Silver Fox weitet seine Angriffswelle aus:
Neue AtlasCross-RAT, gefälschte Domains und raffinierte Tarnung
Ein neuer Malware-Trojaner wird über täuschend echte Software-Webseiten in Asien verbreitet – mit gestohlenen Zertifikaten und speicherresidenter Ausführung.
Was hinter der Kampagne steckt
Silver Fox ist keine neue Erscheinung, aber die Gruppe entwickelt ihr Arsenal erkennbar weiter. Sicherheitsforscher führen die Aktivität einem chinesischsprachigen Cybercrime-Akteur zu, der auch unter anderen Bezeichnungen wie SwimSnake, Void Arachne oder UTG-Q-1000 bekannt ist.
Besonders auffällig ist, dass die aktuelle Kampagne nicht auf ein einziges Land begrenzt ist: Beobachtungen deuten auf Angriffe gegen Ziele in Japan, Malaysia, den Philippinen, Thailand, Indonesien, Singapur, Indien und weitere Regionen in Asien hin.
Im Mittelpunkt steht eine neue Malware-Familie namens AtlasCross RAT, die über täuschend echt aussehende Webseiten verteilt wird. Die Angreifer imitieren bekannte Software-Anbieter und verleiten Opfer dazu, manipulierte Installationspakete herunterzuladen.
Der eigentliche Trick: Vertrauen kapern statt Sicherheitslücken suchen
Der technische Kern der Kampagne ist eigentlich gar nicht die Malware selbst, sondern der Missbrauch von Vertrauen. Die Angreifer registrieren Domains, die echten Marken täuschend ähnlich sehen:
app-zoom.com
imitiert → Zoom
signal-signal.com
imitiert → Signal
www-surfshark.com
imitiert → Surfshark
www-teams.com
imitiert → Microsoft Teams
telegrtam.com.cn
imitiert → Telegram
trezor-trezor.com
imitiert → Trezor
Besonders brisant: Der Großteil der bekannten Domains wurde am selben Tag – dem 27. Oktober 2025 – registriert. Das spricht für eine koordinierte, vorbereitete Operation.
So läuft die Infektion ab
Die Opfer laden ein ZIP-Archiv von einer gefälschten Webseite herunter. Darin befindet sich ein Installer, der auf den ersten Blick legitim wirkt – tatsächlich enthält er eine trojanisierte Autodesk-Komponente.
Infektionskette im Detail
Opfer besucht gefälschte Software-Webseite
app-zoom.com / signal-signal.com / www-teams.com
→ Download eines ZIP-Archivs
ZIP enthält trojanisierten Installer
suf70_launch.exe → startet Installation
iresetup.exe → wird im TEMP-Ordner abgelegt
Trojanisierter Loader entschlüsselt Konfiguration
Loader-Funktionen
• PE-Loader
• C2-Config entschlüsseln
• API-Hashing
• Shellcode vorbereiten
Payload-Details
• Speicher-Ausführung (fileless)
• Persistenz via Tasks
• ChaCha20-Verschlüsselung
• Zufällige Session-Keys
C2-Kontakt & AtlasCross RAT Installation
→ Shellcode von bifa668[.]com:9899 (TCP)
→ AtlasCross DLL wird im Speicher ausgeführt
Gefälschte Software → ZIP → Installer → Loader → Speicherbasierte Malware → Volle Systemkontrolle
👉 Die gesamte Kette läuft automatisiert ab. Die In-Memory-Ausführung erschwert forensische Analyse und Erkennung erheblich.
Warum AtlasCross RAT gefährlich ist
AtlasCross RAT ist nicht einfach nur ein gewöhnlicher Fernwartungstrojaner. Laut Hexastrike steckt darin das PowerChell-Framework – eine native C/C++-Umgebung zur Ausführung von PowerShell innerhalb des Malware-Prozesses.
Dadurch kann die Schadsoftware die .NET-Laufzeitumgebung direkt hosten und wichtige Schutzmechanismen umgehen:
✕ AMSI (Antimalware Scan Interface)
✕ ETW (Event Tracing for Windows)
✕ Constrained Language Mode
✕ ScriptBlock Logging
Zusätzlich wird die Kommunikation mit dem C2-Server per ChaCha20 verschlüsselt, wobei für einzelne Pakete zufällige Schlüssel verwendet werden.
