Fake Slack Download: Unsichtbarer Desktop übernimmt deinen PC
Du installierst Slack – der Angreifer bekommt einen zweiten, unsichtbaren Windows-Desktop auf deinem Rechner. So funktioniert der hVNC-Angriff im April 2026.
Verdacht auf Infektion? Diese 5 Schritte sofort:
Wie der Angriff startet: Malvertising statt slack.com
Sicherheitsforscher von Malwarebytes haben eine aktive Kampagne dokumentiert, in der Angreifer über bezahlte Suchanzeigen eine täuschend echte Slack-Download-Seite bewerben. Die Domain dahinter: debtclean-ua.sbs.
Auf der Fake-Seite läuft ein JavaScript-Hijacker, der den Klick auf den Download-Button abfängt und statt der echten Slack-MSI eine Slack.zip ausliefert. Diese ZIP-Datei enthält den eigentlichen Malware-Loader.
debtclean-ua.sbs – unauffällige Funktion, fataler Effekt.Wichtig: Slack wird offiziell nie als ZIP ausgeliefert – immer als signierte MSI/EXE direkt von slack.com. Eine Slack.zip ist per Definition ein Indikator für einen Angriff.
Technische Analyse: Was die Malware enthält
Die enthaltene PE-Datei zeigt klassische Loader-Merkmale: Statt der üblichen Sektionen .text, .rdata oder .data finden sich obfuskierte Sektionen wie .7ssik und .d1npl mit Entropie-Werten nahe 8.0 – ein eindeutiger Indikator für gepackte oder verschlüsselte Payloads.
Der unsichtbare Desktop (hVNC) erklärt
Das eigentliche Endziel ist eine Hidden VNC-Sitzung (hVNC). Anders als klassische Remote-Desktop-Tools wie TeamViewer öffnet hVNC ein vollständig zweites, für den Benutzer unsichtbares Windows-Desktop-Environment. Der Angreifer kann dort Browser starten, gespeicherte Logins ausnutzen und Banking-Sitzungen aufbauen – während du parallel ahnungslos arbeitest.
HvncClient.[INIT] – Loader-Start
Der Stub initialisiert sich, dekodiert eingebettete Konfiguration und prüft Sandbox-Indikatoren.
[INJ] – Process Injection
Stage-2 wird in legitime Windows-Prozesse wie explorer.exe oder als WmiPrvSe getarnt injiziert.
[CRYPT] – Entschlüsselung
Die hochentropischen Sektionen .7ssik / .d1npl werden zur Laufzeit im RAM entschlüsselt.
[LOAD] – hVNC aktiv
Der HvncClient verbindet sich zum C2-Server – ein zweiter, unsichtbarer Desktop steht bereit.
Warum klassischer Virenschutz hier versagt
Verschlüsselte Payloads
Signaturbasierte Scanner sehen nur die hochentropische Sektion – kein bekannter Hash, kein Treffer.
Process Injection
Die schädliche Logik läuft in vertrauenswürdigen Windows-Prozessen wie explorer.exe.
Kein sichtbarer Desktop
hVNC erzeugt keine UI – kein Mauszeiger, keine Pop-ups, keine offensichtliche Anomalie.
Saubere Reputation
C2-Domains sind frisch registriert (.sbs, .top) und haben noch keine Threat-Intel-Einträge.
Sofortmaßnahmen bei Verdacht
Internet sofort trennen
WLAN ausschalten oder LAN-Kabel ziehen – sofort. Damit kappst du die C2-Verbindung des hVNC-Clients und verhinderst weiteres Nachladen.
System nicht weiternutzen
Keine Passwörter eingeben, keine Banking-Apps öffnen, keine Mails lesen. Der Angreifer könnte parallel mitschneiden, auch ohne sichtbaren Keylogger.
Boot-Stick-Scan im abgesicherten Modus
Starte das System mit einem aktuellen Rescue-Stick (z. B. Kaspersky Rescue, ESET SysRescue). Nur ein Offline-Scan außerhalb des laufenden Windows kann den Loader zuverlässig finden – im Live-System ist er bereits aktiv getarnt.
Passwörter von einem sauberen Gerät ändern
Ändere alle relevanten Passwörter (E-Mail zuerst, dann Banking, dann Social Media) ausschließlich von einem nachweislich sauberen Gerät – idealerweise mit aktivem Passwortmanager und 2FA.
