--- title: "Shadow Vector: Malware greift kolumbische Firmen mit gerichtsbezogenen SVG-Ködern an" description: Die Acronis Threat Research Unit (TRU) hat eine laufende Malware-Kampagne namens Shadow Vector identifiziert, die mithilfe bösartiger SVG-Dateien, die als dringende Gerichtsbescheide getarnt sind, aktiv Benutzer in Kolumbien angreift. canonical_url: https://www.acronis.com/de/tru/posts/shadow-vector-targets-colombian-users-via-privilege-escalation-and-court-themed-svg-decoys/ locale: de last_updated: 2026-10-11 --- * [Startseite](https://www.acronis.com/de/tru/) * [Beiträge](https://www.acronis.com/de/tru/posts/) * [Santiago Pontiroli](https://www.acronis.com/de/tru/authors/pontiroli-santiago/) 26. Juni 2025 # Shadow Vector: Malware greift kolumbische Firmen mit gerichtsbezogenen SVG-Ködern an Die Acronis Threat Research Unit (TRU) hat eine laufende Malware-Kampagne namens Shadow Vector identifiziert, die mithilfe bösartiger SVG-Dateien, die als dringende Gerichtsbescheide getarnt sind, aktiv Benutzer in Kolumbien angreift. Autor: **[Santiago Pontiroli](https://www.acronis.com/de/tru/authors/pontiroli-santiago/)** [English](https://www.acronis.com/en/tru/posts/shadow-vector-targets-colombian-users-via-privilege-escalation-and-court-themed-svg-decoys/) [Español](https://www.acronis.com/es/tru/posts/shadow-vector-targets-colombian-users-via-privilege-escalation-and-court-themed-svg-decoys/) [Français](https://www.acronis.com/fr/tru/posts/shadow-vector-targets-colombian-users-via-privilege-escalation-and-court-themed-svg-decoys/) [日本語](https://www.acronis.com/ja/tru/posts/shadow-vector-targets-colombian-users-via-privilege-escalation-and-court-themed-svg-decoys/) [Português](https://www.acronis.com/pt/tru/posts/shadow-vector-targets-colombian-users-via-privilege-escalation-and-court-themed-svg-decoys/) [Svenska](https://www.acronis.com/sv/tru/posts/shadow-vector-targets-colombian-users-via-privilege-escalation-and-court-themed-svg-decoys/) **Autoren:**Santiago Pontiroli, Jozsef Gegeny, Ilia Dafchev ## Zusammenfassung * Die Acronis Threat Research Unit (TRU) hat eine aktive Malware-Kampagne identifiziert, die Benutzer in Kolumbien angreift und dabei schädliche SVG-Dateien (Scalable Vector Graphics) als initialen Infektionsvektor einsetzt. * Die Angreifer haben Spear-Phishing-E-Mails unter dem Deckmantel vertrauenswürdiger Institutionen in Kolumbien versendet, die SVG-Dateien als Köder mit eingebetteten Links zu JS-/VBS-Stagern (Vorlader-Skripte) enthielten, die auf öffentlichen Plattformen gehostet wurden oder auf kennwortgeschützte ZIP-Dateien verwiesen, die direkt den eigentliche Schadcode (die „Payloads“) enthielten. * Zu diesen Payloads gehörten Remote-Zugriffstools (RATs) wie [AsyncRAT](https://malpedia.caad.fkie.fraunhofer.de/details/win.asyncrat) oder [RemcosRAT](https://malpedia.caad.fkie.fraunhofer.de/details/win.remcos), die beide per DLL-Side-Loading und treiberbasierte Techniken zur Rechteausweitung bereitgestellt wurden. * Aktuelle Kampagnen basieren auf mehrstufigen „obfuskierten“ (verschleierten) Payloads und enthalten einen .NET-Loader, dessen Verhalten mit dem Katz Loader (spezielle Schadsoftware zum Nachladen von Malware) übereinstimmt. Dieser Loader verfügt über Fähigkeiten zur Umgehung der Benutzerkontensteuerung (UAC), zur Analyseabwehr, zur Prozessinjektion und zur Persistenz, wobei die Payloads manchmal per Base64-Kodierung in Text- oder Image-Dateien versteckt sind, die aus dem Internetarchiv heruntergeladen werden. * Die Shadow Vector-Kampagne kombiniert herkömmliche Social-Engineering-Techniken, die missbräuchliche Ausnutzung öffentlicher Infrastrukturen sowie verschleierte Ausführungstechniken und spiegelt damit die hochflexible Vorgehensweise und zunehmende technische Professionalität der regionalen Bedrohungsakteure in Lateinamerika wider. * Der aktuelle Schwerpunkt der Malware-Bedrohung richtet sich sowohl gegen Einzelpersonen als auch gegen Unternehmen und ermöglicht Keylogging, den Diebstahl von Anmeldedaten (auch Online-Banking-Anmeldedaten) sowie umfassende Remote-Zugriffe auf kompromittierte Systeme. Während sich die derzeitige Nutzung noch auf den Diebstahl sensibler und vertraulicher Daten konzentriert, lassen die Fähigkeiten dieser Malware darauf schließen, dass sie für destruktivere Aktionen (wie etwa Ransomware-Verbreitung) ausgebaut werden könnte. ### Einleitung Die Acronis Threat Research Unit (TRU) hat eine laufende Malware-Kampagne namens „Shadow Vector“ identifiziert, die aktiv Benutzer in Kolumbien über schädliche SVG-Dateien angreift, die als eilige Gerichtsbenachrichtigungen getarnt sind. Diese betrügerischen E-Mails verwenden [SVG Smuggling](https://attack.mitre.org/techniques/T1027/017/) – ein Angriffsverfahren, das neu in das MITRE ATT&CK-Framework aufgenommen wurde. SVG Smuggling bezeichnet die missbräuchliche Verwendung von skalierbaren Vektorgrafikdateien, um schädliche Inhalte verbergen oder übertragen zu können. Obwohl es sich hierbei nicht um eine gänzlich neue Taktik handelt, unterstreicht ihre offizielle Anerkennung die zunehmende Verwendung von bisher vertrauenswürdigen, flexiblen Dateiformaten bei modernen Phishing- und Malware-Angriffen. SVG-Dateien werden in Browsern problemlos dargestellt, unterstützen eingebettete Links oder Skripte und können es so ermöglichen, gängige E-Mail-Sicherheitskontrollen zu umgehen. ![Image 1: Phishing-E-Mails, die vorgeben, vom kolumbianischen Arbeitsgericht zu stammen, verwenden kennwortgeschützte schädlichen SVG-Dateien als Köder, um Benutzer zum Herunterladen von Malware zu verleiten.](https://staticfiles.acronis.com/images/content/af959b87656d74eb4d5bca070688a395.png) Phishing-E-Mails, die vorgeben, vom kolumbianischen Arbeitsgericht zu stammen, verwenden kennwortgeschützte schädlichen SVG-Dateien als Köder, um Benutzer zum Herunterladen von Malware zu verleiten. Sobald sie geöffnet wurden, bewirken diese SVG-Dateien bei den Benutzern, dass die eigentlichen Payloads (Schadprogramme) heruntergeladen und extrahiert werden, die wiederum auf öffentlichen File-Sharing-Diensten (wie Bitbucket, Dropbox, Discord und YDRAY) gehostet werden. Diese heruntergeladenen ZIP-Archive enthalten in der Regel eine Mischung aus an sich legitimen Ausführungsdateien und schädlichen DLL-Dateien, die eine mehrstufige Infektionskette auslösen, an deren Ende AsyncRAT und RemcosRAT stehen – zwei weit verbreitete Remote Access-Tools, die zum Datendiebstahl eingesetzt werden. ![Image 2: Als gerichtliche Vorladung getarnte, kennwortgeschützte ZIP-Datei, die eine als Köder dienende Ausführungsdatei sowie diverse legitime DLL-Dateien enthält, von denen eine für Side-Loading und RAT-Injektion präpariert wurde.](https://staticfiles.acronis.com/images/content/53172c6aec29502ee0ca5dd46ab46af3.png) Als