ValleyRAT: Malware nutzt signierte Windows-Apps zur Infiltration
Veröffentlicht am: 20.08.2026 um 00:02 Uhr | Redaktion boerse-global.de
Sicherheitsforscher haben eine neue Cyber-Angriffswelle identifiziert, bei der die Schadsoftware ValleyRAT durch den gezielten Missbrauch digital signierter Windows-Anwendungen verbreitet wird. Die Kampagne richtet sich primär gegen Ziele in Indien und nutzt eine raffinierte Kombination aus Social Engineering und technischer Verschleierung, um herkömmliche Sicherheitsmechanismen zu umgehen.
Ein am 18. August veröffentlichter Bericht von Forcepoint X-Labs dokumentiert das Vorgehen der Hintermänner detailliert. Demnach beginnt der Angriffszyklus mit Phishing-E-Mails, die eine hohe Dringlichkeit suggerieren. Die Angreifer imitieren dabei die indische Einkommensteuerbehörde (Income Tax Dept.), um das Vertrauen der Empfänger zu gewinnen und diese zum Öffnen schädlicher Dateianhänge zu bewegen.
Der technische Kern der Kampagne basiert auf dem Missbrauch vertrauenswürdiger Software. Die Forscher beobachteten, dass eine legitime und digital signierte Anwendung des Anbieters Overwolf für den Angriff zweckentfremdet wurde. Diese wurde für die Kampagne in „07.30Document details.exe“ umbenannt.
Durch diesen Schritt versuchen die Angreifer, Sicherheitssoftware zu täuschen, die signierte Programme oft weniger streng prüft als unbekannte ausführbare Dateien.
Phishing-Angriffe werden immer raffinierter und setzen gezielt auf psychologische Tricks, um selbst vorsichtige Nutzer zu täuschen. Dieser kostenlose Report enthüllt die aktuellen Methoden der Cyberkriminellen und zeigt, wie Sie Manipulationen frühzeitig entlarven. 7 psychologische Schwachstellen und Schutzstrategien entdecken
Sobald die umbenannte Anwendung gestartet wird, kommt ein Verfahren zum Einsatz, das als DLL-Sideloading bekannt ist. Dabei lädt das Programm eine bösartige Datei mit dem Namen „teamspeak_control.dll“ sowie eine verschlüsselte Nutzlast nach. Dieser Mechanismus ermöglicht es, den eigentlichen Schadcode unter dem Deckmantel eines legitimen Prozesses auszuführen.
Die Analyse der Experten zeigt, dass ValleyRAT unmittelbar im Arbeitsspeicher des betroffenen Systems ausgeführt wird, anstatt Spuren auf der Festplatte zu hinterlassen. Um die Entdeckung weiter zu erschweren, nutzt die Malware das sogenannte Process Hollowing bei dem Windows-Systemprozess „svchost.exe“. Hierbei wird der Code eines legitimen Prozesses durch den Schadcode ersetzt, während die äußere Hülle des Prozesses unverändert bleibt.
Wer sich vor unsichtbaren Spionage-Programmen und komplexen Cyberattacken auf Windows-Systeme schützen möchte, benötigt fundiertes Experten-Wissen. Ein kostenloser PDF-Ratgeber liefert jetzt die wichtigsten Schutzmaßnahmen, um den eigenen Rechner effektiv abzusichern. Gratis Anti-Virus-Paket für Windows anfordern
Um den Zugriff auf die kompromittierten Systeme langfristig zu sichern, etabliert die Malware eine Persistenz über eine geplante Aufgabe in der Windows-Aufgabenplanung.
Trotz der technischen Ausfeilung der Infektionskette stellten die Forscher fest, dass der für die Steuerung der Kampagne zuständige Command-and-Control-Server (C2) derzeit nicht erreichbar ist. Dies könnte auf eine vorübergehende Inaktivität oder eine Umstellung der Infrastruktur durch die Angreifer hindeuten. Der Vorfall verdeutlicht jedoch die anhaltende Gefahr durch den Missbrauch legitimer Software-Zertifikate in gezielten Kampagnen.
