Emmenhtal. URL: Indikator: hxxps[://]check[.]qlkwr[.]com/awjsx[.]captcha?u=03cb013e-aa4a-439e-86af-c3319c7b5dc0; Beschreibung: URL aus Emmenhtal. URL: Indikator: hxxps[://]driftcharm[.]shop/S6[.]mp4; Beschreibung: URL aus Emmenhtal.

URL: Indikator: hxxps[://]etrademart[.]shop/s6[.]mp3; Beschreibung: URL aus Emmenhtal. URL: Indikator: hxxps[://]scrutinycheck[.]cash/singl5[.]mp4; Beschreibung: URL aus Emmenhtal. URL: Indikator: hxxps[://]simplerwebs[.]space/anrek[.]mp4; Beschreibung: URL aus Emmenhtal.

URL: Indikator: hxxps[://]simplerwebs[.]world/mine[.]json; Beschreibung: URL aus Emmenhtal. CountLoader LummaStealer-Domains Domain: Indikator: memory-scanner[.]cc; Beschreibung: Infrastruktur für CountLoader LummaStealer. Bereich: Indikator: fileless-market[.]cc; Beschreibung: Infrastruktur für CountLoader und LummaStealer.

Technik und Auswirkungen

Bereich: Indikator: hell1-kitty[.]cc; Beschreibung: Infrastruktur für CountLoader und LummaStealer. Bereich: Indikator: holiday-forever[.]cc; Beschreibung: Infrastruktur für CountLoader und LummaStealer. Bereich: Indikator: system-monitor[.]cc; Beschreibung: Infrastruktur für CountLoader und LummaStealer.

Bereich: Indikator: forest-entity[.]cc; Beschreibung: Infrastruktur für CountLoader und LummaStealer. Bereich: Indikator: indeanapolice[.]cc; Beschreibung: Infrastruktur für CountLoader und LummaStealer. Bereich: Indikator: files-storage[.]cc; Beschreibung: Infrastruktur für CountLoader und LummaStealer.

Bereich: Indikator: some-othertag[.]cc; Beschreibung: Infrastruktur für CountLoader und LummaStealer. Bereich: Indikator: s3-updatehub[.]cc; Beschreibung: Infrastruktur für CountLoader und LummaStealer. Bereich: Indikator: s3-microservice-updatehub[.]cc; Beschreibung: Infrastruktur für CountLoader und LummaStealer.

Bereich: Indikator: microservice-update-s2-bucket[.]cc; Beschreibung: Infrastruktur für

Bereich: Indikator: microservice-update-s2-bucket[.]cc; Beschreibung: Infrastruktur für CountLoader LummaStealer. Bereich: Indikator: parent-control[.]cc; Beschreibung: Infrastruktur für CountLoader LummaStealer. Bereich: Indikator: alphazero1-endscape[.]cc; Beschreibung: Infrastruktur für CountLoader LummaStealer.

Bereich: Indikator: microservice-update-s1-bucket[.]cc; Beschreibung: Infrastruktur für CountLoader LummaStealer. Bereich: Indikator: globalsnn2-new[.]cc; Beschreibung: Infrastruktur für CountLoader LummaStealer. Bereich: Indikator: polystore9-servicebucket[.]cc; Beschreibung: Infrastruktur für CountLoader LummaStealer.

Bereich: Indikator: hardware-office[.]cc; Beschreibung: Infrastruktur für CountLoader LummaStealer. Bereich: Indikator: immortal-service[.]cc; Beschreibung: Infrastruktur für CountLoader LummaStealer. Bereich: Indikator: globalsnn1-new[.]cc; Beschreibung: Infrastruktur für CountLoader LummaStealer.

Technik und Auswirkungen

Bereich: Indikator: acio-patron[.]cc; Beschreibung: Infrastruktur für CountLoader LummaStealer. Bereich: Indikator: hell2-kitty[.]cc bis hell10-kitty[.]cc; Beschreibung: Infrastruktur für CountLoader LummaStealer. Bereich: Indikator: alpha-centavr[.]cc; Beschreibung: Infrastruktur für CountLoader LummaStealer.

Bereich: Indikator: azure-s3-bucket[.]cc; Beschreibung: Infrastruktur für CountLoader LummaStealer. Bereich: Indikator: hosting-control[.]cc; Beschreibung: Infrastruktur für CountLoader LummaStealer. Bereich: Indikator: communicationfirewall-security[.]cc; Beschreibung: Infrastruktur für CountLoader LummaStealer.

