C2Looper-Backdoor: Malware nutzt GitHub für versteckte Befehle
Veröffentlicht am: 19.08.2026 um 19:22 Uhr | Redaktion boerse-global.de
In der Cybersecurity-Branche wurden aktuelle Berichte über eine neue Bedrohung veröffentlicht: Die in der Programmiersprache Rust geschriebene Backdoor „C2Looper“ nutzt innovative Methoden, um unentdeckt zu bleiben. Analysen von Mitte August 2026 zeigen, dass die Malware OneDrive-DLL-Sideloading einsetzt, um sich selbst zu aktualisieren und Sicherheitslösungen gezielt zu umgehen.
Technische Evolution und Command-and-Control
Sicherheitsanalysten des Unternehmens Zscaler identifizierten die C2Looper-Backdoor erstmals im Juli 2026. Seitdem hat sich die Schadsoftware signifikant weiterentwickelt. Während frühere Varianten der Backdoor noch auf das herkömmliche HTTP-Protokoll für die Kommunikation mit ihren Servern setzten, nutzt die aktuelle Version 2 (v2) den Dienst GitHub für ihre Command-and-Control-Infrastruktur (C2).
Die Kommunikation erfolgt dabei über spezifische JSON-Dateien, namentlich cmd.json, result.json und beacon.json. Durch die Nutzung legitimer Cloud-Dienste wie GitHub versuchen die Angreifer, den bösartigen Datenverkehr innerhalb des normalen Netzwerkverkehrs zu tarnen, was die Erkennung durch einfache Filterregeln erheblich erschwert. Der Einsatz der Programmiersprache Rust unterstreicht zudem den Trend zu modernen, effizienten und schwerer zu analysierenden Malware-Stämmen.
Infektionswege und Funktionen der Backdoor
Der Erstzugriff auf die Zielsysteme erfolgt nach vorliegenden Erkenntnissen wahrscheinlich über die sogenannte ClickFix-Technik. Dabei werden Nutzer durch manipulierte Fehlermeldungen oder Aufforderungen dazu verleitet, schädlichen Code manuell auszuführen. Sobald die Malware im System aktiv ist, bietet sie den Angreifern ein breites Spektrum an Funktionen.
Da Angreifer immer häufiger auf die Manipulation von Nutzern setzen, um Schadsoftware wie C2Looper einzuschleusen, wird proaktive Aufklärung für Betriebe überlebenswichtig. Dieses kostenlose E-Book enthüllt, wie Sie Sicherheitslücken schließen und gleichzeitig neue gesetzliche Anforderungen erfüllen. IT-Sicherheit stärken ohne teure Investitionen
Dazu gehören der Aufbau einer Remote-Shell, die Durchführung von Systemaufklärungen (Reconnaissance) sowie die Etablierung dauerhafter Persistenz auf dem infizierten Rechner.
Darüber hinaus dient C2Looper als Basis für das Nachladen weiterer Schadsoftware, sogenannte Second-Stage-Payloads. Branchenexperten bringen die Backdoor zudem mit Ransomware-Operationen in Verbindung, was das potenzielle Schadensausmaß für betroffene Unternehmen deutlich erhöht.
Prävention und Indikatoren für Administratoren
Für die IT-Sicherheit in Unternehmen wurden spezifische Indikatoren für eine Kompromittierung (Indicators of Compromise, IoCs) veröffentlicht. Dazu gehört der SHA256-Dateifingerabdruck f96ff2f3abbff7f382ace509b90e54853b4b61c402ecde27d82f1c17b414867b. Zudem wurde die IP-Adresse 45.158.196[.]23:8888 als zugehöriger C2-Server identifiziert.
Angesichts der Zunahme von komplexen Cyberangriffen und Ransomware-Gefahren müssen Verantwortliche jetzt die rechtlichen und technischen Schutzpflichten kennen. Erfahren Sie im kostenlosen Report, welche Bedrohungen aktuell auf Ihr Unternehmen zukommen und wie Sie sich proaktiv absichern. Gratis-Report zu neuen Cyberrisiken anfordern
Zur Abwehr und Früherkennung raten Experten zur intensiven Überwachung von Netzwerkverbindungen zu GitHub, die außerhalb des normalen Betriebsprofils liegen. Ein besonderes Augenmerk sollte zudem auf den Prozess OneDrive gerichtet werden: Administratoren sollten nach ungewöhnlichen Neustarts des Dienstes sowie nach verdächtigen Kindprozessen suchen, die von OneDrive gestartet werden.
Im Falle einer positiven Erkennung wird empfohlen, den betroffenen Host unmittelbar vom restlichen Netzwerk zu isolieren, um eine weitere Ausbreitung oder das Nachladen von Ransomware zu verhindern.