gerichtliche Vorladung getarnte, kennwortgeschützte ZIP-Datei, die eine als Köder dienende Ausführungsdatei sowie diverse legitime DLL-Dateien enthält, von denen eine für Side-Loading und RAT-Injektion präpariert wurde. ### Malware-orientierte Bereitstellung Der Verteilungsmechanismus der Shadow Vector-Kampagne spiegelt eine sorgfältig strukturierte Phishing-Operation wider, die sich Social Engineering-Techniken und das Vertrauen der Öffentlichkeit in nationale Institutionen zunutze macht. Die bei dieser Kampagne beobachteten E-Mails sind so gestaltet, dass sie wie legitime juristische Benachrichtigungen aussehen und SVG-Anhänge enthalten, die im Browser dargestellt werden. Diese Taktik ermöglicht es, die Filterung von Anhängen zu umgehen und Benutzer zu unbedachtem Handeln zu verleiten, ohne Verdacht zu erregen. Die Inhalte der SVG-Dateien sind optisch einheitlich gestaltet und ahmen oft die Darstellung offizieller Gerichtsdokumente mit minimalen Abweichungen nach. Jede Datei enthält eine Zusammenfassung des Rechtsfalls, gefolgt von einem eingebetteten Link, der meist mit etwas wie „Zugriff auf zusätzliche juristische Dokumente” bezeichnet wird. Diese Links leiten die Benutzer zu ZIP-Archiven weiter, die auf öffentlichen Filesharing-Plattformen (wie Bitbucket, Discord CDN und YDRAY) gehostet werden – eine Methode, mit der Payloads in den regulären Datenverkehr eingeschleust werden und einfache reputationbasierte Erkennungssysteme umgehen können. ![Image 3: Phishing-Köder, die eine offizielle gerichtliche Vorladung des kolumbianischen Justizsystems vortäuschen und die Opfer dazu verleiten sollen, einen schädlichen, kennwortgeschützten Anhang zu öffnen.](https://staticfiles.acronis.com/images/content/67b3026780ffeb10f60102687f987cbe.png) Phishing-Köder, die eine offizielle gerichtliche Vorladung des kolumbianischen Justizsystems vortäuschen und die Opfer dazu verleiten sollen, einen schädlichen, kennwortgeschützten Anhang zu öffnen. Jedes Archiv ist mit einem Kennwort geschützt, das häufig in der entsprechenden SVG-Datei angezeigt oder im Text der Phishing-E-Mail angegeben wird. Diese Taktik erhöht die Einbindung der Benutzer und reduziert automatisierte Überprüfungen, da eine manuelle Extraktion erforderlich ist. Nach dem Entpacken enthält das Archiv eine reguläre Ausführungsdatei, eine vermeintliche harmlose, aber eine Schwachstellen aufweisende DLL-Datei sowie eine einzelne schädliche DLL-Datei, die zum Side-Loading dient. Auf diese Weise kann die Malware innerhalb eines vertrauenswürdigen Prozesses ausgeführt werden und so eine Erkennung umgehen. ![Image 4: Die Justizbehörde hat im vergangenen Jahr eine Warnung herausgegeben, dass Cyberkriminelle sich als offizielle Institutionen ausgeben, um Bürgern mithilfe betrügerischer E-Mails vertrauliche Informationen zu entlocken.](https://staticfiles.acronis.com/images/content/a1ea1e16a54b525b280514e4db5a8087.png) Die Justizbehörde hat im vergangenen Jahr eine Warnung herausgegeben, dass Cyberkriminelle sich als offizielle Institutionen ausgeben, um Bürgern mithilfe betrügerischer E-Mails vertrauliche Informationen zu entlocken. Insbesondere der Oberste Justizrat (spanisch: Consejo Superior de la Judicatura) hat eine öffentliche Warnung herausgegeben, in der Justizangestellte und Bürger auf laufende Phishing-Aktivitäten hingewiesen werden, bei denen Kennzeichnungen des Justizwesens missbraucht werden. Die Warnung bezog sich speziell auf E-Mails, die unter dem Vorwand juristischer Angelegenheiten schädliche Anhänge verbreiteten, und mahnte zu erhöhter Wachsamkeit im Umgang mit E-Mails, die zum Herunterladen von Dokumenten auffordern. Außerdem wurden Anleitungen mitgeliefert, wie die Legitimität solcher Mitteilungen überprüft werden kann, und die betroffenen Personen wurden dazu aufgefordert, Phishing-Verdachtsfälle den zuständigen Behörden zu melden. ### Fallakte: AsyncRAT via DLL-Side-Loading In dieser Version der Shadow Vector-Kampagne wird dem Opfer eine Phishing-E-Mail mit einer SVG-Datei zugesandt. Daraufhin wird ein kennwortgeschütztes Archiv heruntergeladen und dessen Inhalt extrahiert. In diesem Archiv befinden sich eine vertrauenswürdig aussehende Ausführungsdatei sowie mehrere DLL-Dateien, von denen eine die Schadsoftware „AsyncRAT“ enthält. Für die wichtigste Ausführungsdatei werden häufig Namen wie _vcredist.exe_ verwendet, um diese harmlos erscheinen zu lassen. Ein gemeinsames Merkmal bei diesen Beispielen ist das Vorhandensein einer Datei namens _mscorlib.dll_, die immer dieselbe Größe und Struktur aufweist. Diese Datei ist trotz des Namens keine echte .NET-Bibliothek, sondern eine speziell erstellte Datei, die die Malware versteckt. Der Angriff nutzt DLL-Side-Loading, bei dem die unbedenklich aussehende Ausführungsdatei die schädliche DLL-Datei lädt und den AsyncRAT-Infektionsprozess startet. ![Image 5: Flussdiagramm eines mehrstufigen Malware-Angriffs, bei dem eine Phishing-E-Mail eine SVG-Datei enthält, die zum Herunterladen eines Archivs führt. Das Archiv enthält einen Dropper und eine schädliche DLL, die AsyncRAT durch DLL-Side-Loading aktiviert und eine C2-gesteuerte Plug-in-Ausführung ermöglicht.](https://staticfiles.acronis.com/images/content/88e9d17803d5d30395be19e9ca2ad20d.png) Flussdiagramm eines mehrstufigen Malware-Angriffs, bei dem eine Phishing-E-Mail eine SVG-Datei enthält, die zum Herunterladen eines Archivs führt. Das Archiv enthält einen Dropper und eine schädliche DLL, die AsyncRAT durch DLL-Side-Loading aktiviert und eine C2-gesteuerte Plug-in-Ausführung ermöglicht. ### Per Side-Loading ausgelöste Ausführungskette Die initiale Ausführungsdatei ist eine reguläre Applikation, die die „BrotliEncoderCreateInstance()“-Funktion aus der Bibliothek „libbrotlicommon.dll“ aufruft. Aufgrund der [DLL-Suche-Reihenfolge von Windows](https://learn.microsoft.com/en-us/windows/win32/dlls/dynamic-link-library-security) lädt das System eine schädliche Version dieser DLL, die sich im gleichen Verzeichnis befindet. Diese DLL-Side-Loading-Technik ermöglicht die Ausführung von durch den Angreifer kontrolliertem Code innerhalb eines vertrauenswürdigen Prozesses und wurde in allen analysierten Samples der Kampagne konsistent beobachtet. Innerhalb der geladenen DLL wird als erste Aktion ein Handle zur mscorlib.dll-Datei erstellt, die sich am selben Speicherort befindet, und deren Inhalt gelesen. Obwohl die Datei einen gültigen PE-Header enthält, wird sie von mehreren Erkennungstools fälschlicherweise als nicht ausführbare Binärdatei eingestuft. Eine manuelle HEX-Prüfung ergab, dass am Anfang der Datei zusätzlich 9 Bytes eingefügt wurden, wodurch der PE-Header absichtlich verschoben wurde. Diese Manipulation stört das automatisierte Parsing