Angreifer missbrauchen die Begrüßungsnachrichten, die FTP-Server beim Verbindungsaufbau anzeigen, um schädliche Befehle zu verbergen, mit denen zwei neue Remote-Access-Trojaner für Windows ausgeliefert werden: E4del und PINHOLE. MalwareHunterTeam beobachtete diese Methode während eines Angriffs, der im Juli 2026 auftrat, bevor die Threat-Intelligence-Plattform SOCRadar die Untersuchung ausweitete und bestätigte, dass sie bis August weiter eingesetzt wurde.
Eine FTP-Begrüßungsnachricht ist ein Text, den der Server dem verbundenen Gerät vor der Anmeldung sendet. In dieser Kampagne werden die Befehle in die erste Antwort eingebettet, die das kompromittierte System erhält, sodass ein vorbereitendes Programm Anweisungen von einem entfernten Server abrufen kann. Dies ähnelt der Nutzung des Servers als Dead-Drop-Resolver, allerdings über einen FTP-Kanal statt über gängige Webdienste.
Wie beginnt die Infektion?
Laut dem Bericht von SOCRadar beginnt die Angriffskette mit einer ZIP-Datei. Die Forscher vermuten, dass ihr erstmaliger Zugang über Phishing erfolgt. Das Öffnen des Archivs startet eine Infektionskette, die auf .LNK-Verknüpfungsdateien beruht und zwei unterschiedliche Pfade zur Installation von E4del oder PINHOLE verwendet. In beiden Pfaden wird PowerShell-Code aus den Begrüßungsnachrichten von FTP-Servern extrahiert.
Funktionen von E4del und PINHOLE
E4del basiert auf Node.js innerhalb einer digital signierten Electron-Anwendung und tarnt sich als Discord-Anwendung. Es unterstützt die Ausführung von Befehlen über temporäre oder persistente Shell-Sitzungen, die Erstellung von Bildschirmaufnahmen sowie die Übertragung des Desktops über WebSockets. Außerdem kann es weitere Payloads herunterladen und ausführen. Die Forscher wiesen zudem auf ein Node.js-Modul namens crypto32.node hin, das versucht, die Berechtigungen zu erhöhen. Sie konnten es jedoch nicht beschaffen, um es zu analysieren.
PINHOLE bezieht seine Verbindungs- und Steuerungskonfigurationen aus Pinterest-Posts und Fragen in SurveyMonkey-Umfragen. Diese Methode verleiht ihm Flexibilität beim Wechsel seiner Quellen und erschwert deren Deaktivierung. Das Programm verwendet eine als Shellcode Fluctuation bekannte Technik und hält jeweils nur einen 4 Kilobyte großen Abschnitt der Payload im Speicher. Anschließend injiziert es die endgültige Zusammenstellung über die Technik Early Bird APC Injection in einen angehaltenen Prozess namens ApplicationFrameHost.exe.
PINHOLE unterstützt vierzehn Befehle, darunter das Auflisten von Dateien, deren Hoch- und Herunterladen, die Ausführung von Befehlen, die Prozessverwaltung, Bildschirmaufnahmen sowie die Bereitstellung eines Moduls zum Diebstahl gespeicherter Zugangsdaten aus Browsern. Bis zum Zeitpunkt der Analyse verzeichnete das Programm lediglich 11 Ausführungsereignisse, was darauf hindeutet, dass sich die Kampagne in einer frühen Phase befand.
Warum ist diese Methode relevant?
Die Nutzung von FTP-Nachrichten stellt eine ungewöhnliche Alternative zur Übermittlung von Befehlen dar, ist jedoch nicht zwangsläufig unauffälliger als die Nutzung von Webdiensten wie X, GitHub und YouTube. Verbindungen zu unbekannten FTP-Servern können für Verteidigungsteams sogar auffälliger sein, insbesondere wenn sie nicht dem üblichen Nutzungsmuster innerhalb des Netzwerks entsprechen. Die Forscher sind der Ansicht, dass sich die Methode für Social-Engineering-Kampagnen vom Typ ClickFix anpassen lässt.
SOCRadar erklärte, dass eine Suche mit FOFA gezeigt habe, dass die Technik seit Anfang Juli 2026 für Angriffe eingesetzt werde und im August neue Infrastruktur aufgetaucht sei. Der Bericht enthält Indicators of Compromise, die zur Identifizierung schädlicher Server und infizierter Geräte innerhalb von Netzwerken verwendet werden können.