HollowFrame und Matryoshka: Neue Malware-Frameworks für Unternehmens-Einbrüche
Veröffentlicht am: 31.07.2026 um 22:52 Uhr | Redaktion boerse-global.de
Sicherheitsanalysten des Cybersecurity-Unternehmens Blackpoint Cyber haben eine neue, hochkomplexe Bedrohungsarchitektur aufgedeckt, die speziell für verdeckte Einbrüche in Unternehmensnetzwerke konzipiert wurde. Im Zentrum der Entdeckung stehen zwei spezialisierte Malware-Frameworks: der Go-basierte Loader „HollowFrame“ und die in Rust geschriebene Backdoor „Matryoshka“. Gemeinsam bilden diese Komponenten eine mehrstufige Infektionskette, die durch fortgeschrittene Evasion-Techniken und ungewöhnliche Kommunikationskanäle gekennzeichnet ist.
Der Infektionsweg: Getarnte Spear-Phishing-Kampagnen
Die Analyse der Sicherheitsforscher basiert auf einem konkreten Vorfall, bei dem eine Anwaltskanzlei ins Visier der Angreifer geriet. Dabei wurden zwei Endpunkte innerhalb der Kanzlei kompromittiert. Der Angriff nahm seinen Anfang mit einer gezielten Spear-Phishing-E-Mail, die unter dem Vorwand von Fallunterlagen („Case Documents“) versendet wurde.
Die E-Mail enthielt einen Link zu einem verschlüsselten Archiv. In diesem Archiv befand sich eine LNK-Datei, die beim Ausführen eine Infektionskette über die PowerShell startete. Diese lud weitere Komponenten von einem entfernten Server mit der IP-Adresse 2.26.252[.]84 herunter. Laut dem Bericht von Blackpoint Cyber war dieser Prozess der erste Schritt zur Etablierung einer dauerhaften Präsenz im Zielnetzwerk.
HollowFrame: Go-basiertes Framework mit Anti-Analyse-Funktionen
Nach der initialen Infektion kommt das Framework HollowFrame zum Einsatz. Die in der Programmiersprache Go verfasste Malware nutzt Techniken wie DLL-Side-Loading, um unentdeckt zu bleiben. Dabei werden die legitimen Prozesse python.exe und python311.dll missbraucht, um bösartigen Code auszuführen.
Der Vorfall zeigt eindringlich, wie gezielte Phishing-Kampagnen selbst spezialisierte Organisationen gefährden können. Dieses kostenlose Anti-Phishing-Paket bietet eine detaillierte Analyse psychologischer Manipulationstaktiken und zeigt konkrete Schritte zur Hacker-Abwehr auf. In 4 Schritten zum sicheren Unternehmen: So stoppen Sie Phishing-Angriffe bevor sie entstehen
HollowFrame zeichnet sich durch umfangreiche Anti-Analyse-Prüfungen aus, um einer Entdeckung durch Sicherheitssysteme oder manuelle Untersuchungen zu entgehen. Die Malware überprüft unter anderem die System-Uptime, den verfügbaren Arbeitsspeicher, die Anzahl der vorhandenen Dateien sowie Bewegungen des Cursors. Sollten diese Parameter auf eine virtuelle Umgebung oder eine Sandbox-Analyse hindeuten, bricht die Malware ihre Ausführung ab. Zur dauerhaften Sicherung des Zugriffs (Persistenz) richtet HollowFrame eine geplante Aufgabe (Scheduled Task) im Betriebssystem ein.
Matryoshka: Rust-Backdoor mit unkonventionellen Kommunikationswegen
Der finale Teil der Infektionskette ist die Backdoor Matryoshka. Diese in Rust entwickelte Komponente bietet den Angreifern eine interaktive Shell und ermöglicht die vollständige Kontrolle über das infizierte System. Die Backdoor ist in der Lage, Privilegien zu eskalieren, den Microsoft Defender zu deaktivieren und weitere Payloads nachzuladen.
Besonders hervorzuheben ist die Kommunikationsstruktur von Matryoshka. Die Sicherheitsforscher identifizierten zwei Varianten für das Command-and-Control-Management (C2). Während eine Version klassisch über HTTP kommuniziert, nutzt die zweite Variante das öffentliche GitHub-Repository „adioziaete/memio“ als C2-Infrastruktur.
Wer sich mit der Absicherung von Unternehmensnetzwerken gegen solche komplexen Bedrohungen befasst, muss die aktuellen Trends der Angreifer kennen. Ein kostenloses E-Book liefert fundierte Informationen zu neuen Cyberbedrohungen und zeigt, wie Firmen ihre IT-Sicherheit ohne hohe Investitionen stärken. IT-Sicherheit stärken ohne teure Investitionen: So schützen clevere Unternehmer ihre Firma vor Cyberangriffen
Untersuchungen des genutzten GitHub-Kontos ergaben, dass dieses bereits am 6. Januar 2023 erstellt wurde. Die letzte Aktualisierung des Repositories erfolgte Anfang Juni 2026. Als C2-Server für die direkte Kommunikation wurden die IP-Adressen 2.26.252[.]84 und 45.158.196[.]184 über den Port 8888 identifiziert. Durch die Nutzung legitimer Plattformen wie GitHub versuchen die Angreifer, den bösartigen Datenverkehr innerhalb des normalen Netzwerkrauschens zu verbergen und herkömmliche Sicherheitsfilter zu umgehen.
Disclaimer zu unseren Artikeln: Keine Anlageberatung, keine Kauf- oder Verkaufsempfehlung. Angaben zu Kursen, Unternehmen und Märkten ohne Gewähr; Änderungen jederzeit möglich. Börsengeschäfte können zu hohen Verlusten führen. Unsere Beiträge werden ganz oder teilweise automatisiert mit Unterstützung von AI erstellt und geprüft.
