SEO-vergiftete Software-Seiten missbrauchen ScreenConnect…

Eine massive Kampagne nutzt gefälschte Software-Seiten und ScreenConnect, um den Remote-Access-Trojaner AsyncRAT zu installieren. Kaspersky warnt vor de…

Wie die Angreifer vorgehen

Unbekannte Täter nutzen das legitime Remote-Zugriff-Tool ScreenConnect, um AsyncRAT zu verbreiten. Laut Kaspersky handelt es sich um eine "massive, multi-domain, multi-language" Kampagne, die bösartige Installationsarchive auf gefälschten Websites hostet. Diese Installer tarnen sich als beliebte Software wie OBS Studio, DNS Jumper, DS4Windows und Bandicam.

Die Rolle von SEO-Vergiftung

Die Angreifer setzen auf SEO-Vergiftung, um ihre schädlichen Seiten in Suchergebnissen weit oben zu platzieren. Sie nutzen gängige Suchbegriffe, die Nutzer eingeben, wenn sie Programme herunterladen wollen. Das macht die Masche besonders heimtückisch: Wer nach einem legitimen Tool sucht, landet schnell auf einer infizierten Seite.

Sieh dir die Links genau an, bevor du klickst. Oft unterscheiden sich die gefälschten Domains nur durch einen Buchstaben von den echten.

Warum ScreenConnect?

ScreenConnect ist ein Fernwartungstool, das legitime IT-Administratoren nutzen. Die Angreifer missbrauchen es, um nach der Infektion dauerhaften Zugriff auf das System zu erhalten. Das Tool wird nicht als Schadsoftware erkannt, was die Erkennung erschwert.

Einmal ausgeführt, lädt der Installer ScreenConnect herunter und startet es im Hintergrund. AsyncRAT wird dann als zweite Stufe nachgeladen. Es zeichnet Tastatureingaben auf, stiehlt Passwörter und ermöglicht die Fernsteuerung des Rechners.

Das Ausmaß der Kampagne

Kaspersky entdeckte Hunderte gefälschte Websites in mehreren Sprachen. Die Kampagne zielt auf Nutzer weltweit ab. Die Malware selbst ist kein neuer Stamm, aber die Verteilungsmethode ist effektiv.

Die Sicherheitsforscher betonen, dass die Zahl der Opfer schwer zu schätzen sei. Die Kombination aus SEO-Vergiftung und einem vertrauenswürdigen Tool wie ScreenConnect mache die Attacke besonders gefährlich.

Schutzmaßnahmen für dich

Lade Software ausschließlich von offiziellen Quellen herunter. Überprüfe die URLs genau, bevor du ein Installationspaket öffnest. Halte dein Antivirenprogramm aktuell und aktiviere Verhaltenserkennung.

Ein weit verbreiteter Irrtum: Dass Antiviren-Scans alle Bedrohungen erkennen. ScreenConnect ist kein Virus – es wird von vielen Sicherheitslösungen nicht blockiert. Du musst also auf die Quelle achten, nicht nur auf die Scan-Ergebnisse.

Wenn du bereits infiziert bist, trenne den Rechner sofort vom Netzwerk und führe eine vollständige Systemwiederherstellung durch. Bei sensiblen Daten solltest du Passwörter ändern.