Bereich: Indikator: domain-monitoring[.]cc; Beschreibung: Infrastruktur für CountLoader LummaStealer. Bereich: Indikator: network-defender[.]cc; Beschreibung: Infrastruktur für CountLoader LummaStealer. Bereich: Indikator: critical-service[.]cc; Beschreibung: Infrastruktur für CountLoader LummaStealer.

Technik und Auswirkungen

Bereich: Indikator: google-services[.]cc; Beschreibung: Infrastruktur für CountLoader LummaStealer. Bereich: Indikator: offshore-storage[.]cc; Beschreibung: Infrastruktur für CountLoader LummaStealer. Bereiche: Indikator: uruguvai[.]cc; Beschreibung: Infrastruktur für CountLoader und LummaStealer.

Bereiche: Indikator: web3-walletnotify[.]cc; Beschreibung: Infrastruktur für CountLoader und LummaStealer. Bereiche: Indikator: debank-api[.]cc; Beschreibung: Infrastruktur für CountLoader und LummaStealer. Bereiche: Indikator: py-installer[.]cc; Beschreibung: Infrastruktur für CountLoader und LummaStealer.

Bereiche: Indikator: memory-protection-layer1[.]cc; Beschreibung: Infrastruktur für CountLoader und LummaStealer. Bereiche: Indikator: s1-microservice-updatehub[.]cc bis s10-microservice-updatehub[.]cc; Beschreibung: Infrastruktur für CountLoader und LummaStealer.

Bereiche: Indikator: sentinel1-endpoint-security[.]cc; Beschreibung: Infrastruktur für

Bereiche: Indikator: sentinel1-endpoint-security[.]cc; Beschreibung: Infrastruktur für CountLoader und LummaStealer. Bereiche: Indikator: fileless-storage-s3[.]cc; Beschreibung: Infrastruktur für CountLoader und LummaStealer. Bereiche: Indikator: ms-team-ping6[.]com; Beschreibung: Infrastruktur für CountLoader und LummaStealer.

Bereich: Indikator: holiday-updateservice[.]com; Beschreibung: Infrastruktur für CountLoader LummaStealer. Bereich: Indikator: health-smooth-eu2[.]com; Beschreibung: Infrastruktur für CountLoader LummaStealer. Bereich: Indikator: health-smooth-eu3[.]com; Beschreibung: Infrastruktur für CountLoader LummaStealer.

Bereich: Indikator: bigbrainsholdings[.]com; Beschreibung: Infrastruktur für CountLoader LummaStealer. Bereich: Indikator: my-smart-house1[.]com; Beschreibung: Infrastruktur für CountLoader LummaStealer. Bereich: Indikator: explorer[.]vg; Beschreibung: Neue Infrastruktur für CountLoader.

Bereich: Indikator: ccleaner[.]gl; Beschreibung: Neue Infrastruktur

Bereich: Indikator: ccleaner[.]gl; Beschreibung: Neue Infrastruktur für CountLoader. Bereich: Indikator: microservice[.]gl; Beschreibung: Neue Infrastruktur für CountLoader. Bereich: Indikator: geo-foundation[.]vg; Beschreibung: Neue Infrastruktur für CountLoader. Bereich: Indikator: deluxe[.]gl; Beschreibung: Neue Infrastruktur für CountLoader.

Bereich: Indikator: silverhost[.]vg; Beschreibung: Neue Infrastruktur für CountLoader. Domain: Indikator: msgrouppolicy[.]vg; Beschreibung: Neue CountLoader-Infrastruktur. Domain: Indikator: holypriest[.]gl; Beschreibung: Neue CountLoader-Infrastruktur. Domain: Indikator: msedge[.]vg; Beschreibung: Neue CountLoader-Infrastruktur.

SHA256: Indikator: 333E2192F2551415659FB4094E81B911708921BB588EECF65E27F51C9938DFC2; Beschreibung: checking.ps1. SHA256: Indikator: 38FE562136ADE372FC4CEDDE67826AEEA8404E93A54A4A4736DDB4C8C8D4C96D; Beschreibung: ichigo-lite.ps1. SHA256: Indikator: 7D0487AFC91B0FE8B2FBF732AB54C3C07E86BF69471BBA6C283AABEA190499BA; Beschreibung: del.ps1.

Technik und Auswirkungen

IP: Indikator: 185[.]208[.]159[.]199; Beschreibung: IP, die checking.ps1 hostet. IP: Indikator: 87[.]96[.]21[.]84; Beschreibung: IP, die weitere Payloads hostet. URL: Indikator: hxxps[://]asq[.]d6shiiwz[.]pw/win/hssl/d6[.]hta; Beschreibung: HTA-Loader. URL: Indikator: hxxps[://]asd[.]s7610rir[.]pw/win/checking[.]hta; Beschreibung: HTA-Loader.