Fähigkeiten der Malware: Mehr als nur Fernzugriff
Die neuen Funktionen zeigen, wie stark sich Silver Fox von älteren Gh0st-RAT-Abkömmlingen weiterentwickelt hat. AtlasCross RAT unterstützt unter anderem:
DLL-Injection
Gezieltes Einschleusen in Prozesse wie WeChat
RDP-Hijacking
Übernahme aktiver Remote-Desktop-Sitzungen
Datei- & Shell-Operationen
Voller Zugriff auf Dateisystem und Kommandozeile
Persistenz
Dauerhafte Verankerung über geplante Aufgaben
TCP-Kill von Security-Produkten
Sabotage von 360 Safe, Huorong, Kingsoft, QQ PC Manager
In-Memory-Ausführung
Speicherresidente Malware ohne Dateisystem-Spuren
Bemerkenswert: Statt den oft diskutierten BYOVD-Ansatz zu verwenden, sabotiert die Malware gezielt die Kommunikation bestimmter Schutzprogramme auf Netzwerkebene – ein Zeichen für tiefes Verständnis realer Zielumgebungen.
Missbrauch gestohlener Zertifikate
Alle bislang identifizierten Installer trugen offenbar dasselbe gestohlene Extended-Validation-Code-Signing-Zertifikat, das auf eine Firma in Vietnam ausgestellt war. Solche Zertifikate sind in der Angriffsökonomie Gold wert: Signierte Dateien wirken für Nutzer und teilweise auch für Sicherheitssysteme deutlich vertrauenswürdiger.
Das Zertifikat wurde auch in anderen, nicht direkt zusammenhängenden Malware-Kampagnen beobachtet – ein Hinweis darauf, dass gestohlene EV-Zertifikate inzwischen gehandelt oder wiederverwendet werden.
Silver Fox verfolgt ein Doppelmodell
Mehrere Sicherheitsanbieter beschreiben Silver Fox inzwischen als Gruppe mit zwei parallelen Arbeitsweisen. Sekoia beschreibt dieses Muster ausdrücklich als „dual-track model".
Breit & opportunistisch
Gefälschte Software-Seiten, Phishing-Wellen, breite Verteilung über populäre Marken.
Gezielt & strategisch
Spionage, langfristige Persistenz, tieferer Netzwerkzugriff, gezielte Spear-Phishing-Kampagnen.
Weitere aktuelle Silver-Fox-Angriffe
Die jetzt bekannt gewordene AtlasCross-Kampagne steht nicht isoliert da. ESET berichtete zuletzt über eine Spear-Phishing-Welle gegen japanische Unternehmen, bei der Silver Fox mit Themen wie Steuerverstößen, Gehaltsanpassungen und Mitarbeiterbeteiligungsprogrammen arbeitete.
Dort kam zwar ValleyRAT statt AtlasCross zum Einsatz, aber das Muster ist ähnlich: glaubwürdige Köder, saubere Social-Engineering-Ansprache, schnelle Nachladung und dauerhafte Kontrolle über kompromittierte Systeme. AtlasCross ist nicht nur „noch ein Trojaner", sondern Teil eines wachsenden, anpassungsfähigen Werkzeugkastens.
Warum diese Kampagne für Unternehmen so relevant ist
Die Stärke solcher Angriffe liegt nicht in einer exotischen Zero-Day-Lücke, sondern in der Kombination aus Markenmissbrauch, realistisch wirkender Infrastruktur, signierten Dateien, gestaffelter Malware-Ausführung und Sicherheitsumgehung.
Viele Organisationen schützen sich gut gegen klassische Exploits, aber deutlich schlechter gegen trojanisierte Software-Downloads, die auf den ersten Blick legitim erscheinen.
Für Unternehmen in Asien ist die Gefahr aktuell besonders hoch, aber das Vorgehen lässt sich problemlos auf andere Regionen übertragen. Wer Software-Downloads nicht strikt kontrolliert, Benutzer nicht auf typosquattete Domains sensibilisiert und signierte Dateien automatisch vertraut, öffnet solchen Akteuren die Tür.
