EDR-Killer als Dienst: Phantom Mantis vermietet Angriffswerkzeuge ab 450 Euro

Sicherheitsforscher schlagen Alarm: Cyberkriminelle und staatliche Akteure nutzen zunehmend Kernel-Exploits, um Schutzsysteme auszuhebeln. Besonders betroffen sind kritische Infrastrukturen, Fertigungsbetriebe und Finanzinstitute weltweit – auch deutsche Unternehmen sollten die Entwicklungen genau beobachten.

Chinesische Gruppe attackiert japanischen Hersteller mit Drei-Treiber-Kette

Ein aktueller Vorfall zeigt die wachsende Raffinesse der Angreifer: Die chinesische Cyberkriminalitätsgruppe SilverFox hat Ende Juli einen japanischen Industriekonzern attackiert. Dabei nutzten die Täter eine komplexe „Bring Your Own Vulnerable Driver"-Methode (BYOVD) mit drei manipulierten Treibern, um tief in das System einzudringen.

Der Einstieg erfolgte über eine als Rechnung getarnte Phishing-Mail. Der Empfänger lud daraufhin eine ZIP-Datei von legitimen Cloud-Plattformen wie Tencent Cloud herunter. Über DLL-Sideloading gelang es den Angreifern, Sicherheitsmechanismen zu umgehen und Schadcode einzuschleusen. Als Endziel identifizierten Experten ValleyRAT, einen Vertreter der bekannten Gh0st-RAT-Familie, der durch eine doppelte Watchdog-Struktur dauerhaft im System verankert wurde.

Linux-Backdoor tarnt sich als Kernel-Prozess

Auch die China-nahe Gruppe BlackTech hat ihre Methoden verfeinert. Die Angreifer modifizierten den Open-Source-Schadcode BlueShell RAT zu einem spezialisierten Linux-Backdoor, das sich als legitimer Kernel-Worker-Prozess tarnt – etwa als [kworker/12:12]. So bleibt die Malware für Administratoren nahezu unsichtbar.

Der Schadcode wird per Dropper entpackt, der das ursprüngliche Programm anschließend löscht, um Spuren zu verwischen. Die Konfiguration liegt verschlüsselt in einer Umgebungsvariable, die Kommunikation mit den Steuerservern läuft über Proxy-fähige Verbindungen. Ziel sind vor allem Linux-Server in Unternehmens- und Cloud-Umgebungen.

Immer mehr Unternehmen werden Opfer von Cyberangriffen durch manipulierte Prozesse und raffinierte Malware – diese Checkliste hilft Ihnen, es zu verhindern. Erfahren Sie in diesem kostenlosen E-Book, wie Sie Ihre IT-Sicherheit proaktiv stärken und Sicherheitslücken schließen. Gratis-E-Book: Cyberbedrohungen abwenden und Unternehmen schützen

Kommerzielle „EDR-Killer" werden zum Geschäftsmodell

Besonders beunruhigend ist die Kommerzialisierung von Angriffswerkzeugen: Die Gruppe Phantom Mantis, früher als ArmCorp bekannt, bietet über den Dienst LARVA-368 maßgeschneiderte Pakete an, die Sicherheitssoftware gezielt ausschalten. Das enthaltene Tool G13 scannt nach rund 180 verschiedenen Sicherheits- und Verwaltungsprozessen und beendet diese über Kernel-Befehle. Schlägt das fehl, kommen Speicher-Manipulationstechniken zum Einsatz.

Ein weiterer Anbieter, der Cruciferra-Crypter-Dienst, ist seit Herbst 2025 aktiv. Für monatlich 450 bis 2.000 Euro vermietet er Funktionen, die Schadsoftware wie Agent Tesla und Remcos RAT vor Erkennung schützen. Jüngste Kampagnen zielten auf Steuerberater und Finanzteams in Indien.

Russische Staatshacker nutzen kritische Exchange-Lücke

Russische Akteure der Gruppe TA488 exploitieren derweil aktiv eine Schwachstelle mit maximalem Schweregrad in Microsoft Exchange Server. Die als CVE-2026-42897 bekannte Lücke ermöglicht einen „Half-Click"-Angriff: Schon das Öffnen einer E-Mail im Outlook Web Access genügt, um kompromittiert zu werden.

Die Angreifer installieren daraufhin OWAReaper, einen JavaScript-basierten Browser-Implant, der Anmeldedaten und OAuth-Tokens stiehlt. Microsoft hat zwar im Juli einen Patch veröffentlicht – doch ungepatchte Server bleiben bevorzugte Ziele.

Wer sich mit der Abwehr komplexer Phishing-Angriffe befasst, sollte die psychologischen Manipulationstaktiken der Hacker kennen. Dieser kostenlose Leitfaden zeigt in 4 Schritten, wie Unternehmen Angriffe entlarven und sich effektiv absichern können. Anti-Phishing-Paket für Unternehmen jetzt kostenlos herunterladen

Tarnung wird zum Standard – mit späten Folgen

Sicherheitsforscher beobachten zudem einen Trend zur bewussten Privilegienabsenkung: Angreifer, die Root-Zugriff auf Linux-Servern erlangt haben, wechseln gezielt auf niedrigere Benutzerrechte, um in legitimen Prozessen wie sshd unterzutauchen. Eine Untersuchung von Group-IB dokumentierte diesen Ansatz Ende Juli bei einer Monero-Mining-Kampagne.

Wie gravierend die Folgen unentdeckter Angriffe sein können, zeigt ein Fall aus Südkorea: Die Datenschutzbehörde verhängte gegen den Telekommunikationskonzern KT Corp eine Geldstrafe von umgerechnet rund 39 Millionen Euro. Fast ein Jahr lang war die BPFDoor-Malware auf 38 Servern des Unternehmens aktiv – ohne dass der Vorfall gemeldet wurde.

de | wissenschaft | 69905368 |