URL: Indikator: hxxps[://]d1[.]pool4883[.]pw/win/hssl/r7[.]hta; Beschreibung: HTA-Loader. URL: Indikator: hxxp[://]us1[.]somepools555[.]pw/win/checking[.]hta; Beschreibung: HTA-Lader. IP: Indikator: 58[.]221[.]252[.]210; Beschreibung: PurpleFox.msi-Verzeichnis. IP: Indikator: 60[.]173[.]116[.]152; Beschreibung: PurpleFox.msi-Verzeichnis.

IP: Indikator: 61[.]136[.]101[.]152; Beschreibung: PurpleFox.msi-Verzeichnis. IP: Indikator: 61[.]147[.]108[.]92; Beschreibung: PurpleFox.msi-Verzeichnis. IP: Indikator: 89[.]117[.]2[.]159; Beschreibung: PurpleFox.msi-Verzeichnis. IP: Indikator: 100[.]1[.]121[.]27; Beschreibung: PurpleFox.msi-Verzeichnis.

IP: Indikator: 103[.]36[.]223[.]87; Beschreibung: PurpleFox.msi-Verzeichnis.

IP: Indikator: 103[.]36[.]223[.]87; Beschreibung: PurpleFox.msi-Verzeichnis. IP: Indikator: 103[.]55[.]70[.]212; Beschreibung: PurpleFox.msi-Verzeichnis. IP: Indikator: 103[.]83[.]212[.]194; Beschreibung: PurpleFox.msi-Verzeichnis. IP: Indikator: 103[.]115[.]17[.]90; Beschreibung: PurpleFox.msi-Verzeichnis.

IP: Indikator: 103[.]113[.]195[.]244; Beschreibung: PurpleFox.msi-Verzeichnis. IP: Indikator: 107[.]175[.]187[.]11; Beschreibung: PurpleFox.msi-Verzeichnis. IP: Indikator: 110[.]42[.]51[.]229; Beschreibung: Speicherort von PurpleFox.msi. IP: Indikator: 110[.]45[.]196[.]155; Beschreibung: Speicherort von PurpleFox.msi.

IP: Indikator: 122[.]165[.]219[.]142; Beschreibung: Speicherort von PurpleFox.msi. IP: Indikator: 156[.]224[.]232[.]98; Beschreibung: Speicherort von PurpleFox.msi. IP: Indikator: 157[.]66[.]153[.]154; Beschreibung: Speicherort von PurpleFox.msi. IP: Indikator: 173[.]208[.]166[.]226; Beschreibung: Speicherort von PurpleFox.msi.

Technischer Hintergrund

IP: Indikator: 187[.]102[.]48[.]229; Beschreibung: Speicherort von PurpleFox.msi. IP: Indikator: 190[.]111[.]12[.]242; Beschreibung: Speicherort von PurpleFox.msi. IP: Indikator: 193[.]112[.]70[.]226; Beschreibung: Speicherort von PurpleFox.msi. IP: Indikator: 201[.]138[.]238[.]195; Beschreibung: Speicherort von PurpleFox.msi.

IP: Indikator: 204[.]44[.]110[.]216; Beschreibung: Speicherort von PurpleFox.msi. IP: Indikator: 222[.]73[.]29[.]92; Beschreibung: Speicherort von PurpleFox.msi. Hinweis: IP-Adressen und Domains wurden absichtlich „defanged" (z. B. [.] ), um eine unbeabsichtigte Auflösung oder das Erstellen von Hyperlinks zu verhindern.

Eine erneute „Fangung" ist nur innerhalb kontrollierter Threat-Intelligence-Plattformen wie MISP, VirusTotal oder Ihres SIEM zulässig. Tushar ist ein Senior-Berichterstattungsexperte für Cybersicherheit und Datenpannen.

Sicherheitslage und Risiko

Er spezialisiert sich auf die Berichterstattung über Nachrichten und Trends im Bereich der Cybersicherheit sowie über neu auftretende Bedrohungen, Datenpannen und Malware-Angriffe. Mit jahrelanger Erfahrung bringt er Klarheit und Tiefe in komplexe Sicherheitsthemen ein. Microsoft-Python-Client-DurableTask wurde von den Hackern von TeamPCP kompromittiert.

Microsoft stellt eine Abhilfe für die 0-Day-Schwachstelle in Windows BitLocker zur Umgehung der Sicherheitsmechanismen bereit. Eine neue NGINX-Schwachstelle ermöglicht es Remote-Angriffern, bösartigen Code auszulösen.