Ein Run Key ist ein Eintrag in der Windows Registry, durch den Programme bei jedem Start des Betriebssystems automatisch geladen werden. Angreifer nutzen diese Funktion, um Malware persistent laufen zu lassen.
Von außen harmlos, im Kern brandgefährlich: Cyberkriminelle nutzen derzeit LinkedIn-Nachrichten, um gezielt Führungskräfte und schlüsselrelevante Personen mit professionellen Phishing-Kampagnen zu adressieren. Ihr Ziel: die unerkannte Infektion mit Remote Access Trojanern (RATs) — hochentwickelte Spionagewerkzeuge, die vollständige Kontrolle über kompromittierte Systeme geben. Laut einer aktuellen Analyse von ReliaQuest, veröffentlicht durch The Hacker News, bedienen sich Angreifer dazu der sogenannten DLL Side-Loading-Technik in Kombination mit legitimen Open-Source Tools.
Für CEOs, CIOs, CISOs und CSOs bedeutet das: Die Bedrohung hat längst die klassische E-Mail verlassen und infiltriert über unüberwachte Social-Media-Kanäle die Unternehmens-IT. Besonders perfide: Die Angreifer tarnen sich mit scheinbar vertraulichen PDF-Dateien oder Assessment-Materialien aus vermeintlichen Bewerbungsgesprächen.
In diesem Leitartikel analysieren wir die konkreten Cyberrisiken hinter diesem Vorgehen, erläutern die wirtschaftskriminellen Ziele und erklären, warum die technische Raffinesse nur ein Teil des Problems ist. Entscheidend ist, wie Unternehmen strategisch-funktional darauf reagieren – und wie ProSec Sie dabei als Partner mit echter Tiefe unterstützt.
Die aktuelle Kampagne nutzt persönliche LinkedIn-Nachrichten, um potenzielle Zielpersonen mit einem wohlüberlegten Social Engineering-Ansatz zu locken. Die Nachricht suggeriert meist einen professionellen Austausch – etwa im Kontext einer Zusammenarbeit, eines Interviews oder einfach eines potenziellen Jobangebots. Zielgruppe sind Personen mit hohem Zugriffsniveau oder interessanten Netzwerk-Positionen.
Öffnet das Opfer den mitgesendeten „Assessmentsordner“, startet ein raffinierter Infektionsprozess:
Diese Angriffsmethode hat bereits Einzug in mehrere dokumentierte Kampagnen gefunden, beispielsweise bei der Verteilung des „LOTUSLITE“ Backdoor oder der PDFSIDER Malware.
Was nach technischer Versiertheit klingt, hat eine eindeutige Stoßrichtung: gezielte, wirtschaftlich motivierte Spionage. Es geht nicht um Masse – sondern um Klasse. Die Opfer sind nicht beliebig. Sie sind aufgrund ihrer Position innerhalb ihrer Organisation genau ausgesucht. Mit Remote Access Trojans (RATs) lassen sich:
Mit dieser Form von Vollzugriff im Hintergrund bleibt Spionage wochen- oder monatelang unbemerkt. Vor allem: Sie verlagert sich nach erfolgtem Erstzugriff auf weitere Systeme, Endpoints oder Cloud-Anwendungen. Die verdeckte Laterale Bewegung wird zur wahren Gefahr.
Aktuelle Kampagnen zeigen, dass verschiedene Sektoren betroffen sind – vom Finanzdienstleister über produzierende Industrie bis hin zu Technologiekonzernen. Besonders perfide: Der Einstieg über LinkedIn-Nachrichten gestattet Angreifern ein minimales Schadensrisiko. Firmenmonitoring auf diesen Plattformen? In der Regel nicht vorhanden.
Viele Unternehmen investieren in E-Mail-Gateways, Firewalls und VPNs – aber Social-Media-Accounts ihrer Führungskräfte bleiben weitgehend ungeschützt. Die Sicherheitsstrategien sind traditionell: Mail und Endgerät ja, LinkedIn und X (ehemals Twitter) nein.