und verursacht Fehler in PE-Erkennungs- und Dekompilierungs-Tools, wodurch sie effektiv als ressourcenschonender Mechanismus zur Analyseverhinderung fungiert. ![Image 6: Die vor dem PE-Header eingeschleusten Bytes stören das Parsing und ermöglichen es der DLL, automatisierte Analyseverfahren zu umgehen.](https://staticfiles.acronis.com/images/content/970360741a0b9fd5566c319e8afcfcc4.png) Die vor dem PE-Header eingeschleusten Bytes stören das Parsing und ermöglichen es der DLL, automatisierte Analyseverfahren zu umgehen. Die Payload erstellt dann einen vermeintlich vertrauenswürdigen Prozess (AddInProcess32.exe) im Stadium „angehalten“ und führt über [Process Hollowing](https://attack.mitre.org/techniques/T1055/012/) (Kapern eines legitimen Systemprozesses) das Einschleusen und Ausführen des schädlichen Moduls durch. Bei dieser Technik wird Arbeitsspeicher im Zielprozess zugeteilt und der Schadcode (die Payload) mithilfe einer Reihe von Windows-API-Aufrufen (wie NtAllocateVirtualMemory, GetProcessHeap, RtlAllocateHeap, Wow64GetThreadContext, NtWriteVirtualMemory, Wow64SetThreadContext und NtResumeThread) geschrieben. Dadurch kann die Malware im Kontext einer vertrauenswürdigen systemeigenen Binärdatei ausgeführt werden und so einer Erkennung entgehen. Kurz bevor „NtWriteVirtualMemory“ aufgerufen wird, können wir die geladene DLL im Arbeitsspeicher ohne die ersten 9 Bytes sehen, so wie sie in der Originaldatei war. Anschließend wird ein neuer Thread erstellt, dessen Kontext festgelegt und der Thread fortgesetzt. Danach wird das aktuelle Programm beendet. ![Image 7: Die Speicheranalyse zeigt die geladene DLL ohne den 9-Byte-Offset, bevor NtWriteVirtualMemory aufgerufen und eine gültige PE-Struktur vor dem Process Hollowing und der Ausführung wiederhergestellt wird.](https://staticfiles.acronis.com/images/content/c1a34f2516c2b4e44e322759cc3a56a9.png) Die Speicheranalyse zeigt die geladene DLL ohne den 9-Byte-Offset, bevor NtWriteVirtualMemory aufgerufen und eine gültige PE-Struktur vor dem Process Hollowing und der Ausführung wiederhergestellt wird. Nach dem Einschleusen in den laufenden Prozess wird die eigentliche .NET-Payload sichtbar und als AsyncRAT-Client erkannt, der auf einer Open-Source-C#-Implementierung basiert. ### Konfiguration Zu Beginn der Ausführung lädt die Malware ihre Konfiguration, indem sie mehrere AES-verschlüsselte Werte dechiffriert, darunter C2-Server, Installationsflags und andere Laufzeiteinstellungen. Der AES-Schlüssel ist Base64-codiert in das Sample eingebettet. Die Konfiguration kann mit gängigen Tools wie [CyberChef und einem bekannten AsyncRAT-Rezept („Recipe“)](https://github.com/Securityinbits/AsyncRAT-Analysis/blob/main/CyberChef_Recipe.md) entschlüsselt werden. ![Image 8: Code-Ausschnitt, der die Dechiffrierung der AsyncRAT-Konfiguration mithilfe eines eingebetteten AES-Schlüssels und einer Base64-Decodierung bei der Ausführung zeigt.](https://staticfiles.acronis.com/images/content/c7e9c0e9c2fb1ef3e741cbc5e1d944bd.png) Code-Ausschnitt, der die Dechiffrierung der AsyncRAT-Konfiguration mithilfe eines eingebetteten AES-Schlüssels und einer Base64-Decodierung bei der Ausführung zeigt. Sobald alle Einstellungen entschlüsselt sind, überprüft die Malware deren Integrität, indem sie den Hash-Wert des entschlüsselten Server-Zertifikats mit dem erwarteten Wert vergleicht. Nachfolgend finden Sie ein Beispiel für eine entschlüsselte Konfiguration, die während der Analyse ermittelt wurde: Einstellung Wert Schlüssel "zZ5OP9zoIeGTxRmoYxR6XEu0yUxV6wAE" Ports 7788 Hosts "asynk02[.]duckdns[.]org" Version "| CRACKED BY https://t[.]me/xworm_v2" Installieren false Mutex "AsyncMutex_6SI8OkPnk" PasteBin null Anti false Offline KL false BDOS false Gruppe Default Server-Signatur "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" Um zu überprüfen, ob die schädliche Payload in einer Analyseumgebung ausgeführt wird, führt sie mehrere Funktionen aus: Funktion Aktion Hersteller prüfen Herstellername abrufen und mit „VIRTUAL”, „vmware”, „VirtualBox” abgleichen Debugger erkennen „CheckRemoteDebuggerPresent“ ausführen Sandbox erkennen Versuchen, den Handle für die Bibliothek „SbieDll.dll” zu erhalten Laufwerksgröße überprüfen Überprüfen, ob die Laufwerksgröße kleiner als 61000000000 Bytes ist Ist XP Überprüfen, ob das aktuelle System Windows XP ist Wenn eine dieser Funktionen „true“ zurückgibt, wird „Environment.FailFast()“ aufgerufen, wodurch der Prozess beendet wird. ### Installation und Persistenz Wenn die Einstellung „Installieren“ mit „true“ festgelegt ist, wird eine Funktion aufgerufen, die für Persistenz sorgt. Zunächst kopiert sich die Malware unter Verwendung des Wertes für den Ordner aus der Konfigurationsdatei (sofern vorhanden) in den neuen Pfad und führt dann den Befehl „schtasks“ aus, um die automatische Ausführung bei Anmeldung festzulegen. ![Image 9: Erstellung einer Aufgabenplanung über „ProcessStartInfo()“, wodurch die Malware bei der Benutzeranmeldung mit höchsten Berechtigungen ausgeführt wird.](https://staticfiles.acronis.com/images/content/1052c3f7fe558aed7e98f78664149ba8.png) Erstellung einer Aufgabenplanung über „ProcessStartInfo()“, wodurch die Malware bei der Benutzeranmeldung mit höchsten Berechtigungen ausgeführt wird. Dann wird ein Registry-Schlüssel für den automatischen Start (AutoStart-Funktion) gesetzt. Der Pfad zu diesem Schlüssel wird in umgekehrter Reihenfolge gespeichert. Beispielsweise wird „\nuR\noisreVtenrretnuC\swodniW\tfosorciM\erawtfoS“ anstelle von „Software\Microsoft\Windows\CurrentVersion\Run“ verwendet, eine gängige (und einfache) Technik, mit der Schadprogramme diese Aktion verbergen. Schließlich wird ein Batch-Skript ausgeführt, das die Payload vom neuen Speicherort aus startet und die alte Version löscht. [](https://www.acronis.com/de/tru/posts/shadow-vector-targets-colombian-users-via-privilege-escalation-and-court-themed-svg-decoys/) ### Egal, welche Tastatureingabe Sie machen, egal, welche Aktion Sie ausführen – Sie werden beobachtet. Nach Abschluss der Ersteinrichtung startet die Payload zwei Threads. Der erste Thread überwacht kontinuierlich den Zeitstempel der letzten Benutzereingabe und speichert diesen. Der zweite fungiert als Keylogger, setzt einen Fenster-Hook, um den aktiven Prozess auf dem Bildschirm zu verfolgen, und protokolliert jede Tastatureingabe des Benutzers. ![Image 10: Implementierung eines Keyloggers mit„SetWindowsHookEx()“, um einen „Low-Level-Tastatur-Hook“ zu installieren. Die Funktion „HookCallback()” erfasst Tastatureingaben und ermittelt den Tastenzustand, um die Eingaben mit der richtigen Groß-/Kleinschreibung protokollieren zu können.](https://staticfiles.acronis.com/images/content/aad03c622ea5f1b7f8ce09804a8841a2.png) Implementierung eines