--- title: Wie TamperedChef signierte Apps nutzt, um heimlich Schadsoftware zu installieren description: Die Acronis Threat Research Unit (TRU) beobachtete eine globale Malvertising-/SEO-Kampagne mit der Bezeichnung „TamperedChef“. Es liefert legitim aussehende Installationsprogramme, die sich als gängige Anwendungen tarnen, um Benutzer zur Installation zu verleiten, Persistenz herzustellen und verschleierte JavaScript-Nutzlasten für den Fernzugriff und die Fernsteuerung bereitzustellen. canonical_url: https://www.acronis.com/de/tru/posts/cooking-up-trouble-how-tamperedchef-uses-signed-apps-to-deliver-stealthy-payloads/ locale: de last_updated: 2026-10-11 --- * [Startseite](https://www.acronis.com/de/tru/) * [Beiträge](https://www.acronis.com/de/tru/posts/) * [Darrel Virtusio](https://www.acronis.com/de/tru/authors/virtusio-darrel/) 03. Dez. 2025 # Wie TamperedChef signierte Apps nutzt, um heimlich Schadsoftware zu installieren Die Acronis Threat Research Unit (TRU) beobachtete eine globale Malvertising-/SEO-Kampagne mit der Bezeichnung „TamperedChef“. Es liefert legitim aussehende Installationsprogramme, die sich als gängige Anwendungen tarnen, um Benutzer zur Installation zu verleiten, Persistenz herzustellen und verschleierte JavaScript-Nutzlasten für den Fernzugriff und die Fernsteuerung bereitzustellen. Autor: **[Darrel Virtusio](https://www.acronis.com/de/tru/authors/virtusio-darrel/)** [English](https://www.acronis.com/en/tru/posts/cooking-up-trouble-how-tamperedchef-uses-signed-apps-to-deliver-stealthy-payloads/) [Español](https://www.acronis.com/es/tru/posts/cooking-up-trouble-how-tamperedchef-uses-signed-apps-to-deliver-stealthy-payloads/) [Français](https://www.acronis.com/fr/tru/posts/cooking-up-trouble-how-tamperedchef-uses-signed-apps-to-deliver-stealthy-payloads/) [Italiano](https://www.acronis.com/it/tru/posts/cooking-up-trouble-how-tamperedchef-uses-signed-apps-to-deliver-stealthy-payloads/) [Português](https://www.acronis.com/pt/tru/posts/cooking-up-trouble-how-tamperedchef-uses-signed-apps-to-deliver-stealthy-payloads/) [Svenska](https://www.acronis.com/sv/tru/posts/cooking-up-trouble-how-tamperedchef-uses-signed-apps-to-deliver-stealthy-payloads/) **Autoren: Darrel Virtusio, Jozsef Gegeny** ## Zusammenfassung * Die Acronis Threat Research Unit (TRU) hat eine globale Malvertising-/SEO-Kampagne mit dem Namen „TamperedChef” verfolgt. Im Rahmen dieser Kampagne werden Installer bereitgestellt, die auf den ersten Blick legitim aussehen und sich als gängige Programme tarnen. Damit sollen Benutzer:innen zur Installation der Malware verleitet werden. Die Malware stellt anschließend eine dauerhafte Präsenz im System sicher und installiert verschleierte JavaScript-Payloads für den Fernzugriff sowie zur Fernkontrolle der infizierten Geräte. * Bei dieser Kampagne kommt Social Engineering zum Einsatz: Um das Vertrauen der Benutzer:innen zu gewinnen und von Sicherheitssoftware nicht erkannt zu werden, werden alltägliche Programmnamen, Malvertising, Suchmaschinenoptimierung (SEO) sowie gefälschte digitale Zertifikate genutzt. * Kennzeichnend für diese Variante ist die Umstellung auf eine abgelegte XML-Datei, die einen geplanten Task konfiguriert, um die verschleierte JavaScript-Payload abzurufen und auszuführen. * TamperedChef nutzt eine industrialisierte, geschäftsähnliche Infrastruktur und stützt sich auf ein Netzwerk in den USA registrierter Briefkastenfirmen, um Code Signing-Zertifikate zu erwerben und zu rotieren. * Die Telemetriedaten von Acronis zeigen eine verstärkte Aktivität in Nord- und Südamerika, obwohl die Infrastruktur und die Malware-Varianten weltweit verteilt und keiner bestimmten Branche zuzuordnen sind. Die meisten Opfer stammen aus dem Gesundheitswesen, dem Bauwesen und der Fertigungsindustrie. Das liegt vermutlich daran, dass Menschen in diesen Branchen häufig online nach Produkthandbüchern für hochspezialisierte Geräte suchen. Dies ist eines der Verhaltensmuster, die die TamperedChef-Kampagne ausnutzt. * Die Kampagne verfolgt vermutlich mehrere finanzielle oder strategische Ziele. Dazu zählen die Etablierung und der Verkauf von Fernzugriffen zu Profitzwecken, der Diebstahl und Verkauf von Anmeldedaten und anderer sensibler Daten (insbesondere im Gesundheitswesen), die Vorbereitung kompromittierter Systeme für den zukünftigen Einsatz von Ransomware sowie die Durchführung opportunistischer Spionage durch Ausnutzung des Zugriffs auf hochwertige Ziele. ## Überblick über die Kampagne: signierte Apps, SEO-Missbrauch und globale Reichweite Die Acronis TRU hat kürzlich eine weltweite Kampagne entdeckt, die verschiedene Unternehmen aus unterschiedlichen Branchen ins Visier genommen hat. Im Rahmen dieser Kampagne wird scheinbar legitime Software mit voller Funktionalität und gültiger Codesignatur verbreitet, um Endbenutzer:innen dazu zu verleiten, die Software auszuführen. Diese gefälschten Programme imitieren häufig verwendete Software wie Browser, PDF-Editoren, Handbuchleser und sogar Spiele. Dadurch wirken sie authentischer und es wird für Benutzer:innen schwieriger, ihre böswillige Absicht zu erkennen. Darüber hinaus gewinnen Trojaner, die als bekannte Programme getarnt sind, eher das Vertrauen der Benutzer:innen, da sie Tools imitieren, die häufig für alltägliche Aufgaben verwendet werden. ![Image 1: Abbildung 1: Suchergebnisse von Bing, die zu einer von TamperedChef kontrollierten Download-Seite führen.](https://staticfiles.acronis.com/images/content/662f0e98d8d2ca2887e539cfcc72d350.png) Abbildung 1: Suchergebnisse von Bing, die zu einer von TamperedChef kontrollierten Download-Seite führen. Unsere Ermittlungen zu dieser Kampagne begannen im Juni 2025. Es gibt jedoch Hinweise darauf, dass bereits zuvor Aktivitäten stattgefunden haben. Dies deutet darauf hin, dass die Kampagne