Gefälschte Software-Downloads verbreiten ScreenConnect und AsyncRAT

Sicherheitsforscher haben eine breit angelegte Malware-Kampagne entdeckt, bei der Bedrohungsakteure Techniken zur Suchmaschinenoptimierung (SEO) und gefälschte Software-Websites nutzen, um ScreenConnect zu verbreiten und letztlich AsyncRAT auf Windows-Systemen zu installieren.

Laut Kaspersky erstreckt sich die Operation über mehrere Domains und Sprachen. Dabei wurden mehr als 90 schädliche Websites in mindestens zehn Sprachen identifiziert, darunter Englisch, Russisch, Chinesisch, Deutsch, Französisch, Spanisch, Portugiesisch und Arabisch. Einige der Domains wurden zwischen August 2025 und März 2026 registriert.

So funktioniert die Infektionskette

Die gefälschten Websites geben sich als beliebte Tools wie OBS Studio, DNS Jumper, DS4Windows und Bandicam aus. Opfer, die die Installationsarchive herunterladen, erhalten ein Paket mit einer legitimen, signierten Microsoft-Binärdatei namens install.exe sowie einer schädlichen DLL namens install.res.1033.dll. Durch DLL-Side-Loading laden die Angreifer die manipulierte Bibliothek und nutzen sie, um den Remotezugriffsdienst ScreenConnect bereitzustellen.

Sobald ScreenConnect aktiv ist, führt es ein PowerShell-Skript aus, das Ausnahmen in Microsoft Defender hinzufügt, Eingabeaufforderungen der Benutzerkontensteuerung deaktiviert und weitere für den Angriff benötigte Dateien ablegt. Eine VBScript-Komponente erstellt anschließend mehrere Dateien in C:\Users\Public, darunter msgbox.txt, secret_bytes.txt, 1.vb, cap.ps1 und script.vbs.

Als Nächstes beendet die Malware vorhandene PowerShell-Prozesse und startet cap.ps1 in einem verborgenen Fenster. Das Skript extrahiert die AsyncRAT-Nutzlast aus secret_bytes.txt und führt sie mittels Process Hollowing aus.

Auswirkungen und Persistenz

Nach der Bereitstellung verbindet sich die Malware mit einem Command-and-Control-Server unter mora1987.work[.]gd und verschafft den Betreibern so verdeckten Zugriff auf kompromittierte Geräte. Kaspersky zufolge können die Eindringlinge diesen Zugriff nutzen, um Aktivitäten zu überwachen, Bildschirminhalte aufzuzeichnen und sensible Informationen zu stehlen.

Um auf infizierten Rechnern dauerhaft präsent zu bleiben, erstellt der Angriff eine geplante Aufgabe namens MasterPackager.Updater, die alle zwei Minuten ausgeführt wird und die VBScript-Komponente erneut startet. Dadurch kann die Malware Neustarts überstehen.

• Gefälschte Software-Downloadseiten werden in den Suchergebnissen weiter nach oben befördert.
• Die Kampagne nutzt signierte Binärdateien und DLL-Side-Loading, um keinen Verdacht zu erregen.
• ScreenConnect dient als erster Zugriffspunkt, bevor AsyncRAT ausgeführt wird.

Laut Kaspersky verdeutlicht die Kampagne, wie SEO-Manipulation und vertrauenswürdige Tools für den Remotezugriff kombiniert werden können, damit schädliche Downloads legitim erscheinen.