Keyloggers mit„SetWindowsHookEx()“, um einen „Low-Level-Tastatur-Hook“ zu installieren. Die Funktion „HookCallback()” erfasst Tastatureingaben und ermittelt den Tastenzustand, um die Eingaben mit der richtigen Groß-/Kleinschreibung protokollieren zu können. Zur Kommunikation mit dem Server unterstützt die Payload je nach Pastebin-Einstellung verschiedene Verbindungsmethoden. Wenn diese Einstellung auf null gesetzt ist, wird auf eine Domain zurückgegriffen, die in der eingebetteten Konfiguration des [Samples](https://www.acronis.com/de/tru/posts/shadow-vector-targets-colombian-users-via-privilege-escalation-and-court-themed-svg-decoys/) spezifiziert wurde. Zunächst wird mit „ClientSocket.IsValidDomainName()“ überprüft, ob der Domain-Name gültig ist. Wenn dieser gültig ist, wird versucht, die Domain mithilfe von „Dns.GetHostAddresses()“ aufzulösen. Anschließend werden alle zurückgemeldeten IP-Adressen schrittweise durchlaufen, um über „ClientSocket.TcpClient.Connect()“ eine Verbindung herzustellen. Wenn eine Verbindung erfolgreich hergestellt wurde („ClientSocket.TcpClient.Connected“), wird die Schleife beendet. Wenn die Domain ungültig ist oder die Auflösung fehlschlägt, wird versucht, eine Verbindung direkt über die ursprüngliche Zeichenfolge und einen vordefinierten Port herzustellen. Diese Logik sorgt für Redundanz, um sicherzustellen, dass die Malware ihre Command-and-Control-Infrastruktur erreicht. Sobald die Verbindung hergestellt ist, wird die Malware Informationen über das Opfer übertragen (wie etwa Systeminformationen und Metadaten über das ausgeführte Malware-Sample). ![Image 11: Zusammenstellen von System- und Benutzerinformationen zu einem MsgPack-Objekt, einschließlich Hardware-ID, Benutzername, Betriebssystemdetails, Berechtigungen sowie der Titel des aktiven Fensters.](https://staticfiles.acronis.com/images/content/75e20a2fffc4ed61e4d76573ff7dcfc7.png) Zusammenstellen von System- und Benutzerinformationen zu einem MsgPack-Objekt, einschließlich Hardware-ID, Benutzername, Betriebssystemdetails, Berechtigungen sowie der Titel des aktiven Fensters. Zusätzlich wird die Malware nach Wallets für Kryptowährungen und bestimmten Browser-Erweiterungen suchen, indem sie bestimmte Ordner überprüft. Falls es solche gibt, wird der entsprechenden Wert auf „true“ gesetzt. Die folgende Liste enthält die verwendeten Bezeichner (IDs): Meta_Firefox, Meta_Chrome, Meta_Brave, Meta_Edge, Meta_Opera, Meta_OperaGX, Phantom_Chrome, Phantom_Brave, Binance_Chrome, Binance_Edge, TronLinkChrome, Exodus_Chrome, BitKeep_Chrome, CoinBase_Chrome, Ronin_Chrome, Trust_Chrome, BitPay_Chrome, F2a_Chrome, F2a_Brave, F2a_Edge, Ergo_Wallet, Ledger_Live, Atomic, Exodus, Electum, Coinomi, Binance, Bitcoin_Core Der Client empfängt die Daten vom Server in einem codierten Format. Zuerst wird der Inhalt mit der Funktion „Zip.Decompress()“ dekomprimiert, dann wird die Nachricht decodiert. Nachdem ein Byte aus der Nachricht gelesen wurde, wird dieser mit vordefinierten Werten verglichen. Je nach Ergebnis werden verschiedene Aktionen ausgeführt – wie etwa „Byte Swapping“ oder die Konvertierung der Daten in bestimmte Datentypen. ![Image 12: Shadow Vector: Malware greift kolumbische Firmen mit gerichtsbezogenen SVG-Ködern an](https://staticfiles.acronis.com/images/content/6c3c5eaf41e41d4782e2893758d6805d.png) Wenn ein Befehl vom Server empfangen wird, extrahiert die Payload diesen aus dem Paket, berechnet seinen Hash-Wert und vergleicht diesen mit den gespeicherten Werten. Jeder Befehl wird auch direkt mit dem vordefinierten Satz gültiger Befehle zur Validierung verglichen: getscreen, uacoff, killps, ResetHosts, weburl, Chrome, plugin, ResetScale, passload, Wallets, savePlugin, Fox, pong, DiscordTokens, setxt, WDExclusion, KillProxy, Net35, klget, Avast, Block, WebBrowserPass, gettxt, anydesk, backproxy Sobald der entsprechende Befehl ermittelt wurde, ruft die Payload die Funktion „Plugins()“ auf, die eine bestimmte Prozedur basierend auf dem bereitgestellten Parameter auslöst. Diese Plug-ins repräsentieren die funktionalen Komponenten der einzelnen Befehle. Standardmäßig sind nicht alle Plug-ins in der initialen Payload enthalten. Stattdessen können sie vom Server heruntergeladen werden, wenn die Befehle „plugin” oder „savePlugin” empfangen werden. Die folgende Liste enthält die im Payload enthaltenen Befehle und die entsprechenden Aktionen: Befehl Aktion killps Prozess beenden ResetHosts „\\hosts.backup“-Datei löschen weburl Bereitgestellte URL mit „Process.Start” öffnen plugin Payload-Plugin herunterladen und ausführen ResetScale SPI_SETLOGICALDPIOVERRIDE zum Ändern der Skalierung verwenden pong Intervall für die Client-Server-Kommunikation ändern klget Keylogger-Log-Datei abrufen Block Die Datei „\\hosts“ ändern, um eine bestimmte IP-Adresse zu blockieren gettxt Zwischenablage-Daten abrufen ### Signiert und bereitgestellt: Es werden anfällige Treiber und DLL-Side-Loading-Techniken eingesetzt Innerhalb des ZIP-Archivs finden wir diesmal eine Ausführungsdatei, die als Köder dient, sowie zwei DLLs, eine legitime und eine schädliche. Die Ausführungsdatei lädt die legitime Datei „CiscoSparkLauncher.dll“ und diese wiederum aktiviert die schädliche DLL, die drei Dateien entschlüsselt und im Verzeichnis „%Temp%“ bereitstellt: zwei anfällige Treiber, die zur Rechteausweitung auf Kernel-Ebene verwendet werden, sowie die endgültige RemcosRAT-Payload. ![Image 13: Diagramm eines mehrstufigen Angriffs, bei dem RemcosRAT per Phishing und DLL-Side-Loading bereitgestellt wird, gefolgt von einer treiberbasierten Rechteausweitung unter Verwendung anfälliger Kernelmodus-Treiber – wie etwa Zemana (CVE-2022-42045) und WiseCleaner (CVE-2023-1486).](https://staticfiles.acronis.com/images/content/4bf56bb573d193cdcfa882c7ebb1f5ef.png) Diagramm eines mehrstufigen Angriffs, bei dem RemcosRAT per Phishing und DLL-Side-Loading bereitgestellt wird, gefolgt von einer treiberbasierten Rechteausweitung unter Verwendung anfälliger Kernelmodus-Treiber – wie etwa Zemana (CVE-2022-42045) und WiseCleaner (CVE-2023-1486). Die initiale Ausführungsdatei ruft eine Funktion aus der Datei „CiscoSparkLauncher.dll“ auf, die wiederum die Funktion „GetFileVersionInfoSizeW()“ aus der Datei „VERSION.dll“ aufruft. In diesem Fall handelt es sich bei „VERSION.dll“ um eine schädliche DLL, was auf klassisches DLL-Side-Loading hinweist. Die schädliche DLL setzt in allen Funktionen eine Kontrollflussverschleierung ein und nutzt Schleifen sowie bedingte Prüfungen, um mögliche Analysen zu verlangsamen. ![Image 14: Mehrere bedingte Sprünge und sinnlose Vergleiche werden verwendet, um statische Analysen zu erschweren.](https://staticfiles.acronis.com/images/content/5aab8f6ff5df7e53e4470d916e71f06d.png) Mehrere bedingte Sprünge und