Angreifer nutzen die Begrüßungsnachrichten, die FTP-Server beim Verbindungsaufbau anzeigen, um schädliche Befehle zu verbergen, mit denen zwei neue Remote-Access-Trojaner für Windows zugestellt werden: E4del und PINHOLE. MalwareHunterTeam beobachtete diese Methode während eines Angriffs, der im Juli 2026 auftrat, bevor die Threat-Intelligence-Plattform SOCRadar die Untersuchung ausweitete und bestätigte, dass sie bis August weiterhin eingesetzt wurde.
Eine FTP-Begrüßungsnachricht ist ein Text, den der Server vor der Anmeldung an das verbundene Gerät sendet. In dieser Kampagne werden die Befehle in die anfängliche Antwort eingebettet, die das kompromittierte System empfängt, sodass ein vorbereitendes Programm sie verwendet, um Anweisungen von einem entfernten Server abzurufen. Dies ähnelt der Nutzung des Servers als Dead-Drop-Resolver, allerdings über einen FTP-Kanal statt über gängige Webdienste.
Wie beginnt die Infektion?
Laut dem SOCRadar-Bericht beginnt die Kette mit einer ZIP-Datei. Die Forscher vermuten, dass der Erstzugang über Phishing erfolgt. Das Öffnen des Archivs startet eine Infektionskette, die auf .LNK-Verknüpfungsdateien beruht und zwei unterschiedliche Pfade zur Installation von E4del oder PINHOLE verwendet. In beiden Pfaden wird PowerShell-Code aus den Begrüßungsnachrichten von FTP-Servern extrahiert.
Funktionen von E4del und PINHOLE
E4del basiert auf Node.js innerhalb einer digital signierten Electron-Anwendung und tarnt sich als Discord-Anwendung. Es unterstützt die Ausführung von Befehlen über temporäre oder dauerhafte Shell-Sitzungen, die Aufnahme von Bildschirmfotos und das Streamen des Desktops über WebSockets sowie das Herunterladen und Ausführen weiterer Payloads. Die Forscher verwiesen außerdem auf ein Node.js-Modul namens crypto32.node, das versucht, die Berechtigungen zu erhöhen. Sie konnten es jedoch nicht beschaffen, um es zu analysieren.
PINHOLE bezieht seine Verbindungs- und Steuerungskonfigurationen aus Pinterest-Beiträgen und SurveyMonkey-Umfragen. Diese Methode verleiht ihm Flexibilität beim Wechsel seiner Quellen und erschwert deren Deaktivierung. Das Programm verwendet eine als Shellcode Fluctuation bekannte Technik und hält jeweils nur einen 4 Kilobyte großen Abschnitt der Payload im Speicher. Anschließend injiziert es die endgültige Zusammenstellung über die Technik Early Bird APC Injection in einen angehaltenen Prozess namens ApplicationFrameHost.exe.
PINHOLE unterstützt vierzehn Befehle, darunter das Auflisten, Hoch- und Herunterladen von Dateien, die Ausführung von Befehlen, die Prozessverwaltung, die Aufnahme von Bildschirmfotos und die Bereitstellung eines Moduls zum Stehlen gespeicherter Anmeldedaten aus Browsern. Bis zum Zeitpunkt der Analyse wurden bei dem Programm lediglich 11 Ausführungsereignisse registriert, was darauf hindeutet, dass sich die Kampagne in einer frühen Phase befand.
Warum ist diese Methode relevant?
Die Nutzung von FTP-Nachrichten stellt eine ungewöhnliche Alternative zur Übermittlung von Befehlen dar, ist jedoch nicht unbedingt unauffälliger als die Verwendung von Webdiensten wie X, GitHub und YouTube. Verbindungen zu unbekannten FTP-Servern können für Verteidigungsteams auffälliger sein, insbesondere wenn sie nicht dem üblichen Nutzungsmuster innerhalb des Netzwerks entsprechen. Die Forscher sind der Ansicht, dass sich die Methode an ClickFix-Kampagnen des Typs Social Engineering anpassen lässt.
SOCRadar erklärte, dass eine Suche mit FOFA gezeigt habe, dass die Technik seit Anfang Juli 2026 als Waffe eingesetzt wurde und im August neue Infrastruktur auftauchte. Der Bericht enthält Indikatoren für eine Kompromittierung, die zur Identifizierung bösartiger Server und infizierter Geräte innerhalb von Netzwerken verwendet werden können.