bereits einige Zeit vor ihrer Aufdeckung aktiv war. Die gefälschten Applikationen sind weit verbreitet und betreffen verschiedene Regionen und Branchen. Dies lässt den Schluss zu, dass die Verantwortlichen nicht gezielt einzelne Unternehmen ins Visier nehmen, sondern möglichst viele anfällige Ziele angreifen wollen. Das von uns in dieser Kampagne beobachtete Verhalten deckt sich mit den zuvor von anderen Anbietern von Sicherheitslösungen gemeldeten Erkenntnissen. Unsere Analyse hat jedoch eine Abwandlung der Angriffskette aufgedeckt, die in diesem Blog-Artikel ausführlich beschrieben wird. Zwar unterscheidet sich die Angriffskette von früheren Berichten, die Taktik, gefälschte, signierte Apps zu verbreiten, die Persistenz sicherzustellen und JavaScript-Payloads auszuführen, bleibt jedoch bestehen. ## Opferforschung Die Telemetriedaten von Acronis zeigen, dass rund 80 % der Opfer dieser Kampagne in den USA zu finden sind. Die übrigen 20 % verteilen sich auf andere Länder. Diese geografische Verteilung deutet zwar auf eine Konzentration der Aktivitäten auf Benutzer:innen in den USA hin, zeigt jedoch eher die globale Reichweite der Kampagne als eine gezielte Ausrichtung auf eine bestimmte Region. ![Image 2: Abbildung 2: Von dieser Kampagne betroffene Länder.](https://staticfiles.acronis.com/images/content/26a02155a101d998ed1a1ad5502e08af.png) Abbildung 2: Von dieser Kampagne betroffene Länder. Die Telemetriedaten zeigen, dass die Opfer aus verschiedenen Branchen stammen. Der Schwerpunkt liegt dabei jedoch eindeutig auf dem Gesundheitswesen, dem Bauwesen und der Fertigungsindustrie. Diese Branchen scheinen besonders anfällig für diese Art von Kampagne zu sein, was vermutlich auf ihre Abhängigkeit von hochspezialisierten, technischen Geräten zurückzuführen ist. Dies veranlasst Benutzer:innen häufig dazu, online nach Produkthandbüchern zu suchen – ein Verhaltensmuster, das von der TamperedChef-Kampagne ausgenutzt wird. Ferner ist es für Benutzer:innen oft schwierig, Handbücher in ihrer Muttersprache zu finden (die meisten sind auf Englisch), was erklären könnte, warum die Mehrheit der Opfer in den USA zu finden ist. ![Image 3: Abbildung 3: Von dieser Kampagne betroffene Branchen.](https://staticfiles.acronis.com/images/content/45ebb3c10658967a1afb9894f8fc1118.png) Abbildung 3: Von dieser Kampagne betroffene Branchen. ## Ein Blick ins Innere von TamperedChef Im Rahmen unserer Untersuchung haben wir mehrere gefälschte Programme mit überzeugenden Produktnamen ausfindig gemacht. Jedes dieser gefälschten Programme präsentiert sich als voll funktionsfähige Software und verfügt über eine gültige Signatur verschiedener Unternehmen. Dadurch wird die Glaubwürdigkeit erhöht und die Entdeckung erschwert. Beispiele für die von uns entdeckten gefälschten Programme sind: * All Manuals Reader * Master Chess * Manual Reader Pro * JustAskJacky * Total User Manual * Any Product Manual ![Image 4: Abbildung 4: Homepage von hxxps://anyproductmanual[.]com/](https://staticfiles.acronis.com/images/content/db1e0026882ba66559dbdda9922ae184.png) Abbildung 4: Homepage von hxxps://anyproductmanual[.]com/ Dieser Ansatz ist eine Form des Social Engineering: Die Benutzer:innen sehen einen scheinbar legitimen Namen für ein Programm, das sie möglicherweise täglich verwenden. Dadurch wird ihr Vertrauen gestärkt und sie sind eher bereit, die Software zu installieren und auszuführen. ## Infrastruktur Die Infrastruktur hinter diesen gefälschten Programmen nutzt immer dasselbe Format. Die Download-Seiten haben ähnliche Namen wie die gefälschten Programme selbst und enthalten in der Regel das Wort „download“ als Subdomain. Durch diese Namensgebung wirken die Domains auf den ersten Blick legitim. Das verleitet Benutzer:innen dazu, die schädlichen Installer herunterzuladen und auszuführen. **Download-URL** **Domain-Registrar** **Erstellungs-/Ablaufdatum** **Registrierungsland** download[.]allmanualsreader[.]com NameCheap, Inc. 15.01.2025 – 15.01.2026 Island download[.]playthechess[.]com NameCheap, Inc. 26.03.2025 – 26.03.2026 Island download[.]manualreaderpro[.]com NameCheap, Inc. 08.06.2025 – 08.06.2026 Island download[.]justaskjacky[.]com NameCheap, Inc. 10.06.2025 – 10.06.2026 Island download[.]totalusermanuals[.]com NameCheap, Inc. 28.08.2025 – 28.08.2026 Island download[.]anyproductmanual[.]com NameCheap, Inc. 06.09.2025 – 06.09.2026 Island WHOIS-Daten für die Download-URLs Auch die frühen Command-and-Control-Server (C2), die in den Kampagnen zum Einsatz kamen, folgten einem bestimmten Format. Dieses besteht aus Zeichenfolgen, die aus dem Domainnamen generiert wurden und willkürlich erscheinen. Die neuesten bekannten C2-Server verwenden jedoch Domainnamen, die leichter wiederzuerkennen sind. Dies geschieht vermutlich, um sich in den normalen Netzwerkverkehr einzufügen und keinen Verdacht zu erwecken. **C2-Server** **Domain-Registrar** **Erstellungs-/Ablaufdatum** **Registrierungsland** api[.]78kwijczjz0mcig0f0[.]com NameCheap, Inc. 25.03.2025 – 25.03.2026 Island api[.]zxg4jy1ssoynji24po[.]com NameCheap, Inc. 07.04.2025 – 07.04.2026 Island api[.]cjby76nlcynrc4jvrb[.]com NameCheap, Inc. 17.06.2025 – 17.06.2026 Island api[.]vtqgo0729ilnmyxs9q[.]com NameCheap, Inc. 10.06.2025 – 10.06.2026 Island get[.]latest-manuals[.]com NameCheap, Inc. 29.08.2025 – 29.08.2026 Island app[.]catalogreference[.]com NameCheap, Inc. 06.09.2025 – 06.09.2026 Island WHOIS-Daten für die C2-Server Die Analyse der Infrastruktur hat ergeben, dass die Cyberkriminellen bewusst eine geschäftsähnliche Strategie verfolgen. Sie nutzen konsequent NameCheap, um Domains zu registrieren, sowie einen [Domain-Datenschutzdienst](https://withheldforprivacy.com/), um die Angaben der Domain-Eigentümer:innen zu verbergen. Sowohl die Download- als auch die C2-Server-Domains sind jeweils nur