IT-Experten einschalten
Bei jedem Verdacht im Firmenkontext: Gerät isolieren, IR-Team informieren, Forensik-Image ziehen lassen. Bei Privatpersonen mit sensiblen Daten: Neuinstallation ist die einzig wirklich saubere Lösung.
Dauerhafter Schutz: So vermeidest du den nächsten Vorfall
Software nur direkt vom Hersteller
Tippe slack.com, zoom.us, teams.microsoft.com manuell ein – nie über Google-Anzeigen.
URL doppelt prüfen
Achte auf .sbs, .top, .click, .xyz und Tippfehler im Domainnamen.
EDR/XDR statt klassischer AV
Verhaltensbasierte Erkennung sieht hVNC-Sessions, signaturbasierte AV nicht.
Updates konsequent fahren
Auch Windows, Browser und Office müssen tagesaktuell sein.
Mitarbeiterschulung
Phishing- und Malvertising-Awareness ist günstiger als jeder Incident.
Least-Privilege-Konten
Tagesgeschäft nie als Admin – das stoppt die meisten Loader bereits beim Start.
Wasacon Perspektive
Diese Kampagne markiert einen Paradigmenwechsel: Angreifer kaufen Reichweite über bezahlte Ads – nicht mehr nur über Phishing-Mails. Wer 2026 noch glaubt, ein Klassik-Antivirus reiche aus, ist gegen hVNC-Loader praktisch wehrlos. Für Unternehmen heißt das: EDR/XDR ist Pflicht, Mitarbeitende müssen Malvertising erkennen können, und Software-Bezugsquellen gehören in eine verbindliche Whitelist. Vertrauen ist 2026 die teuerste Sicherheitslücke.
Wasacon in deiner Region
Verdacht auf hVNC-Infektion? Wir kommen vor Ort – im gesamten Kreis Heinsberg und der Umgebung:
Häufige Fragen
Verdacht auf einen kompromittierten Rechner?
Lass dein System professionell prüfen, bevor Angreifer Banking, Mail oder Firmendaten abgreifen. Ein kompromittierter Rechner ist kein „Vielleicht“ – er ist ein Risiko für ALLES.
Diskussion
0 Beiträge
IT-Budget Quick-Check
Wie viel sollte Ihr Unternehmen jährlich in IT investieren?
Risiko-Level: Mittel · Multiplikator: 1.2×
Richtwerte auf Basis von BSI/NIST/ENISA-Branchenbenchmarks. Keine verbindliche Empfehlung.
Das könnte Sie auch interessieren
IT-Sicherheitpm-energy gehackt? Qilin listet „Die Solarexperten“ aus Reesdorf im Darknet
Seit dem 9. August 2026 führt die Ransomware-Gruppe Qilin die pm-energy GmbH aus Reesdorf (Schleswig-Holstein) auf ihrer Leak-Seite. Was belegt ist, was Täterbehauptung bleibt – und warum Photovoltaik-Projektdaten besonders sensibel sind.
IT-SicherheitClausing Tiefbau gehackt? Qilin listet Osnabrücker Infrastruktur-Spezialisten im Darknet
Seit dem 8. August 2026 führt die Ransomware-Gruppe Qilin die Clausing GmbH Tiefbauunternehmen aus Osnabrück auf ihrer Darknet-Leak-Seite. Was belegt ist, was Täterbehauptung bleibt – und warum die digitalisierten Bauprozesse den Fall brisant machen.
IT-SicherheitThe Gentlemen listet INKA Group: Hinter der unscheinbaren Münchner Immobilienholding steckt ein weit größeres Firmengeflecht
Seit dem 7. August 2026 führt die Ransomware-Gruppe The Gentlemen die Münchner INKA Group GmbH & Co. KG als mutmaßliches Opfer. Register- und Konzerndaten zeigen ein verzweigtes Immobiliennetz – bis hin zur Hasen-Immobilien AG mit 230,5 Mio. € Bilanzsumme.
Haftungsausschluss: Die auf Wasacon bereitgestellten Inhalte dienen nur zu Informationszwecken. Wir garantieren nicht die Qualität, Genauigkeit oder Vollständigkeit der Informationen aus Drittquellen.
Sind Zugangsdaten Ihres Unternehmens bereits im Umlauf?
Wir prüfen Ihre Domain kostenlos gegen bekannte Infostealer- und Leak-Datenbanken – vertraulich und unverbindlich.
Bekannt aus