Fazit
Silver Fox zeigt mit AtlasCross RAT, wie moderne Malware-Kampagnen heute funktionieren: nicht laut, sondern glaubwürdig. Statt rohe Gewalt einzusetzen, bauen die Täter eine scheinbar seriöse Welt aus gefälschten Domains, legitim wirkenden Installern und vertrauenswürdiger Signatur auf.
Der Blick muss stärker auf Downloadquellen, Markenmissbrauch, Zertifikatsmissbrauch und speicherresidente Ausführung gerichtet werden – nicht nur auf bekannte Malware-Signaturen.
Dazu kommt ein technisch deutlich ausgereifter Trojaner, der Schutzmechanismen umgeht, verschlüsselt kommuniziert und auf langfristigen Zugriff ausgelegt ist. Für Verteidiger bedeutet das: Erkennung muss verhaltensbasiert werden, nicht nur signaturbasiert.
Wasacon Insight
Wenn Angreifer das Vertrauen in bekannte Marken, signierte Dateien und offizielle Software-Quellen ausnutzen, versagen traditionelle Schutzmechanismen. Unternehmen müssen Download-Kontrolle, Domain-Monitoring und verhaltensbasierte Erkennung konsequent umsetzen.
Ist dein Unternehmen gegen Fake-Software-Angriffe geschützt?
Lass uns gemeinsam prüfen, ob deine Download-Richtlinien, Endpoint-Kontrollen und Netzwerküberwachung gegen typosquattete Domains und trojanisierte Installer gewappnet sind.
Wasacon in deiner Region
Wasacon unterstützt Unternehmen in Heinsberg (52525), Erkelenz, Hückelhoven, Geilenkirchen, Aachen, Mönchengladbach, Jülich, Düren Rheydt (41236), Linnich (52441) und Krefeld bei der Absicherung gegen APT-Kampagnen, Typosquatting und trojanisierte Software-Downloads. Ob Endpoint-Schutz, Netzwerk-Monitoring oder Security-Awareness-Training – wir helfen dir vor Ort und remote, deine IT-Infrastruktur widerstandsfähig zu machen.
Häufig gestellte Fragen
Diskussion
0 Beiträge
IT-Budget Quick-Check
Wie viel sollte Ihr Unternehmen jährlich in IT investieren?
Risiko-Level: Mittel · Multiplikator: 1.2×
Richtwerte auf Basis von BSI/NIST/ENISA-Branchenbenchmarks. Keine verbindliche Empfehlung.
Das könnte Sie auch interessieren
IT-Sicherheitpm-energy gehackt? Qilin listet „Die Solarexperten“ aus Reesdorf im Darknet
Seit dem 9. August 2026 führt die Ransomware-Gruppe Qilin die pm-energy GmbH aus Reesdorf (Schleswig-Holstein) auf ihrer Leak-Seite. Was belegt ist, was Täterbehauptung bleibt – und warum Photovoltaik-Projektdaten besonders sensibel sind.
IT-SicherheitClausing Tiefbau gehackt? Qilin listet Osnabrücker Infrastruktur-Spezialisten im Darknet
Seit dem 8. August 2026 führt die Ransomware-Gruppe Qilin die Clausing GmbH Tiefbauunternehmen aus Osnabrück auf ihrer Darknet-Leak-Seite. Was belegt ist, was Täterbehauptung bleibt – und warum die digitalisierten Bauprozesse den Fall brisant machen.
IT-SicherheitThe Gentlemen listet INKA Group: Hinter der unscheinbaren Münchner Immobilienholding steckt ein weit größeres Firmengeflecht
Seit dem 7. August 2026 führt die Ransomware-Gruppe The Gentlemen die Münchner INKA Group GmbH & Co. KG als mutmaßliches Opfer. Register- und Konzerndaten zeigen ein verzweigtes Immobiliennetz – bis hin zur Hasen-Immobilien AG mit 230,5 Mio. € Bilanzsumme.
Haftungsausschluss: Die auf Wasacon bereitgestellten Inhalte dienen nur zu Informationszwecken. Wir garantieren nicht die Qualität, Genauigkeit oder Vollständigkeit der Informationen aus Drittquellen.
Sind Zugangsdaten Ihres Unternehmens bereits im Umlauf?
Wir prüfen Ihre Domain kostenlos gegen bekannte Infostealer- und Leak-Datenbanken – vertraulich und unverbindlich.
Bekannt aus