für ein Jahr registriert. Durch die kurze Registrierungsdauer können sie die Infrastruktur nach einer Sperrung schnell wieder aufbauen. Das angegebene Registrierungsland (Island) stammt vom Datenschutzanbieter und spiegelt nicht den tatsächlichen Standort der Domain-Eigentümer:innen wider. ## Ein Versteckspiel mit Briefkastenfirmen und Zertifikatsmissbrauch ![Image 5: Abbildung 5: Überblick über die TamperedChef-Strategie mit Briefkastenfirmen und Infrastruktur.](https://staticfiles.acronis.com/images/content/22f4f2d8e69e424f71dfc3f205842da4.png) Abbildung 5: Überblick über die TamperedChef-Strategie mit Briefkastenfirmen und Infrastruktur. TamperedChef nutzt eine industrialisierte, geschäftsähnliche Infrastruktur und stützt sich auf ein Netzwerk in den USA registrierter Briefkastenfirmen, um Code Signing-Zertifikate zu erwerben und zu rotieren. Häufig sind es LLCs (Limited Liability Companies), die über Postweiterleitungs- oder Agenturdienste registriert sind. Diese Unternehmen dienen als austauschbare Fassaden für EV-Zertifikate (Extended Validation). Die Zertifikate werden anschließend zum Signieren gefälschter, jedoch voll funktionsfähiger Softwareprogramme verwendet. **Signatur** **Land** **Adresse** **Name des Agenten** App Interplace LLC USA Kent, DE NORTHWEST REGISTERED AGENT SERVICE, INC Performance Peak Media LLC USA 1309 Coffeen Avenue STE 17793, Sheridan, Wyoming, 82801 Company Sage Agents LLC Pixel Catalyst Media LLC USA Kent, DE NORTHWEST REGISTERED AGENT SERVICE, INC Native Click Marketing LLC USA Kent, DE NORTHWEST REGISTERED AGENT SERVICE, INC Fusion Core Reach LLC USA Kent, DE NORTHWEST REGISTERED AGENT SERVICE, INC Unified Market Group LLC USA 1309 Coffeen Avenue STE 17793, Sheridan, Wyoming, 82801 Company Sage Agents LLC Daten von opencorporates.com Sobald ein Zertifikat widerrufen oder gekennzeichnet wurde, registrieren die Kampagnenverantwortlichen umgehend eine neue Briefkastenfirma mit einem anderen, aber ähnlich generischen Namen im Bereich „Digitales Marketing“. Anschließend erwerben sie ein neues Zertifikat und signieren die Installer erneut. Durch diesen Prozess kann die Kampagne kontinuierlich Vertrauen ausnutzen und bösartige Software als legitim erscheinen lassen – selbst dann, wenn frühere Identitäten aufgeflogen sind. **Zertifikat** **Gültigkeit** **Status** Native Click Marketing LLC 28.11.2024 – 28.11.2027 Widerrufen Pixel Catalyst Media LLC 17.01.2025 – 17.01.2028 Widerrufen App Interplace LLC 22.01.2025 – 22.01.2028 Widerrufen Fusion Core Reach LLC 14.03.2025 – 14.03.2026 Widerrufen Performance Peak Media LLC 21.07.2025 – 21.07.2026 Widerrufen Unified Market Group LLC 23.07.2025 – 23.07.2026 Gültig (zum Zeitpunkt der Erstellung dieses Dokuments) Gültigkeit von missbrauchten Zertifikaten und deren Status ### Übersicht über die Angriffskette Während die Infektionsphasen den früheren Berichten entsprechen, zeichnet sich diese Variante dadurch aus, dass sie auf einen geplanten Task zurückgreift. Dieser wird durch eine abgelegte task.xml-Datei initiiert, die für Persistenz sorgt. Außerdem kommt hier eine strukturell andere, stark verschleierte JavaScript-basierte Backdoor zum Einsatz. ![Image 6: Abbildung 6: Beobachtete Angriffskette (basierend auf Acronis Telemetriedaten).](https://staticfiles.acronis.com/images/content/7c91087cac6b8b6021e642c9232537a7.png) Abbildung 6: Beobachtete Angriffskette (basierend auf Acronis Telemetriedaten). **ERSTINFEKTION** Unsere Untersuchung hat ergeben, dass die Installer über Malvertising in Kombination mit SEO-Manipulation verbreitet werden. Zu diesem Zweck werden Google Anzeigen und speziell gestaltete Landing Pages für häufig gestellte Suchanfragen im Zusammenhang mit den gefälschten Programmen optimiert. So gelangen ahnungslose Opfer, die nach gängigen und generischen Programmen für alltägliche Aufgaben suchen, auf die gefälschte Website und laden eines der Programme herunter. Zu einem späteren Zeitpunkt kann dieses eine schädliche Payload abrufen. hxxps[://]download[.]anyproductmanual[.]com/anyproductmanual[.]exe?product=Tiara+1995+3100+Service+Manual&utm_source=bing-search&typr=0&utm_term=how+to+find+manuals-Tiara+1995+3100+Service+Manual&utm_campaign=523168359&msclkid=ac7920a6e8cd162d3349486ae09f6f94 Beispiel für eine schädliche URL zum Herunterladen eines gefälschten Programms. Die oben gezeigte Download-URL stammt aus einer der Varianten und ruft das gefälschte Programm automatisch ab. Dies deutet stark auf Malvertising-Aktivitäten hin. Die Parameter bestätigen, dass die Cyberkriminellen gezielt Benutzer:innen ins Visier nehmen, die nach kostenloser Software oder Produkthandbüchern suchen. **AUSFÜHRUNG** Wird das gefälschte Programm ausgeführt, erscheint ein Fenster mit der Lizenzvereinbarung, wie es bei legitimer Software während der Installation der Fall ist. ![Image 7: Abbildung 7: Lizenzvereinbarung vor der Installation.](https://staticfiles.acronis.com/images/content/ef7c9746927465bf7b8e3408598eec54.png) Abbildung 7: Lizenzvereinbarung vor der Installation. Während der Installation wird die Datei „task.xml” entweder im temporären Verzeichnis des Installers oder im Installationsverzeichnis des Programms gespeichert. Mithilfe dieser XML-Datei erstellt der Installer einen geplanten Task, der die Persistenz der Malware auf dem System sicherstellt. ![Image 8: Abbildung 8: Die gefälschte Applikation wurde installiert.](https://staticfiles.acronis.com/images/content/7916864ae5ad1707984baa67cd726ec7.png) Abbildung 8: Die gefälschte Applikation wurde installiert. Nach Abschluss der Installation öffnet der Installer einen Browser-Tab, um eine „Vielen Dank für die Installation“-Meldung anzuzeigen. Dadurch entsteht erneut der Eindruck, dass es sich um legitime Software handelt. ![Image 9: Abbildung 9: Nach der Installation erscheint