sinnlose Vergleiche werden verwendet, um statische Analysen zu erschweren. Es wird ein neuer Speicherblock mit einer Größe von 5982208 Bytes zugeordnet und Daten aus dem Abschnitt „.rdata” kopiert. Tatsächlich beträgt die Größe dieses Abschnitts 5989888 Bytes und beim Kopieren werden die ersten 7680 Bytes übersprungen. Als Ergebnis werden nur verschlüsselte Daten aus diesem Abschnitt kopiert. Anschließend werden mehrere Windows-API-Adressen aus den Bibliotheken „kernel32.dll“, „ADVAPI32.dll“ und „ole32.dll“ aufgelöst. ![Image 15: Die schädliche Datei „VERSION.dll“ ordnet Arbeitsspeicher zu und kopiert verschlüsselte Daten selektiv aus dem Abschnitt „.rdata“, wobei die ersten 7680 Bytes übersprungen werden. Die Payload beginnt dann damit, API-Adressen wie „GetProcAddress()“ aus den Systembibliotheken aufzulösen und sich auf die weitere Ausführung vorzubereiten.](https://staticfiles.acronis.com/images/content/eaf0969cf847c8ad3eaa005e80edbd88.png) Die schädliche Datei „VERSION.dll“ ordnet Arbeitsspeicher zu und kopiert verschlüsselte Daten selektiv aus dem Abschnitt „.rdata“, wobei die ersten 7680 Bytes übersprungen werden. Die Payload beginnt dann damit, API-Adressen wie „GetProcAddress()“ aus den Systembibliotheken aufzulösen und sich auf die weitere Ausführung vorzubereiten. Die Daten, die aus dem Abschnitt „.rdata” kopiert wurden, werden dann an die Dekodierungsfunktion übermittelt. Dazu wird zunächst aus zwei 16-Byte-Werten ein Schlüssel gebildet und der Abschnitt mit der „XOR”-Operation entschlüsselt. ![Image 16: Shadow Vector: Malware greift kolumbische Firmen mit gerichtsbezogenen SVG-Ködern an](https://staticfiles.acronis.com/images/content/bb32d65905db45ec7c1b9813ffd67445.png) Während der Ausführung werden zusätzliche Daten auf dieselbe Weise decodiert, jedoch mit einem anderen Schlüssel: ![Image 17: Shadow Vector: Malware greift kolumbische Firmen mit gerichtsbezogenen SVG-Ködern an](https://staticfiles.acronis.com/images/content/d113f666a675ee543249b2b25b1f4ae4.png) Die decodierten Daten enthalten einen zusätzlichen Code, der nach der Dechiffrierung ausgeführt wird. Dieser Code überprüft zunächst, ob das System als virtuelle Maschine ausgeführt wird, indem nach Indikatoren wie „vmware” oder „virtualbox” im System-Namen gesucht wird. Außerdem werden der verfügbare Arbeitsspeicher, die Anzahl der CPUs und die Bildschirmauflösung ermittelt. Wenn eine dieser Bedingungen auf eine Virtualisierungsumgebung hindeutet, wird die Ausführung der Payload beendet. ![Image 18: Strings, die verwendet werden, um virtuelle Maschinen und Sandboxen zu erkennen. So wird beispielweise nach Zeichenfolgen bzw. Informationen wie VMware, VirtualBox, der Anzahl der CPUs, der Größe des Arbeitsspeichers und der Bildschirmauflösung gesucht.](https://staticfiles.acronis.com/images/content/4cc4f75409a151cd1de48407b94d00e6.png) Strings, die verwendet werden, um virtuelle Maschinen und Sandboxen zu erkennen. So wird beispielweise nach Zeichenfolgen bzw. Informationen wie VMware, VirtualBox, der Anzahl der CPUs, der Größe des Arbeitsspeichers und der Bildschirmauflösung gesucht. Die Payload kopiert sich selbst zusammen mit den Dateien „CiscoSparkLauncher.dll“ und „VERSION.dll“ in den Ordner „%Temp“ und führt dann den nächsten Befehl aus, um ihre Persistenz sicherzustellen: C:\Windows\system32\cmd.exe /c schtasks /create /tn "Yt4Bvc2G" /tr "C:\Users\DEV\AppData\Roaming\DEMANDA LABORAL JUDICIAL 2313154.exe" /sc onlogon /rl highest /f Um möglicherweise vorhandene Antimalware-Software zu umgehen, überprüft die Payload, ob bestimmte Ordnerpfade vorhanden sind, und verwendet dann die Funktionen „CreateToolHelp32Snapshoot“, „Process32First“ und „Process32Next“, um alle laufenden Prozesse aufzulisten und diejenigen zu beenden, die mit der hinterlegten Prozessnamenliste übereinstimmen: AnhRpt, Ahnsd, v3sp, mupdate2, autop, ArtHost, ASDSvc, v3lite4, v314sp, V3Light, V3Medic, V3SVC, AhnLabPolicyAgent, eausvc, AYUpdate.aye, ALYac.aye, AYAgent.aye, AYUpdSrv.aye, AYWSSrv.aye, AYTRSrv.aye, ALMountService, eOppFrame, egui, eguiProxy, efwd, ekrn, mc-fwhost, mc-web-view, mcupdate, mfwc, updaterui, mfeann, mcuicnt, mfevtps, mfetp, mfemms, McShield, AvEmUpdate, icarus_ui, overseer, AVGUI, aswidsagent, afwServ, avgToolsSvc, aswEngSrv, AVGSvc, wsc_proxy, overseer, wa_3d_party_host_64, su_worker, wa_3d_party_host_32, AvastBrowserUpdate, AvBugReport, AvastBrowserProtect, icarus_ui, icarus, AvastUI, aswidagent, afwServ, aswToolSvc, aswEngSrv, AvastSvc, wsc_proxy, MpCmdRun, NisSrv, MsMpEng, smartscreen, MpDefenderCoreService, HipsMain, wsctrlsvc, HipsTray, TrafficPort, HipsDaemon, 360UHelper, 360speedld, safesvr, SoftMgr, LiveUpdate360, inst, 360Safe, 360leakFixer, 360Tray, ZhuDongFangYu, PopTip, 360TsLiveUpd, certuril, PromoUtil, PopWndLog, QHSafeTray, QHWatchdog, QHActiveDefense, QHSafeMain, HipsMain, wsctrlsvc, HipsTray, TrafficPort, HipsDaemon Anschließend werden zusätzliche Daten aus dem Abschnitt „.rdata“ ausgelesen, entschlüsselt und drei Dateien in den Ordner „%Temp“ geschrieben: Dateiname Beschreibung VFZE6ksYnpPfSnEWUNg.sys Anfälliger WiseCleaner-Treiber cuDX73ob9SxeAS0IdV.sys Anfälliger Zemana-Treiber svchost.exe RemcosRAT Die analysierte Payload speichert ihre Konfiguration als verschlüsselte Ressource. Das erste Byte gibt die Schlüsselgröße an, gefolgt vom RC4-Verschlüsselungsschlüssel. Die verbleibenden Daten enthalten die verschlüsselte Konfiguration. Beide anfälligen Treiber werden als Kernel-Mode-Dienste gestartet. Das Payload-Sample verwendet dann die Funktion „DeviceIoControl()” mit dem Steuercode „0x80002010”, um den von der Malware platzierten Prozess „svchost.exe” als authentifiziert zu registrieren. Abschließend beendet sich die Payload selbst. ![Image 19: Hex-Ansicht des verschlüsselten Konfigurations-Blobs: Das erste Byte definiert die Schlüsselgröße, gefolgt vom RC4-Schlüssel und den verschlüsselten Konfigurationsdaten, die von der Payload verwendet werden.](https://staticfiles.acronis.com/images/content/aeab82d86f7fbd3f8d0b275f8d666495.png) Hex-Ansicht des verschlüsselten Konfigurations-Blobs: Das erste Byte definiert die Schlüsselgröße, gefolgt vom RC4-Schlüssel und den verschlüsselten Konfigurationsdaten, die von der Payload verwendet werden. Die dechiffrierte Konfiguration enthüllt mehrere von der Malware verwendete operative Parameter – wie etwa die Adresse und den Port des C2-Servers (Command-and-Control), den Botnet-Namen, die maximale Größe für die Keylogger-Protokolldateien, den Binär-Namen sowie den Mutex-Namen. Außerdem wird ein Intervall (in Sekunden) festgelegt, mit dem Screenshot erfasst werden, sowie bestimmte Ordnernamen, in denen die Screenshots, Audio-Aufnahmen und eine Lizenznummer gespeichert werden. Letztere dient wahrscheinlich