Gefälschtes indisches Steuerprogramm wird laut Forschern in Kampagne zur Verbreitung von DcRAT eingesetzt

Sicherheitsforscher zufolge zielt eine mutmaßlich mit China verbundene Bedrohungsgruppe mit Phishing-E-Mails auf indische Steuerzahler, Steuerberater und Finanzmitarbeiter ab. Die E-Mails führen zu einem schädlichen Remote-Access-Trojaner namens DcRAT.

Die von Seqrite Labs als Operation DragonReturn bezeichnete Kampagne wurde erstmals Mitte Mai 2026 beobachtet und scheint zeitlich mit der jährlichen Einkommensteuererklärungs-Saison in Indien zusammenzufallen. Den Forschern zufolge ist die Operation sorgfältig konzipiert und nicht breit angelegt. Sie verwendet realistische steuerbezogene Formulierungen, zweisprachige Inhalte und Verweise auf offizielle Verfahren, damit die Nachrichten legitim wirken.

So funktioniert der Angriff

Die Angriffskette beginnt mit E-Mails, die das indische Finanzamt imitieren und vor angeblichen Verstößen oder Strafen warnen. Die Empfänger werden aufgefordert, einen PDF-Anhang zu öffnen, der einen Link zu einer gefälschten Regierungsdomain enthält. Diese Website fordert die Nutzer anschließend zum Download einer ZIP-Datei auf, die sich als Offline-Programm zur Steuererklärung ausgibt.

Innerhalb des Archivs ist die Dateistruktur darauf ausgelegt, DLL-Sideloading auszunutzen. Eine schädliche Bibliothek wird geladen und schleust anschließend zusätzlichen Code in den Arbeitsspeicher ein. Die Malware prüft, ob sie über Administratorrechte verfügt, und kann eine Windows-Benutzerkontensteuerungsabfrage auslösen, wenn erweiterte Zugriffsrechte erforderlich sind.

Anschließend führt die Malware Anti-Analyse-Prüfungen durch, ruft eine JPG-Datei von einem externen Server ab und extrahiert eine sekundäre Payload, die in dem Bild verborgen ist. Diese Payload wird in ein Verzeichnis von Windows Media Player kopiert und anschließend erneut als Mixed Reality.exe dupliziert. Außerdem erstellt die Malware einen Windows-Dienst, damit sie nach einem Neustart automatisch gestartet wird.

Seqrite zufolge fungiert eine Komponente als Loader, der die Windows-AMSI-Überprüfung deaktiviert, die Persistenz aufrechterhält und DcRAT auf dem infizierten Computer entschlüsselt. Ein weiteres Modul kann Bildschirmaufnahmen erstellen und gestohlene Daten an einen Remote-Server senden.

Mögliche Verbindungen zu anderen China-nahen Aktivitäten

Die Forscher nannten keinen eindeutigen Betreiber, wiesen jedoch auf technische Indikatoren hin, die mit einer Infrastruktur in China sowie mit einer chinesischsprachigen Managementkonsole verbunden sind, die an den Command-and-Control-Server angebunden ist. Seqrite erklärte außerdem, dass sich die Kampagne mit Taktiken überschneidet, die zuvor mit Silver Fox in Verbindung gebracht wurden – einer Gruppe, die mit steuerbezogenem Phishing und der Verbreitung von ValleyRAT in Verbindung steht.

• Primäre Ziele: indische Steuerzahler, Finanzteams und Steuerfachleute
• Verbreitungsmethode: Phishing-E-Mails, schädliche PDF-Links und ZIP-Downloads
• Payload: DcRAT sowie Loader- und Persistenzkomponenten
• Wahrscheinliches Ziel: Diebstahl von Zugangsdaten, Datenexfiltration und langfristiger Zugriff

Die Veröffentlichung folgt auf separate Berichte von LevelBlue, Cybereason und anderen, die ähnliche RAT-Kampagnen beschrieben, bei denen gefälschte Installationsprogramme und Phishing-Köder eingesetzt wurden, um ValleyRAT und andere Malware-Familien unter Nutzern asiatischer Sprachgruppen zu verbreiten.