eine Dankesnachricht.](https://staticfiles.acronis.com/images/content/a7f6dd2ce92996bf296a0b9057a5cfca.png) Abbildung 9: Nach der Installation erscheint eine Dankesnachricht. **PERSISTENZ** In früheren Kampagnen setzten die Cyberkriminellen auf Registry-Autoruns: Sie erstellten eine Kopie der Binärdatei im Startordner und legten einen geplanten Task an. Bei dieser neuen Variante wird hingegen nur ein geplanter Task für die Persistenz verwendet. Dabei kommt eine abgelegte XML-Datei namens „task.xml” zum Einsatz. Während in der früheren Version der Kampagne für den Task-Namen eine GUID-ähnliche Zeichenfolge verwendet wurde, werden in den neuesten Versionen allgemeinere Bezeichnungen eingesetzt. ![Image 10: Wie TamperedChef signierte Apps nutzt, um heimlich Schadsoftware zu installieren](https://staticfiles.acronis.com/images/content/3b1a24f3525dfa3825e984118e89e05c.png) ![Image 11: Abbildung 10: Die Datei „task.xml“ dient als Konfiguration für den geplanten Task.](https://staticfiles.acronis.com/images/content/220d6c221f95b3d5a9bf161d249a5916.png) Abbildung 10: Die Datei „task.xml“ dient als Konfiguration für den geplanten Task. Dieser Ausschnitt aus der Datei „task.xml” enthält die Konfiguration für den erstellten geplanten Task der gefälschten Applikation. Der geplante Task ist so konfiguriert, dass er ein JavaScript ausführt, das sich im Verzeichnis „%APPDATA%\Programs\[Name des installierten gefälschten Programms]” befindet. Der Task wird unmittelbar nach seiner Erstellung ausgeführt und wiederholt sich anschließend alle 24 Stunden mit einer zufälligen Verzögerung von bis zu 30 Minuten. Dadurch wird eine konsistente und automatisierte Ausführung der JavaScript-Schaddaten gewährleistet. Die Konfiguration ermöglicht außerdem verlängerte Laufzeiten, verhindert mehrere gleichzeitige Instanzen und führt automatisch alle versäumten Routinen aus. Durch den Missbrauch von geplanten Tasks mit verzögerten Updates können Cyberkriminelle unbemerkt auf dem infizierten System bleiben und steuern, wann ihre schädlichen Payloads ausgeführt werden. Durch die verzögerte Ausführung können sie einer ersten Erkennung entgehen und sich nahtlos in normale Systemprozesse einfügen. **COMMAND-AND-CONTROL-VERBINDUNG** Wir haben zwei verwandte Varianten von JavaScript-Payloads identifiziert. Beide fungieren als Backdoors, unterscheiden sich jedoch in ihrer Codestruktur. Da beide stark verschleiert sind, ist eine statische Analyse erheblich erschwert. ![Image 12: Abbildung 11: Ein stark verschleierter JavaScript-Payload.](https://staticfiles.acronis.com/images/content/4936b2048bcf87da0bd2153e8f42a915.png) Abbildung 11: Ein stark verschleierter JavaScript-Payload. Die JavaScript-Schaddaten wurden mithilfe des Open Source-basierten JavaScript-Verschleierungsprogramms von „[obfuscator.io](https://github.com/javascript-obfuscator/javascript-obfuscator?tab=readme-ov-file)” verschleiert. Das Tool wendet mehrere Verschleierungstechniken an, darunter die Umbenennung von Zeichenfolgen und Funktionen, Control Flow Flattening und die Injektion von totem Code. Aufgrund der effektiven Verschleierung bösartiger Logik ist davon auszugehen, dass dieses Tool zunehmend von JavaScript-basierter Malware eingesetzt werden wird, um Analysen zu erschweren. Ein aktuelles Beispiel für dieses Verhalten, das sich bereits im Umlauf befindet, haben wir in unserem früheren Bericht [„Bedrohungsakteure setzen auf Gaming: Getarnte Stealer auf Basis des Electron-Frameworks”](https://www.acronis.com/de/tru/posts/threat-actors-go-gaming-electron-based-stealers-in-disguise/) dokumentiert. Wir haben die JavaScript-Schaddaten mithilfe dieses [Open Source-Tools](https://github.com/ben-sb/obfuscator-io-deobfuscator) teilweise entschleiern können. Je nach Einstellung auf obfuscator.io kann dieser Deobfuskator einen Teil oder das gesamte verschleierte Skript wiederherstellen. ![Image 13: Wie TamperedChef signierte Apps nutzt, um heimlich Schadsoftware zu installieren](https://staticfiles.acronis.com/images/content/a3694a128598a05cd8d30b7deaea082f.png) ![Image 14: Wie TamperedChef signierte Apps nutzt, um heimlich Schadsoftware zu installieren](https://staticfiles.acronis.com/images/content/efae6ac479478ca3297d57af857f389b.png) **Abbildung 12: Ausschnitt aus den entschleierten JavaScript-Schaddaten (links: Variante 1; rechts: Variante 2).** Mithilfe des verfügbaren Deobfuskators konnten wir beide Payload-Varianten teilweise wiederherstellen. Die Variablen- und Funktionsnamen sind jedoch weiterhin größtenteils unlesbar und die zweite Variante scheint nach wie vor stärker verschleiert zu sein als die erste. Allerdings sind nun Teile jedes Skripts lesbar. ![Image 15: Wie TamperedChef signierte Apps nutzt, um heimlich Schadsoftware zu installieren](https://staticfiles.acronis.com/images/content/c40fc7415aaa1d5f31ecc61936975067.png) ![Image 16: Wie TamperedChef signierte Apps nutzt, um heimlich Schadsoftware zu installieren](https://staticfiles.acronis.com/images/content/c32d460567881672fef76d1250e4ab1a.png) **Abbildung 13: Ausschnitt aus der Protokollierungsfunktion (links: Variante 1, rechts: Variante 2).** Bei beiden JavaScript-Varianten werden Debug-Meldungen unterdrückt (vermutlich, um eine Analyse zu erschweren) und die Konsolenausgabe wird in eine Log-Datei geschrieben. ![Image 17: Wie TamperedChef signierte Apps nutzt, um heimlich Schadsoftware zu installieren](https://staticfiles.acronis.com/images/content/5f51fb1e18c1266230b8ff7608ac6ded.png) ![Image 18: Wie TamperedChef signierte Apps nutzt, um heimlich Schadsoftware zu installieren](https://staticfiles.acronis.com/images/content/142246829986a2f0cd952da3358ad62a.png) **Abbildung 14: Ausschnitt aus den Registry-Vorgängen und Abfrage der Geräte-ID (links: Variante 1; rechts: Variante 2).