dazu, die Bereitstellung oder die Nutzung durch Verbündete nachzuverfolgen. ![Image 20: Eine Funktionsliste von der offiziellen RemcosRAT-Website. Hervorgehoben werden die breite Betriebssystemkompatibilität, die verschlüsselte Kommunikation, die Datei- und Systemverwaltung, die Fernsteuerungsfähigkeiten sowie die benutzerdefinierbaren Optionen, um kompromittierte Maschinen gut verwalten zu können.](https://staticfiles.acronis.com/images/content/932e82937d0b2f16c054ab72ecdccb4d.png) Eine Funktionsliste von der offiziellen RemcosRAT-Website. Hervorgehoben werden die breite Betriebssystemkompatibilität, die verschlüsselte Kommunikation, die Datei- und Systemverwaltung, die Fernsteuerungsfähigkeiten sowie die benutzerdefinierbaren Optionen, um kompromittierte Maschinen gut verwalten zu können. ### Aufrechterhaltene Verschleierung Noch während dieser Artikel geschrieben wurde, hat die Shadow Vector-Kampagne ein neues Kapitel aufgeschlagen und ihre mittlerweile aufgedeckten SVG Smuggling-Techniken weiterentwickelt. In dieser Variante verfolgen die Angreifer einen modularen Ansatz und [stellen einen Loader bereit, der in Verbindung mit der Malware „Katz Stealer“ steht](https://www.nextron-systems.com/2025/05/23/katz-stealer-threat-analysis). Auch hier beginnt die Infektionskette mit sorgfältig angefertigten SVG-Köder-Dateien. Neu hinzugekommen sind jedoch JavaScript- und PowerShell-Stager, eine UAC-Umgehung über „cmstp.exe“ sowie eine dynamische .NET-Loader-DLL-Datei, die mit Funktionen zur Analyseabwehr, Prozessinjektion und optionalen Persistenzmechanismen ausgestattet ist. ![Image 21: Öffentliches Bitbucket-Repository, das JS- und VBS-Dropper in verschiedenen Phasen hostet, die als vermeintliche Benachrichtigungen von Gerichten getarnt sind.](https://staticfiles.acronis.com/images/content/4d461df2e588cdf890110cec21e50db9.png) Öffentliches Bitbucket-Repository, das JS- und VBS-Dropper in verschiedenen Phasen hostet, die als vermeintliche Benachrichtigungen von Gerichten getarnt sind. Der Bedrohungsakteur hinter der jüngsten Shadow Vector-Aktivität nutzt mehrere Bitbucket-Repositorys, um schädliche JavaScript- und VBS-Stager zu hosten. Ein solches Repository (nämlich notificaciones-judiciales2025-2005) verzeichnete innerhalb weniger Stunden nach dem Upload am 28. Mai 2025 über 170 Downloads seiner gestuften Payloads. Der Umfang dieser Aktivitäten lässt darauf schließen, dass in diesem Zeitraum wahrscheinlich eine koordinierte Phishing-Kampagne stattfand. Unter den beobachteten Aliasnamen für den Uploader sticht „TheMrHacker“ gegenüber der anderenfalls einheitlichen Verwendung der allgemeinen Bezeichnung „Envio“ (spanisch für „Versand“) hervor und könnte einen Hinweis auf die Identität des Betreibers liefern. ![Image 22: Emoji-basierte Zeichenkettenverschleierung (String-Obfuskation)](https://staticfiles.acronis.com/images/content/b88a9c040236667b63b6a1b75feabb44.png) Emoji-basierte Zeichenkettenverschleierung (String-Obfuskation) Die Infektionskette beginnt mit einer JavaScript-Datei, die sich als juristisches Dokument tarnt (hier „_001-Notificacion\_electronica\_demanda\_judicial\_Departamento\_Juridico.js_“) und als erster Dropper fungiert. Bei der Ausführung wird für die zweite Stufe ein Skript von Paste.ee abgerufen. ![Image 23: Verschleiertes JavaScript, das Base64 und Unicode verwendet, um PowerShell-Payloads einzuschleusen.](https://staticfiles.acronis.com/images/content/fb727cbc27872ba45416da9e878aa318.png) Verschleiertes JavaScript, das Base64 und Unicode verwendet, um PowerShell-Payloads einzuschleusen. Dieses verschleierte Folgeskript startet einen PowerShell-Befehl, der so konfiguriert ist, dass er im Hintergrund (-nop -w hidden) per Invoke-Expression ausgeführt wird, der dann weitere verschlüsselte Inhalte von zwei Paste.ee-Endpunkten (beide mit demselben SHA256-Hash) abrufen kann. ![Image 24: Der verschleierte PowerShell-Befehl lädt eine Base64-DLL von Archive.org herunter und nutzt die VAI-Methode für eine In-Memory-Ausführung.](https://staticfiles.acronis.com/images/content/ea52649b712e10913b0c568eac8ae21e.png) Der verschleierte PowerShell-Befehl lädt eine Base64-DLL von Archive.org herunter und nutzt die VAI-Methode für eine In-Memory-Ausführung. In der letzten Stufe lädt das Skript eine Base64-verschlüsselte DLL-Datei aus dem Internetarchiv herunter, die in der Regel als Textdatei getarnt ist, die unter „archive[.org/replace_202505/REPLACE[.]txt“ gehostet wird. In einigen Fällen wird stattdessen eine Bilddatei abgerufen, die eine eingebettete Base64-Payload enthält, die sich im Bildinhalt verbirgt. Das Skript extrahiert und entschlüsselt die Payload und lädt die DLL dann mithilfe der PowerShell-Methode „[Reflection.Assembly]::Load()“ direkt in den Arbeitsspeicher. ![Image 25: Bilddatei mit Base64-codierter Payload, die nach dem JPEG-EOF-Marker hinzugefügt wurde.](https://staticfiles.acronis.com/images/content/d4af9c804bbf1e0f185f20d2c7c94f23.png) Bilddatei mit Base64-codierter Payload, die nach dem JPEG-EOF-Marker hinzugefügt wurde. Die mehrstufige Infektionskette schleust eine .NET-DLL-Datei ein, die die Methode „dnlib.IO.Home.VAI()“ dynamisch lädt und ausführt. Dieses Verhalten ist bereits von Samples des Katz Loaders bekannt. Obwohl der Loader mehrere mit dem [Katz Stealer verknüpfte YARA-Signaturen](https://github.com/Neo23x0/signature-base/blob/master/yara/mal_katz_stealer.yar) aufweist, wird der Stealer in diesem Fall nicht eingeschleust. Stattdessen wird die endgültige Payload zur Laufzeit abgerufen und vollständig im Arbeitsspeicher ausgeführt, sodass auf dem Laufwerk keine Artefakte zurückbleiben. Der Loader implementiert fortschrittliche Funktionen (wie Anti-Debugging und Anti-Manipulationsprüfungen), eine optionale UAC-Umgehung (mithilfe von cmstp.exe) und eine String-Dechiffrierung aus einem verschlüsselten Ressourcen-Blob. Er verwendet Process Hollowing, um Code in legitime Binärdateien einzuschleusen, und sorgt per Aufgabenplanungen und Registry-Modifikationen für seine Persistenz. Außerdem ermöglicht er eine Laufzeitkonfiguration von Anti-VM-Prüfungen. ![Image 26: Eine KI-Methode, die die parametrisierte Loader-Logik mit Variablen in portugiesischer Sprache zeigt.](https://staticfiles.acronis.com/images/content/2790548f1cc576a6ef99b2b52c4a17aa.png) Eine KI-Methode, die die parametrisierte Loader-Logik mit Variablen in portugiesischer Sprache zeigt. Mehrere im Code des Loaders eingebettete Zeichenfolgen sind in portugiesischer Sprache verfasst – wie etwa Meldungen mit dem Inhalt „Baixar e executar o PuTTY a cada 1 minuto indefinidamente” („PuTTY jede Minute für unbegrenzte Zeit herunterladen und ausführen”), „Extensão não suportada” („Nicht unterstützte Erweiterung”), „Recurso 'UAC.dll' não encontrado!” („Die Ressource 'UAC.dll' wurde nicht gefunden!