Malvertising-Kampagne: 99 Malware-Varianten gegen KMU seit April
Veröffentlicht: 09.07.2026 um 08:15 Uhr, Redaktion boerse-global.de
Sicherheitsforscher von Palo Alto Networks haben eine gefährliche Malvertising-Kampagne aufgedeckt, die gezielt kleine und mittlere Unternehmen (KMU) ins Visier nimmt. Die seit April 2026 aktive Operation lockt mit Werbeanzeigen für gecrackte Software – und liefert gleich zwei Schadprogramme auf einmal aus.
Hinterhältige Taktik: Gecrackte Software als Köder
Die Täter setzen auf eine clevere Doppelstrategie zur Geldabschöpfung. Mit dem Vidar-Infostealer entwenden sie sensible Daten wie Browser-Passwörter, Cookies und Kryptowallet-Informationen – Material, das sich auf illegalen Märkten gewinnbringend verkaufen lässt. Parallel dazu kapert der XMRig-Cryptominer die Rechenleistung des infizierten Systems und schürft heimlich die Kryptowährung Monero. Ein System, zwei Einnahmequellen.
Die Werbeanzeigen tarnen sich als Angebote für gecrackte Software und nutzen dabei bekannte Marken wie JustWatch GmbH und BleacherReport als Lockvögel. Die eigentliche Malware wird in passwortgeschützten .bin-Archiven ausgeliefert – eine Methode, die automatisierte E-Mail- und Dateiscanner austricksen soll.
Technische Raffinesse und Steuerung per Telegram
Die Forscher identifizierten insgesamt 99 Schadcode-Varianten, die offenbar mit dem Factory-v3 Malware-as-a-Service (MaaS)-Baukasten erstellt wurden. Zur Steuerung der infizierten Geräte nutzen die Angreifer Telegram – unter dem Kommunikations-Tag „X3D MINER" organisieren sie ihr Botnetz.
Besonders perfide: Die Malware verfügt über ausgefeilte Umgehungstechniken. Sie kann die Windows-eigene Anti-Malware Scan Interface (AMSI) austricksen und erkennt laufende Sicherheitsprozesse, um sich vor herkömmlichen Virenscannern zu verstecken.
Die neue Malvertising-Welle trifft gezielt KMU – mit 99 Varianten und Doppel-Malware. Wer seine Endpunkte nicht gegen AMSI-Bypass und gecrackte Software-Köder wappnet, riskiert Datenklau und Rechenleistungsdiebstahl. Jetzt kostenlosen Schutz-Report anfordern
Wachsender Trend: Immer mehr Schädlinge tarnen sich als seriöse Software
Die Vidar-Kampagne ist kein Einzelfall. Erst Anfang der Woche berichteten Sicherheitsexperten über die „ClickFix"-Kampagne, die seit Juni 2026 mexikanische Bankkunden mit gefälschten Google-Verifizierungsseiten ködert und den SCMBANKER-Trojaner ausliefert.
Und auch die seit August 2022 aktive Gruppe Lurking Lizard wurde zuletzt mit einer neuen Masche beobachtet: Sie verteilt gefälschte 7-Zip-Installationsprogramme, um infizierte Rechner in bezahlte Proxy-Knoten zu verwandeln.
Der Trend ist eindeutig: Immer mehr Angreifer nutzen vertrauenswürdig wirkende Software-Installateure und Verifizierungsaufforderungen, um sowohl Privatanwender als auch Unternehmensnetzwerke zu kompromittieren.
Gecrackte Software als Köder: Seit April kapern Vidar-Infostealer und XMRig-Cryptominer gemeinsam KMU-Systeme. Die Malware umgeht Windows-AMSI und Scanner. Unser Report liefert die konkrete Checkliste zur Endpoint-Härtung. Schutz-Report jetzt sichern
Schutzempfehlungen für den Mittelstand
Angesichts der neuen Bedrohungslage raten Sicherheitsexperten KMU dringend, keine gecrackte Software herunterzuladen oder zu installieren. Zudem sollten Endpoint-Schutzsysteme so konfiguriert sein, dass sie die ausgefeilten Anti-Analyse-Techniken moderner Schadprogramme erkennen können.
Disclaimer zu unseren Artikeln: Keine Anlageberatung, keine Kauf oder Verkaufsempfehlung. Angaben zu Kursen, Unternehmen und Märkten ohne Gewähr; Änderungen jederzeit möglich. Börsengeschäfte können zu hohen Verlusten führen. Unsere Beiträge werden ganz oder teilweise automatisiert mit Unterstützung von AI erstellt und geprüft.