** Die Variante liest und schreibt mithilfe verschiedener Systemaufrufe Windows Registry-Schlüssel und generiert anschließend eine Geräte-ID zur eindeutigen Identifizierung des Geräts. ![Image 19: Wie TamperedChef signierte Apps nutzt, um heimlich Schadsoftware zu installieren](https://staticfiles.acronis.com/images/content/fbf35af46c8eb34d40fc71781c3e984c.png) ![Image 20: Wie TamperedChef signierte Apps nutzt, um heimlich Schadsoftware zu installieren](https://staticfiles.acronis.com/images/content/375a452e5a150ab2e52975bc5d80e346.png) **Abbildung 15: Ausschnitt aus der Kommunikation mit dem C2-Server (links: Variante 1, rechts: Variante 2).** Außerdem verfügen beide über einen fest eingebauten C2-Server. Über diesen wird ein JSON-Objekt mit dem Ereignisnamen, der Sitzungs-ID, der Geräte-ID und weiteren Metadaten von der infizierten Maschine gesendet. Vor der Base64-Kodierung und der Übertragung über HTTPS werden die JSON-Daten durch XOR-Verschlüsselung mit einem zufälligen 16-Byte-Schlüssel verschlüsselt. ![Image 21: Wie TamperedChef signierte Apps nutzt, um heimlich Schadsoftware zu installieren](https://staticfiles.acronis.com/images/content/dd5addd8d61998ccf2a04d886ad7338e.png) ![Image 22: Wie TamperedChef signierte Apps nutzt, um heimlich Schadsoftware zu installieren](https://staticfiles.acronis.com/images/content/44a17f7074225bcde97826fd23bbbc6d.png) **Abbildung 16: Codeausschnitt / Befehlsausführung (links: Variante 1, rechts: Variante 2).** Beide Varianten verfügen zudem über die Fähigkeit, Code aus der Ferne auszuführen. ## Suche nach ähnlichen Varianten Während unserer Untersuchungen haben wir festgestellt, dass eine beträchtliche Anzahl von Varianten mit den folgenden Domains kommuniziert: * api[.]mxpanel[.]com * api[.]mixpnl[.]com Eine Analyse dieser Domains ergab ein umfangreiches Netzwerk bösartiger Varianten, die mit derselben Kampagne in Verbindung stehen. Viele davon wurden von neuen Briefkastenfirmen signiert, die in den vorherigen Datensätzen noch nicht vorhanden waren. Zu den neu identifizierten Briefkastenfirmen, denen die Signaturen zuzuordnen sind, gehören: * Stratus Core Digital, LLC * DataX Engine LLC * Nova Sphere Systems LLC * Internet Share Media LLC * Digital Concept Media Die von diesen Unternehmen signierten Varianten folgen alle dem gleichen Muster: Sie ahmen legitime Programme nach und verwenden eine identische Angriffskette. ![Image 23: Abbildung 17: Ein gefälschtes Programm, das mit api[.]mxpanel[.]com kommuniziert.](https://staticfiles.acronis.com/images/content/e157868b3ec96831be8f6681355bf734.png) Abbildung 17: Ein gefälschtes Programm, das mit api[.]mxpanel[.]com kommuniziert. ![Image 24: Abbildung 18: Ein gefälschtes Programm, das mit api[.]mixpnl[.]com kommuniziert.](https://staticfiles.acronis.com/images/content/f23abd74b073e86c214d1977f7113092.png) Abbildung 18: Ein gefälschtes Programm, das mit api[.]mixpnl[.]com kommuniziert. ### Motive und Auswirkungen Über die Motive und die Verantwortlichen hinter der Kampagne ist nur wenig bekannt. Dennoch sind mehrere Szenarien vorstellbar. ### Finanzielle Gewinne durch Erstzugang Die Existenz einer Backdoor, über die sich Code aus der Ferne ausführen lässt, deutet stark darauf hin, dass die Eindringlinge sich im System festsetzen wollen, um später davon finanziell zu profitieren. Eine solche Zugriffsmöglichkeit kann im Rahmen eines Initial Access Broker-Modells an andere kriminelle Gruppen verkauft oder direkt zur Einschleusung weiterer Schadsoftware genutzt werden. Dies entspricht der allgemeinen Praxis auf illegal genutzten Plattformen („Underground Economy“), mit kompromittierten Endpunkten zu handeln oder diese zu vermieten, um weitere Angriffe zu ermöglichen. ### Monetarisierung gestohlener Anmelde- und anderer Daten Die spürbaren Auswirkungen der Kampagne auf das Gesundheitswesen lassen vermuten, dass gestohlene Anmeldedaten, Patientendaten und proprietäre Informationen einen hohen Weiterverkaufswert haben könnten. Die Eindringlinge könnten die Daten exfiltrieren und sie über Darknet-Marktplätze verkaufen oder für sekundäre Betrugsmaschen nutzen. Selbst ein begrenzter Zugriff auf Patienten- oder Geräteinformationen kann zu erheblichen Gewinnen führen, da die Betriebskosten für eine derartige Kampagne relativ niedrig sind. ### Grundlage für spätere Ransomware-Angriffe Die dauerhafte Persistenz im Opfersystem durch geplante Tasks sowie die Möglichkeit, Code aus der Ferne auszuführen, bilden die Grundlage für zukünftige Ransomware-Angriffe. Sobald eine ausreichende Anzahl von Systemen kompromittiert ist, könnten die Eindringlinge selbst oder ihre Partner Ransomware einschleusen, um den finanziellen Gewinn zu maximieren. Dieser „zweistufige“ Ansatz, bei dem zunächst infiltriert und dann zeitversetzt monetarisiert wird, wird von finanziell motivierten Cyberkriminellen immer häufiger angewendet. ### Gelegenheit für Spionage Auch wenn die Verbreitung der Kampagne wahllos erscheint, kann ein opportunistischer Zugriff auf besonders wertvolle Umgebungen nicht ausgeschlossen werden. Entdecken die Eindringlinge infizierte Systeme, die Regierungsbehörden, Forschungseinrichtungen oder strategischen Branchen gehören, könnten sie sich entscheiden, Informationen zu sammeln oder den Zugriff an spezielle Hackergruppen weiterzuverkaufen. ### Fazit Betrachtet man den zeitlichen Ablauf der TamperedChef-Kampagne, so fällt auf, dass die Verantwortlichen zunächst langfristige Zertifikate sowie domainbasierte C2-Server erstellt haben. Durch die dreijährige Gültigkeitsdauer der Zertifikate wurden die gefälschten Programme über einen längeren Zeitraum hinweg „legitimiert”. Nachdem jedoch mehrere dieser Zertifikate widerrufen worden waren, änderten die Cyberkriminellen Mitte 2025 ihre Taktik und stellten nur noch kurzlebige Zertifikate aus. Diese sind leichter