“) sowie „Erro ao executar a DLL em memória” („Fehler beim Ausführen der DLL im Arbeitsspeicher”). Diese Meldungen in Verbindung mit den in der VAI-Methode verwendeten Parameternamen (z. B. „caminhovbs“, „persitencia“, „extenção“, „nomedoarquivo“) deuten darauf hin, dass der Loader Designelemente oder wiederverwendeten Code mit Werkzeugen teilt, die von portugiesischsprachigen Bedrohungsakteuren entwickelt wurden, insbesondere solchen, die an gewinnorientierten Malware-Kampagnen gegen Brasilien beteiligt sind. ### Zusammenfassende Ausführungen Dieser Bedrohungsakteur hat seine bisherigen SVG Smuggling-Techniken weiterentwickelt und nun einen modularen, speicherresidenten Loader eingeführt, der Payloads dynamisch und komplett im Arbeitsspeicher ausführen kann, sodass nur minimale Spuren im betroffenen System zurückbleiben. Dieser Loader wird über eine mehrstufige Infektionskette verbreitet, wobei öffentliche Hosting-Plattformen genutzt werden. Dies ist eine Vorgehensweise, die eine Zuordnung der Malware und entsprechende Gegenmaßnahmen erschwert. Das Vorhandensein von portugiesischen Zeichenfolgen und Methodenparametern im Loader spiegelt TTPs (Tactics, Techniques & Procedures) wider, die häufig bei Angriffen mit brasilianischer Banking-Malware zu beobachten sind. Daraus lässt sich auf eine mögliche Code-Wiederverwendung, gemeinsam genutzte Entwicklungsressourcen oder sogar eine überregionale Zusammenarbeit der Akteure schließen. Der anhaltende Ausrichtung der Kampagne auf lateinamerikanische Ziele, der vorgetäuschte Bezug auf staatliche Institutionen und die schnelle, skalierbare Malware-Einschleusung verdeutlichen, dass es sich hierbei um eine andauernde und sich stetig weiterentwickelnde Bedrohung handelt. ### Von Acronis erkannt ### RemcosRAT ![Image 27: Shadow Vector: Malware greift kolumbische Firmen mit gerichtsbezogenen SVG-Ködern an](https://staticfiles.acronis.com/images/content/814f44d453567db98905c9237fc918fc.png) ### Kompromittierungsindikatoren ### SVG [64e971f0fed4da9d71cd742db56f73b6f7da8fec3b8aebd17306e8e0d4f1d29d](https://www.virustotal.com/gui/file/64e971f0fed4da9d71cd742db56f73b6f7da8fec3b8aebd17306e8e0d4f1d29d) [4d292a785ec35530bac5f4674a97c0dffa2a2396bd8b0cc6f8b478ba13d73611](https://www.virustotal.com/gui/file/4d292a785ec35530bac5f4674a97c0dffa2a2396bd8b0cc6f8b478ba13d73611) [d713793b0b6dd1fe7c2432a28069745bc4bf97c098f1217de0731c7ed7c1d70a](https://www.virustotal.com/gui/file/d713793b0b6dd1fe7c2432a28069745bc4bf97c098f1217de0731c7ed7c1d70a) [1920d23a395aa729cc7658b8471939ef871108a94e93456793d1322dcbe9750b](https://www.virustotal.com/gui/file/1920d23a395aa729cc7658b8471939ef871108a94e93456793d1322dcbe9750b) [fab0b6945c1ee0057349254760469b7d5a502819517b31049efc51a71b25c46d](https://www.virustotal.com/gui/file/fab0b6945c1ee0057349254760469b7d5a502819517b31049efc51a71b25c46d) [52d2b4ac1a84449c72226e1deed8d33ebbe8fd00d4853e026adef679d7fa273d](https://www.virustotal.com/gui/file/52d2b4ac1a84449c72226e1deed8d33ebbe8fd00d4853e026adef679d7fa273d) [f9b6c8f6f6a2f69286b298dd6375ebc25a07eb2012e226af1dfafd861b9edb3e](https://www.virustotal.com/gui/file/f9b6c8f6f6a2f69286b298dd6375ebc25a07eb2012e226af1dfafd861b9edb3e) [e50f96eb8fd7ca90df3db47368b413ffb875d5cd3685b9d601bb884ebe980ef9](https://www.virustotal.com/gui/file/e50f96eb8fd7ca90df3db47368b413ffb875d5cd3685b9d601bb884ebe980ef9) [ea81ab0c9daee3a3e5a34e1a94a5a7f1ea1ed664ee6df4596671c30f56d06f30](https://www.virustotal.com/gui/file/ea81ab0c9daee3a3e5a34e1a94a5a7f1ea1ed664ee6df4596671c30f56d06f30) [2ad823885a7406219944bd07a438b53495ab7440b857857f7d2b48001d43c841](https://www.virustotal.com/gui/file/2ad823885a7406219944bd07a438b53495ab7440b857857f7d2b48001d43c841) [15818f97142d49cbc9662d51bb0155a7a8dc650bf1daf26e07a5fff4ff15d93f](https://www.virustotal.com/gui/file/15818f97142d49cbc9662d51bb0155a7a8dc650bf1daf26e07a5fff4ff15d93f) [589dc2e8e4528ee6c18ac1c7cf5964a352d3cb245a8b32c7f81c12cf51f5f926](https://www.virustotal.com/gui/file/589dc2e8e4528ee6c18ac1c7cf5964a352d3cb245a8b32c7f81c12cf51f5f926) [ddd31270f6150d004bd857785096d0ebd6ba68a5657ca64decce494dc26fb824](https://www.virustotal.com/gui/file/ddd31270f6150d004bd857785096d0ebd6ba68a5657ca64decce494dc26fb824) [fa1bd87281ed0d2ffbed269160008cd9fa758a5a3e1702c5871cffe2b8837bb5](https://www.virustotal.com/gui/file/fa1bd87281ed0d2ffbed269160008cd9fa758a5a3e1702c5871cffe2b8837bb5) [49abf67639aca4a12e4205b407b82d281cbc4e47d9f0dae799a6900b3c48aa13](https://www.virustotal.com/gui/file/49abf67639aca4a12e4205b407b82d281cbc4e47d9f0dae799a6900b3c48aa13) [dd5fab6baa5967e6b1d023f6d98dcbe0d7a03cedafc7bddbab6d9b5bc07f6a2d](https://www.virustotal.com/gui/file/dd5fab6baa5967e6b1d023f6d98dcbe0d7a03cedafc7bddbab6d9b5bc07f6a2d) [651f8771e83fe70a57215adb225de065c9cfd3485bd041768cb5923b29449b18](https://www.virustotal.com/gui/file/651f8771e83fe70a57215adb225de065c9cfd3485bd041768cb5923b29449b18) [d1f7e55aee74a868f8defd411231d0fbd7a9f2050a5a32660a8845e5e890efb9](https://www.virustotal.com/gui/file/d1f7e55aee74a868f8defd411231d0fbd7a9f2050a5a32660a8845e5e890efb9) [4b18ac24c9626cb6bd8c675d2ebeaa8851d759546ed7a56e5b517b953277353e](https://www.virustotal.com/gui/file/4b18ac24c9626cb6bd8c675d2ebeaa8851d759546ed7a56e5b517b953277353e) [ab7eecb15047095802f34d167ed84a2e3ff178cd4ec7ae45797501e9f25873d3](https://www.virustotal.com/gui/file/ab7eecb15047095802f34d167ed84a2e3ff178cd4ec7ae45797501e9f25873d3) [a1a1d0fd84ea9c839dd7a26fe91f463d1982f5596ca7214ca9ae0790c8ca51b8](https://www.virustotal.com/gui/file/a1a1d0fd84ea9c839dd7a26fe91f463d1982f5596ca7214ca9ae0790c8ca51b8) [350f94b1551066bd13e80926e42bd0b640c5543010e61530e12a282a2323b45d](https://www.virustotal.com/gui/file/350f94b1551066bd13e80926e42bd0b640c5543010e61530e12a282a2323b45d) [e5b6680b9c6e8fb7c035577881fcd5380e4caa9b3d1dc382ee85de7b14c644f5](https://www.virustotal.com/gui/file/e5b6680b9c6e8fb7c035577881fcd5380e4caa9b3d1dc382ee85de7b14c644f5) [df5f4fcd04bc77fdbd14f31f19e03d4fd4508af05498a081de69c180f063c142](https://www.virustotal.com/gui/file/df5f4fcd04bc77fdbd14f31f19e03d4fd4508af05498a081de69c180f063c142) [7f81d1379e1edb13a807d2fd5bc1195c55fb0255274fbd34a4067a90cf8dbaac](https://www.virustotal.com/gui/file/7f81d1379e1edb13a807d2fd5bc1195c55fb0255274fbd34a4067a90cf8dbaac) [fd82191a7204eb16ad1b80962f3bc32898950ff662207d661893d6adacfb90ed](https://www.virustotal.com/gui/file/fd82191a7204eb16ad1b80962f3bc32898950ff662207d661893d6adacfb90ed) [8be8cf91c4a5a70bc4c292957557c4b26aeed860c9b1de6550ce9c0a6c68bba8](https://www.virustotal.com/gui/file/8be8cf91c4a5a70bc4c292957557c4b26aeed860c9b1de6550ce9c0a6c68bba8) [faad55b273e3d73e7788046c1c5fa8da13fb0ad762c9133180c3f938d5656aed](https://www.virustotal.com/gui/file/faad55b273e3d73e7788046c1c5fa8da13fb0ad762c9133180