Dabei ist längst klar, dass Plattformen wie LinkedIn ein wertvoller Recherchepool für Threat-Actor-Gruppen sind. Der methodische Aufbau eines vermeintlich seriösen Accounts mit beruflichen Referenzen und Branchensprache benötigt kein spezielles Know-how – lediglich Geduld. Die Kosten für Angreifer sind minimal, der mögliche Ertrag enorm.
Besonders alarmierend: Bereits nordkoreanische APT-Gruppierungen nutzten LinkedIn in vergangenen Kampagnen erfolgreich, um gezielte Malware-Kampagnen zu orchestrieren. Prominente Cases wie CryptoCore und Contagious Interview verdeutlichen, dass RAT-basierte Spionage keine Theorie ist – sondern tägliche Praxis im Bereich der Industriespionage.
„Aber wir haben doch Endpoint-Protection, wir setzen DLP, wir schulen unsere Mitarbeiter…” – Unsicherheit entsteht oft dann, wenn Sicherheit fälschlicherweise mit starren Technologie-Stacks verwechselt wird. Doch:
Der Schadcode ist somit schwer erkennbar, und traditionelle Signaturerkennung ist weitgehend nutzlos. Stattdessen braucht es eine ganzheitliche Sicht: Menschen, Prozesse, Technologie – und ein strategisches Verständnis davon, dass neue Kommunikationswege auch neue Risiken eröffnen.
Der Python-Code, der in dieser Kampagne genutzt wird, ist ein öffentlich verfügbarer Pentesting-Wrapper – eigentlich gedacht zur Durchführung autorisierter Tests. Dass genau solche Tools „dual-use-fähig” sind, ist kein neues Thema. Doch viele Führungskräfte unterschätzen die Geschwindigkeit, mit der legitime Werkzeuge für kriminelle Zwecke adaptiert werden.
Ein Beispiel aus der Praxis: Die in der Kampagne eingesetzte Payload nutzt standardisierte Methoden zur Registrierung von Run Keys im Windows-Betriebssystem. Ebenjene Techniken sind von der MITRE ATT&CK Matrix seit Jahren dokumentiert.
Jedoch: Die bloße Kenntnis dieser Techniken reicht nicht – es braucht konkrete Detection Rules, Penetrationstests (Red-Teaming) und ein tiefes Verständnis für komplexe Angreiferketten.
Bei ProSec begleiten wir Unternehmen seit Jahren bei der Bekämpfung wirtschaftskrimineller Cyberbedrohungen. Unsere Expertise liegt insbesondere in der Aufdeckung und Abwehr gezielter Spionage-Aktivitäten, die über unterschätzte Einfallsvektoren wie Social Media erfolgen.
Was uns unterscheidet:
Die gute Nachricht: Für diejenigen, die handeln, ist das Risiko beherrschbar. Für diejenigen, die warten, kann ein einziger Social-Media-Kontakt langanhaltende Schäden bedeuten.
Ein RAT ist eine Malware, die es Angreifern erlaubt, aus der Ferne auf ein kompromittiertes System zuzugreifen und es zu steuern – inklusive Tastatureingaben, Dateibewegungen und Kameraaktivierungen.
Dabei nutzt eine Anwendung eine externe DLL – allerdings wird, meist unbemerkt, eine manipulierte DLL geladen. Das ermöglicht es Angreifern, Schadcode über scheinbar legitime Programme auszuführen.
Hierbei wird Schadcode direkt im Arbeitsspeicher (RAM) geladen und ausgeführt – ohne vorherige Speicherung auf der Festplatte. Das macht die Aktivität schwer nachverfolgbar und für klassische Antivirenlösungen fast unsichtbar.
Dabei handelt es sich um eine öffentlich verfügbare Wissensbasis realer Angriffstechniken, veröffentlicht von der MITRE Corporation. Sie dient Unternehmen zur Einordnung und Bewertung komplexer Bedrohungen.
Ein Run Key ist ein Eintrag in der Windows Registry, durch den Programme bei jedem Start des Betriebssystems automatisch geladen werden. Angreifer nutzen diese Funktion, um Malware persistent laufen zu lassen.