zu ersetzen, sobald sie gemeldet werden. Zudem scheinen die Zertifikate etwas vor dem ersten sichtbaren C2-Server aufzutauchen. Wir haben bei unserer Untersuchung ein ähnliches Muster festgestellt. Zwischen der Ausführung und der Installation der gefälschten Software sowie der Verbindung zum C2-Server besteht eine erhebliche zeitliche Verzögerung. Auch der C2-Server folgt diesem Muster. Die frühesten C2-Server verwendeten zufällig aussehende Zeichenfolgen, die den DGAs (Domain Generation Algorithms) ähneln. Mitte bis Ende 2025 änderten sich die Namen der C2-Server dann in für Menschen lesbare Bezeichnungen. Insgesamt zeigt dieser Taktikwechsel, wie sich die Verantwortlichen hinter TamperedChef kontinuierlich an die ergriffenen Sicherheitsmaßnahmen anpassen. ### Tipps zur Abwehr TamperedChef veranschaulicht eine wichtige Sicherheitslektion: Selbst Software mit gültigen digitalen Signaturen kann bösartig sein. Cyberkriminelle können das Vertrauen ausnutzen, das Benutzer:innen in signierte Software setzen. So können sie heimlich Malware verbreiten, herkömmliche Schutzmaßnahmen umgehen und sich dauerhaft in Systemen einnisten. Dies unterstreicht, dass digitale Signaturen keine Garantie für sichere Software bieten. Unternehmen müssen daher zusätzliche Sicherheitsmaßnahmen ergreifen, wachsam sein und das Bewusstsein der Benutzer:innen schärfen, um Bedrohungen effektiv erkennen und abwehren zu können. * Integrieren Sie MDR (Managed Detection and Response) oder eine rund um die Uhr aktive Bedrohungsüberwachung: MDR-Dienste bieten eine kontinuierliche Überwachung, Bedrohungssuche und Unterstützung bei der Reaktion auf Vorfälle für alle verwalteten Mandanten. Mit einer gemeinsamen Telemetrie (EDR + MDR) können Anomalien bei der Skriptausführung sowie Persistenzmechanismen und Zertifikatsmissbrauch früher erkannt werden. * Beschränken Sie die Installationsberechtigungen und verteilen Sie ausschließlich Software, die intern geprüft wurde oder von bekannten Anbietern stammt. * Halten Sie Systeme und Schutzmaßnahmen auf dem neuesten Stand: Stellen Sie sicher, dass alle Endpunkte über die neuesten Betriebssystem-Patches verfügen und die Virensignaturen aktuell sind. * Schulen Sie Endbenutzende: Bieten Sie Schulungen an, in denen erklärt wird, wie Malvertising und gefälschte Download-Seiten erkannt werden können. Betonen Sie dabei, dass Installationsprogramme nur von verifizierten Anbietern bezogen werden dürfen. ### Erkennung durch Acronis Acronis EDR/XDR hat diese Bedrohung erkannt und blockiert: ![Image 25: Abbildung 19: Erkennung der TamperedChef-Bedrohung durch Acronis.](https://staticfiles.acronis.com/images/content/4bc40467528544c56b44e18eec31ac40.png) Abbildung 19: Erkennung der TamperedChef-Bedrohung durch Acronis. ## MITRE TTPs **Tactics (Taktiken)** **Techniques (Techniken)** **Procedures (Verfahren)** Erstinfektion T1189 – Drive-by-Kompromittierung Um die Benutzer:innen zum Herunterladen der gefälschten Programme zu verleiten, nutzten die Kriminellen bösartige Werbung. Ausführung T1204.002 – Vom Opfer ausgeführte bösartige Datei Der Erfolg der Kampagne setzt voraus, dass Benutzer:innen die gefälschte Software installieren. T1059.007 – Befehls- und Skript-Interpreter: JavaScript Das gefälschte Programm stellt JavaScript-Schaddaten als Backdoor bereit. Persistenz T1053.005 – Geplanter Task/Job: Geplanter Task Die Persistenz wird durch die Erstellung eines geplanten Tasks und einer „task.xml“-Datei zur Konfiguration dieses Tasks erreicht. Abwehrumgehung T1036.001 – Tarnung: Ungültige Codesignatur Um die „Legitimität” des Programms zu erhöhen, verwendet die heruntergeladene gefälschte Software eine digitale Signatur. T1027 – Verschleierte Dateien oder Informationen Die JavaScript-Schaddaten sind stark verschleiert. Erkennung T1012 – Registry-Abfrage Mithilfe einer Registry-Abfrage ermittelt die Payload die Geräte-ID des Opfers. Command-and-Control-Verbindung T1071.001 – Application Layer-Protokoll: Web-Protokolle Für die Kommunikation mit dem C2-Server wird HTTP/S verwendet. T1132.001 – Datenkodierung: Standardkodierung Die JSON-Schaddaten sind mittels Base64-Kodierung verschlüsselt. ## YARA-Regeln import "pe" rule TamperedChef_Installers { meta: description = "Detect fake application installers related to the Tampered Chef Campaign" version = "1" strings: // hex $a1 = {8D 55 EC B9 04 00 00 00 8B C7 E8 BA EC FF FF 8D 45 F8 33 C9 8B 55 EC E8 6D AF F6 FF 83 7D EC 00 74 14 8D 45 F8 E8 DF AC F6 FF 8B D0 8B 4D EC 8B C7 E8 93 EC FF FF 8B C6 8B 55 F8 E8 B9 AB F6 FF 83 C6 04 4B 75 BA} $a2 = {8D 45 ?8 50 [0-4] 6A 00 6A 00 6A 00 6A 00 6A 00 6A 00 8B 45 FC E8 33 8F F6 FF 50 6A 00 E8 13 F7 F6 FF 85 C0} $a3 = {8B 45 CC 8D 4D D0 BA DC 8A ?? 00 E8 88 32 FF FF 8B 45 D0 50 8D 55 C8 A1 04 42 ?? 00 E8 0F 32 FF FF} // strings $b1 = "1.0.0" wide $b2 = "CompanyName" wide $b3 = "Inno Setup" ascii wide $b4 = ".tmp" ascii wide condition: pe.is_pe and pe.number_of_sections > 10 and pe.number_of_signatures > 0 and for any i in (00 .. pe.number_of_signatures): ( pe.signatures[i].issuer contains "Sectigo" ) and filesize > 18MB and all of them } ## Kompromittierungsindikatoren **SHA256** **Beschreibung** a16ecfcf5e6d7742f0e642309c3a0bf84eaf21962e663ce728f44c93ee70a28e AllManualsReader_oc.exe 05d9f4426ad77fcf73a357a4f5ca1d0cf9ceccf44117c1bc829afb79a2f8671b MasterChess_oc.exe 0abd1e39e17fa99366c8f1cc9171730867b6e86f6362b0492a090170f0305e55 manualreaderpro.exe 8ecd3c8c126be7128bf654456d171284f03e4f212c27e1b33f875b8907a7bc65 JustAskJacky.exe 94dc4138bfabf6a3e7cefffc5f5062fe0ac31384bae4ad78f27557ddb29f6eae TotalUserManuals.exe 0bf92be9bb3989d78ce9f345df190a543eb984cc5479928399b4610d5d94c41f anyproductmanual.exe 035e7dd115afc47704db586a61aa9c189cde7228e752e0491352930f20d97dcc OpenMyManual.exe 091d3bf2f0f6dc08b23151b5acd7cf53217d1ed2812e507d96dc467d9d3092d6 SnakeAttack.exe 0b90c3ef5bc8918c334638f2f11100a992fafbca7e16934652b70f3b2579131b UserManualWizard.exe 113b23c062229aa57dfef68631f85f615e61673024b73cb9c0f5269b712610fa quickmanualreader.exe 14577f1a8d5ea9f5f255b456f0f69fe4e3a1cba82d707de28b3ca25410393c17 gocookmate.exe 1fc4819fcf2522622fd846bf4abcd03ae02adf41366b9911fe7bb30f2a4dc4b7 sudokufunspot.exe 218a3a2e60779c4b4f1c83467f93d7b5c405b9acb799b4b2cdaacb7b26cd48a1 RocketPDFPro.exe 2355ee5283fe7171d5d74302eb7f4e371e2e76c52eb3f07ff3a954a854ae8e4e Backgammon.exe 25575ffd50528952865b2b1df354461148474606c1adc68c0f140e3dcab10362 FallingCubes.exe 30d21ea26917366654f606a8577b430cafe03654432cc97598fad30d16157e2c sudokufunzone.exe 315c2c6654cc4a29597ffc2c5694e38385e67b3f8b149960874a539836c5773d viewmanual.exe 3697f763980e594c83d708b43c410f753134e83baf33f822bba36133e0b1eafc TurboFixPDF.exe 3731b729ffc4aaa42bacb56e0340e29d3b0cb5d14f287bc281ecb716eba0d8d1 PDFPerfection.exe 3c34ec7e666c853465058b96421c018d93e532350547a90a6f68c7db5414a4b1 crosswordfunzone.exe 3c51ca74e721e5e177c5a8495131d7a65ea6733ea8e8875ba3e1ce0270a136b7 EffortlessPDF.exe 3cccbe2e524cb458ea48c108e36efabbf36c76cf30c80b64f52acf8b7b113de9 Getmanualviewer.exe 4967262d1b136bb77be89a2e15c732a9edcc0377b6aaa88a6abecf5a4f8b9215 mapmypackage.exe 512735bb19571707ab484cdfdb2cba74f5a8fdd9e415a8ea8ccf5c1f326f9a4e PDFPerfection.exe 52d234e085c8bf67fa9d338cc5621f17d4ebe166f180896185e5f28c2655c811 AllManualsReader_2.exe 6ea919c991b29ac78d80b9b6080c380a3e53813e1a2b0c3e576763a3ec22ef05 GetAllManuals.exe 71273af47ee2792b68320054ebf44d2dfe4cbe7825c0aedc5a9b65abb5744851 AskBettyHow.exe 7364b8cefd46a8ff918df679066fb8041b98a3e57a09f782ad6f8757fabf56cd Checkers.exe 7fe170dc2ca9f333a177d7d2a5f6fee9e674164e7b46b2c2590c49be1aa9fe05 solitairefunzone.exe 82c452855e3d41cb1a3396e8e1aed7e26812f127ef31c93a8f375e1acb458ff5 Minesweeper.exe 8fb8d1df307f58db070eb5aa82a3ef3a41512d2aa73278d574ab32e55123488a AllManualsReader.exe 94fbb9cc3af0d9ec25d415e35ec65491d6182e452265c854e125cfd94227a53d ClassicMinesweeper.exe 9a77a653ed5c2ec0f9c00019ef6a5cf6153335fcb636c5e56edc3ccd7ad12cd2 Crossword.exe 9f5538afb90dfb0eac126808868a65403a09758b63e3688ef17df1de27782813 UltimateSudoku.exe 9f948215b9ee7e7496ce3bc9e46fda56b50cc8905b88535225c7651007f660d5 OpenMyManual.exe 9fb1dc56a042e6eca786f3aaa7b21d148dfb8276f6cc2cdb867408b20117f547 Checkers.exe a0dae9b551026295575dcf4b1f668069b8fe8119458e792e8293299a74e79436 OpenMyManual.exe a16cbf9ab535d4ad628b583ec3e026799f38bb50b98c495333302f7b804390ea OpenMyManual.exe a5187cbb42b0e0dfb747c8fe86638dc68be9915ec112f7f6f72c8f3735489c76 MasterChess.exe a7fbbb0393e36bc70b6eafb967a3b11a65c442090da1840364886b984784135c ClassicSudoku_oc.exe b850b218d5cc4cc9c1006399c26cc5ca3f9e2da3a70296fceb6760d1f0dcdf90 Solitaire.exe c391b1e00a8fcc120605a6e0c4e26c5ec9624b8e194460d34ae0d26efd147847 manualreaderpro.exe cac499fe09d2640e376c6e6f45d5d287c75faf94d8ba26290016a815a8b4c5b4 Solitaire_oc.exe d70bc73a61252d5d9fde5593670fa790e4e9611838fd6c74f2b9cab97a5cea0f playcrosswordnow.exe d792bc4896854d30b1ea4b2120ec39c4987b4d63802ee0775314f269f138e7f7 classic8ball.exe d799cc1713932e9748ec9d293f831d150e1e345c0e58279cd7c3e49c35e667be TurboFixPDF.exe d9a0d3f05ed8efd475f7b76ca3d4ad7d136b274979d2a0abb6ca26d1a2e98512 FallingCubes.exe db0d90d825db484a146ebc43408c8e722b676616c32d84684bc94ddc8b92e893 EffortlessPDF.exe db62ac71ac17a2f8e3d19b4f093ff1226d5de7fa323dd4564fb0dbb37ae8a364 playcandybreaker.exe dfa5785c13a739fb2fae72f405984eef89dc7bf3dd94137692e96826113d51e0 PDFMagician.exe e18e59723949ad0a2791e95d4c0ffd7657929e8dc6a0d718598b3aec962f73c2 themanualshelf.exe e340e41da2779a714c2c0590955ade6dc35b3c9246bde5cca8e1cab1b937593c PDFMagician.exe ef4b57bad0d28a65333691e1c27787690d58516a79f9cf2fbe840d69401a1932 AllManualsReader_oc.exe ef9621f7fe04fd053e58af7d5863780defd1d2948c131d7df3f76bdb46932688 SpeedyPDFHub.exe f81b533757f4603f2eae935b8b9f466b2c2e3563f44bd40711afbf8980f45eb2 OpenMyManual.exe fccf2c72054e9aa8e5a134854e573b23316a6622631f818695d9c0eb3ca3f1a7 Minesweeper.exe 80f90b9e563e1cfe981a9faf24c9430198bb15916a2dc5e75d14227a8fab9cb6 Task.xml bdafb81fa5a41728d578b0682a6e7f9095250161558431184093acc3641573fa Task.xml 1925e877ce6492a7d1293f3f6f4dcbc70ca3c74bbf42ae2ba80e1b5a2e0925d1 Task.xml c3a2a5b7d8e4bd8fb571a8104170d930647fa73babcfc414adcdef76fb1a57c4 Task.xml 073bd7acf920d7c90fc130213a43b46e5e082e86e1506309c5818df1b4df2a97 Task.xml 3075a2f60611fcfc763059f95f5577999d5bbc39dd33aa9b5b8bc8219c6f2ae4 Task.xml 19d61d0a67207debfb21af2bf8774e010796e5d41f986848d63169c68cc7fa86 Task.xml 06555b8bf3bdf36bf36b4e6a4f5298da732207867c57961a1cb14a14f845e25f Task.xml 3cfd405d7e7f3d7af3d9be6387828fc14d6c24be6ea0651e18a8a63f1cd164cb Task.xml 335a7383867b0da0731968363956d6f31116460b1f9060d0e8c79ff735211733 Task.xml 5c8f276286c2b588fb15b72e8b20c051ae84ed26d93187eaea41b3ba8faa8954 Task.xml d2fbaa89cc5e4e03ecdf7ccfc28fd13230643bfb41a3619fbec64076a2b56a7c Task.xml 4d2bb8c9d995d52dd2ef763af7158bd8f7ff6a59c4004ea38ff0eef684c78381 Task.xml 3826e54318e80e8942bd9b8ab347f560d5dd9741276fec5a26d3eee862516767 Task.xml 1d2027b35978be2a92f27203941f51d9352d56f3cf83f131f9824a7f0891a692 Task.xml 33fb19d5d9c0ca8bea177722807560005c4c2a0533ce3356efdcefc6e93cebff Task.xml ca96040d8899196ff02592a4c01b595a191f4dd89d4d11be8703645019871d33 Task.xml 6c0178a70759eadeb6f88a2c6bc4a217f1aba2ebdadd132610fe86d3994c2a66 Task.xml e7a1d74883e220d92ef024301850c1d56f95bb07fd72e82f4c644b940576d866 Task.xml e498e98578ec27b680fff36768852fa00eea90e4f2de4cdae269a2d523624e36 Task.xml c0bab2e5718056617a4e6965ba8f8babf04adfb11602301223004e3b786bb779 Task.xml b8ec6dca18acb873bf8bf55bc3614df0aaed333638d79fda075f03661d8a5662 Task.xml 760663fd61c55f112186151721425857a485ec6a1db1b2cb8b41bba9ed40af1e Task.xml 9b21cb18aafa50339563af4ae211688846bcb030d43644e251da9d0bad2c9072 Task.xml 21b8c5dabbe910a4c1ada58534e01580eb600a1ab0b8f105e5f8609bdc7f6c42 JavaScript-Payload 467876a203eb2c2b01b2d58f1e00271cb6bb75834af08a67e2c69fa0e4788ea5 JavaScript-Payload 167359b715610003752cbc89b122a6df97e501304cb4a1ee94a6e75ebf51d6d6 JavaScript-Payload dd8502622eaa4e3798f4848cfe81c06ed0dffd7cb0a62c7ab6c7124d5b07bb04 JavaScript-Payload bcc9ebce78fdbb1271ff1a2e0def82ec87d6e964a18293e82ec0cdd12856e66b JavaScript-Payload d7f2a620429bf104f593ef789aaef0b25afa90b81b5d2285c54eac47dee52aac JavaScript-Payload d1e85806e7013aa984356dbce28972f11be4860ab4152cd5510dff3388a89b45 JavaScript-Payload f0532759ccaa0ea7f0ec8ec3225eb0e6d87cc3ddd1361967f4ea487bff4394bb JavaScript-Payload 9b8bc1df9b891a166de9aefc58fe2ae04fb238f97aa90405617ff9e7501c99a8 JavaScript-Payload d8c2f9f843cb7764d138c5cb74a4a887eadcdfc5af0ab7df805af6f40fe27dc1 JavaScript-Payload 483657b8b1f3b81540d05842331bc3a564f77f22017ee5abeeffc0e832efcf6f JavaScript-Payload 51d876d638a6155572f8cbd42cdd8ae61c84b1816438bc53eb40534f7a92bb69 JavaScript-Payload 0ad487d3bd904ade98b505bdd891d1a19665159b0e579696ac0b6a82e9f80617 JavaScript-Payload 16e9cf18961ed32613c69d5d4c0f54eb0f051e40a431121bc8fe6de9b3f64b01 JavaScript-Payload 1a58c5b8b79f3ed90d43b4d117b01eb32e27b8235d9b3ceda4803a57e6250596 JavaScript-Payload 2cd68ea7f02e8cfaded52d64c2cb71b64560b3799c948960db37e827618ff22d JavaScript-Payload 822f5dcfe7350d259594d92128ba9fc2b7620aa33b571d8af8a87945d8909026 JavaScript-Payload de101b0a881d69ab314e0863845e5f0e62c749eea87a704ecbb3bccb5c0bb1ac JavaScript-Payload 5a0e37f70f9ce00ba40edfb4e6d11e87ea6bd0edecf6f604029ef98aa2bd33e9 JavaScript-Payload 1e1cbfe91aa9be47480df265f6b5a0fed2f99116bcaa5e6e98689e3498616f84 JavaScript-Payload e80291d2827a0abd4ed1c761eaf396f70fe91ce50bdef828e135a8e482af19c3 JavaScript-Payload a67cd1ea41484edfca83f53c1f1c8d21717335e8cff2a00dce1c79ff5b48cb2a JavaScript-Payload 840b1e76961836f3af79bf4d0a68d426c764587173a8f308d3e6012393c6a9f8 JavaScript-Payload 3466810f091a29be4380a634e3aa3f0bafef0b36041abf9ba90a72b4085433d3 JavaScript-Payload **URL/Domain** **Beschreibung** hxxps://download[.]allmanualsreader[.]com/AllManualsReader_oc[.]exe Download-URL hxps://download[.]playthechess[.]com/d/MasterChess_oc[.]exe Download-URL hxxps://download[.]manualreaderpro[.]com/d/manualreaderpro[.]exe Download-URL hxxps://download[.]justaskjacky[.]com/d/justaskjacky[.]exe Download-URL hxxps://download[.]totalusermanuals[.]com/totalusermanuals[.]exe Download-URL hxxps://download[.]anyproductmanual[.]com/anyproductmanual[.]exe Download-URL hxxp://effortlesspdf[.]com/EffortlessPDF[.]exe Download-URL hxxps://getmanualviewer[.]com/getmanualviewer[.]exe Download-URL hxxps://getallmanuals[.]com/GetAllManuals[.]exe Download-URL hxxps://download[.]askbexxyhow[.]com/d/AskBexxyHow[.]exe Download-URL hxxp://download[.]playthecheckers[.]com/d/Checkers[.]exe Download-URL hxxp://download[.]playtheminesweeper[.]com/d/Minesweeper[.]exe Download-URL hxxps://download[.]playclassicminesweeper[.]com/ClassicMinesweeper[.]exe Download-URL hxxps://download[.]startplayingcrossword[.]com/Crossword[.]exe Download-URL hxxps://download[.]openmymanual[.]com/OpenMyManual[.]exe Download-URL hxxps://download[.]playclassicsudoku[.]com/ClassicSudoku_oc[.]exe Download-URL hxxp://download[.]playthesolitaire[.]com/d/Solitare[.]exe Download-URL hxxps://download[.]classic8ball[.]com/d/classic8ball[.]exe Download-URL hxxps://download[.]playclassicfallingblocks[.]com/d/FallingCubes[.]exe Download-URL hxxps://download[.]themanualshelf[.]com/d/themanualshelf[.]exe Download-URL hxxps://speedypdfhub[.]com/SpeedyPDFHub[.]exe Download-URL hxxps://download[.]playclassicsnake[.]com/d/SnakeAxxack[.]exe Download-URL hxxps://download[.]quickmanualreader[.]com/d/quickmanualreader[.]exe Download-URL hxxps://download[.]gocookmate[.]com/d/gocookmate[.]exe Download-URL hxxps://download[.]sudokufunspot[.]com/sudokufunspot[.]exe Download-URL hxxps://rocketpdfpro[.]com/RocketPDFPro[.]exe Download-URL hxxps://get[.]usermanualsonline[.]com/viewmanual[.]exe Download-URL api[.]78kwijczjz0mcig0f0[.]com C2-Server api[.]zxg4jy1ssoynji24po[.]com C2-Server api[.]pyej17uw09d1bqlndg[.]com C2-Server api[.]cjby76nlcynrc4jvrb[.]com C2-Server api[.]vtqgo0729ilnmyxs9q[.]com C2-Server get[.]latest-manuals[.]com C2-Server app[.]catalogreference[.]com C2-Server api[.]85etpt40zf7ht4yd1u[.]com C2-Server api[.]ana43c4ajq1o10642i[.]com C2-Server api[.]sey3p6htm1ays1iy54[.]com C2-Server api[.]k2ioeasm874fnacr9x[.]com C2-Server api[.]kdtskq5kw4cwqvauxy[.]com C2-Server api[.]phpjzo16ok6qvpvcrz[.]com C2-Server api[.]vgp4filwmg5ogq58xy[.]com C2-Server api[.]rmr6qd1zy9hyafyzk2[.]com C2-Server api[.]42a2hudcuvftqlmit2[.]com C2-Server api[.]uode7wkkvojxsfpom0[.]com C2-Server api[.]bftdtfky0i2gewg6ki[.]com C2-Server api[.]h06bwr0wg9iyy8ygl0[.]com C2-Server api[.]npfk87zidodfqsfqxd[.]com C2-Server api[.]ka4f064txqusqf1ecb[.]com C2-Server api[.]e8b7xa22r6pevc1lmu[.]com C2-Server api[.]7trellca1rt257t2wa[.]com C2-Server api[.]meg7xqos0m7h9urhr0[.]com C2-Server api[.]rxpfo7bgftr5gjq99u[.]com C2-Server api[.]00isgy77i9fqrn9rmu[.]com C2-Server api[.]slkzkcpz5xf8nplyb6[.]com C2-Server api[.]opfktvbbb0d5pphzlc[.]com C2-Server api[.]1f8tlqv4bfa75qaxl7[.]com C2-Server api[.]d1iwuj0s7os571e3a4[.]com C2-Server api[.]1r2htpstv0jyv4gr3j[.]com C2-Server Verwandte Artikel [Acronis Cyberthreats Update, Juli 2026](https://www.acronis.com/de/tru/posts/acronis-cyberthreats-update-july-2026/) [Warum die meisten DR-Bereitstellungen einen echten Notfall möglicherweise nicht überstehen](https://www.acronis.com/de/tru/posts/why-most-dr-deployments-may-not-survive-a-real-disaster/) [Acronis Cyberthreats Update, April 2026](https://www.acronis.com/de/tru/posts/acronis-cyberthreats-update-april-2026/) [Acronis Cyberthreats Update, Juni 2026](https://www.acronis.com/de/tru/posts/acronis-cyberthreats-update-june-2026/)