c3f938d5656aed) [7414296aaee2a3bf701695ec131b14ad6a47ba3b59331c881f1ce8f57807d628](https://www.virustotal.com/gui/file/7414296aaee2a3bf701695ec131b14ad6a47ba3b59331c881f1ce8f57807d628) [1f4271082863058d45a6a18fc452759d864552aa78f8fb52588570adcb7612a5](https://www.virustotal.com/gui/file/1f4271082863058d45a6a18fc452759d864552aa78f8fb52588570adcb7612a5) [b9c160f122a97fbbb7fe46e227dc35558e2ecdefb2bd21f642bacc7d4b266def](https://www.virustotal.com/gui/file/b9c160f122a97fbbb7fe46e227dc35558e2ecdefb2bd21f642bacc7d4b266def) [05c22daf06b42a6c01db9e958aee4a8ad8c061984c8c8933ec525fe880141063](https://www.virustotal.com/gui/file/05c22daf06b42a6c01db9e958aee4a8ad8c061984c8c8933ec525fe880141063) [dbf17c544962a57d69da0db22307c80ca51e4e7b7b0efa7448ce3ceb67835f1d](https://www.virustotal.com/gui/file/dbf17c544962a57d69da0db22307c80ca51e4e7b7b0efa7448ce3ceb67835f1d) [e65238a6cd94518d7a0392deb518e9073135642803fec6081f81ea8686af7861](https://www.virustotal.com/gui/file/e65238a6cd94518d7a0392deb518e9073135642803fec6081f81ea8686af7861) [b1a1036ffe838babb6f5828cc1df08ea89b8311274863029f86adf34500566f2](https://www.virustotal.com/gui/file/b1a1036ffe838babb6f5828cc1df08ea89b8311274863029f86adf34500566f2) [074add6a706288c31f53c44f9e62cfe421ab2525f9a06c17f862c0883320be6b](https://www.virustotal.com/gui/file/074add6a706288c31f53c44f9e62cfe421ab2525f9a06c17f862c0883320be6b) [175d047506539ae42ad149380249d5d5127ac66600c77e00f302eb96a90d2d6f](https://www.virustotal.com/gui/file/175d047506539ae42ad149380249d5d5127ac66600c77e00f302eb96a90d2d6f) [06ae4560425ad72ea46be727c0f16362d9fc49f9ab19008e559449e997d59bf0](https://www.virustotal.com/gui/file/06ae4560425ad72ea46be727c0f16362d9fc49f9ab19008e559449e997d59bf0) [9949cda3fbb6a289556eda3a2f5c245b2cf43c81fe14227cf2ca9072e62e6651](https://www.virustotal.com/gui/file/9949cda3fbb6a289556eda3a2f5c245b2cf43c81fe14227cf2ca9072e62e6651) [997f264cc1381860e60affadcb9987bdf1c0da3b73ea98f43a4c5c04b4dd9015](https://www.virustotal.com/gui/file/997f264cc1381860e60affadcb9987bdf1c0da3b73ea98f43a4c5c04b4dd9015) [516ba5d067adb1547e38387022fcc33c2f4372c33b8a143e4b7742b010f886f2](https://www.virustotal.com/gui/file/516ba5d067adb1547e38387022fcc33c2f4372c33b8a143e4b7742b010f886f2) [56e07457b7c1896e5d6e7f896c4defeb6415b8ef38c86e5547cc66c15c387c04](https://www.virustotal.com/gui/file/56e07457b7c1896e5d6e7f896c4defeb6415b8ef38c86e5547cc66c15c387c04) [aa2a2c529b6bcab60081f3816ca32c02ebdf44acbd467f061ea53a99fae3b0b2](https://www.virustotal.com/gui/file/aa2a2c529b6bcab60081f3816ca32c02ebdf44acbd467f061ea53a99fae3b0b2) [4a604c7ccd7888e060eaf2a96dc84a59e6fd1d17ca2d32d4cc88e05e9d799b95](https://www.virustotal.com/gui/file/4a604c7ccd7888e060eaf2a96dc84a59e6fd1d17ca2d32d4cc88e05e9d799b95) [9c5192c611aa441456679315f49c1fe317d004af4687bf9fcca99fd554cf14d9](https://www.virustotal.com/gui/file/9c5192c611aa441456679315f49c1fe317d004af4687bf9fcca99fd554cf14d9) [6975e4f71baad2a96638cbe9d7dd733ee7ee6e8fa0c00156559996204750def8](https://www.virustotal.com/gui/file/6975e4f71baad2a96638cbe9d7dd733ee7ee6e8fa0c00156559996204750def8) [d09183fd286d25181ed3bd10321d5ec67af0088906317bd441b748e1add5e67c](https://www.virustotal.com/gui/file/d09183fd286d25181ed3bd10321d5ec67af0088906317bd441b748e1add5e67c) [2227f39f00d10f8f3ee2d9c0c94537c85260dc04841651634f05f8117fd02503](https://www.virustotal.com/gui/file/2227f39f00d10f8f3ee2d9c0c94537c85260dc04841651634f05f8117fd02503) [8a5c70429f790dc063294866b56f09787c6413d8c1bf2ca6b58af97d442fdd7b](https://www.virustotal.com/gui/file/8a5c70429f790dc063294866b56f09787c6413d8c1bf2ca6b58af97d442fdd7b) [4353556fc7c494e4ea40c60eb3d2c0613fb56efc12b4ea94990632a021a415ef](https://www.virustotal.com/gui/file/4353556fc7c494e4ea40c60eb3d2c0613fb56efc12b4ea94990632a021a415ef) [e86c503b5980d084a56046d337a98e23e28b062f3269d2b6803653e47b26da40](https://www.virustotal.com/gui/file/e86c503b5980d084a56046d337a98e23e28b062f3269d2b6803653e47b26da40) [b09f00521fd272fcb828200b33a5dc023511116908cbf6f3018bcc65916c0794](https://www.virustotal.com/gui/file/b09f00521fd272fcb828200b33a5dc023511116908cbf6f3018bcc65916c0794) [37f42d31210d807fa881417f2968e76ab2e92d6bbb367f4054755df52dd3519f](https://www.virustotal.com/gui/file/37f42d31210d807fa881417f2968e76ab2e92d6bbb367f4054755df52dd3519f) [b2bdd564397cc993fcefbbc623b6becb874466c45e52afbc7abc7df2e7058c90](https://www.virustotal.com/gui/file/b2bdd564397cc993fcefbbc623b6becb874466c45e52afbc7abc7df2e7058c90) [bb198d1d39c6fcc247b9231b25cc6969d622438ed7786fd05379ab3622812b7d](https://www.virustotal.com/gui/file/bb198d1d39c6fcc247b9231b25cc6969d622438ed7786fd05379ab3622812b7d) [685d5a422f0e432b2d1172b631004deb3dee74ccfb5dd98bac51417de12ea833](https://www.virustotal.com/gui/file/685d5a422f0e432b2d1172b631004deb3dee74ccfb5dd98bac51417de12ea833) [ffb1776f20313a6b5fdfd13eb09e5c1255efab214e78674cd4feed2f9ef1cd6e](https://www.virustotal.com/gui/file/ffb1776f20313a6b5fdfd13eb09e5c1255efab214e78674cd4feed2f9ef1cd6e) [3fc79334c32b1a47c2e5afb03b05b6846bb23cd1aa894f2c5521b33d1b995a55](https://www.virustotal.com/gui/file/3fc79334c32b1a47c2e5afb03b05b6846bb23cd1aa894f2c5521b33d1b995a55) [b5197648fae60fdad875beaee9496599060cc2cbf2e2d006ca1ca5a8be5bd77c](https://www.virustotal.com/gui/file/b5197648fae60fdad875beaee9496599060cc2cbf2e2d006ca1ca5a8be5bd77c) [87902e0ff891ac6f23c70b0b3a6067208eeb120086b77693920a7498efddeeb3](https://www.virustotal.com/gui/file/87902e0ff891ac6f23c70b0b3a6067208eeb120086b77693920a7498efddeeb3) [fe1ab99480bee08ade851e1fbe699f8cca7cb3878e1b0c8fadcf9a0ad3dea108](https://www.virustotal.com/gui/file/fe1ab99480bee08ade851e1fbe699f8cca7cb3878e1b0c8fadcf9a0ad3dea108) [427ed7c0e928d3afd7cddd567afd02d4ffdf7420bc76e18d5a1bdabd385cd8ae](https://www.virustotal.com/gui/file/427ed7c0e928d3afd7cddd567afd02d4ffdf7420bc76e18d5a1bdabd385cd8ae) [12c6589e3c4bfab6ce56d5f5fa7a86566bf5cf50f96e06dfb9ec78101d06c7ec](https://www.virustotal.com/gui/file/12c6589e3c4bfab6ce56d5f5fa7a86566bf5cf50f96e06dfb9ec78101d06c7ec) [9751fdc290a30c2db09f2a8090b05ae51752a4ed7248915cb6b821282aa3d9aa](https://www.virustotal.com/gui/file/9751fdc290a30c2db09f2a8090b05ae51752a4ed7248915cb6b821282aa3d9aa) [bc39af555dbbea63a48c782111b30e945b1ae24acc4a4552353629981df2ae9b](https://www.virustotal.com/gui/file/bc39af555dbbea63a48c782111b30e945b1ae24acc4a4552353629981df2ae9b) [232d4f650e9dc694c7509a4c704f62c462d394b46ef83995bd79ee05c557af5c](https://www.virustotal.com/gui/file/232d4f650e9dc694c7509a4c704f62c462d394b46ef83995bd79ee05c557af5c) [1aa926c2efc7b7d40b78aadeb1d3104ec4ae8d11cd3b75c93a046845f6ba47c0](https://www.virustotal.com/gui/file/1aa926c2efc7b7d40b78aadeb1d3104ec4ae8d11cd3b75c93a046845f6ba47c0) [48c4f0977fc42469404a528980efe362178da5d66fcd3c28d39de74aedadec0c](https://www.virustotal.com/gui/file/48c4f0977fc42469404a528980efe362178da5d66fcd3c28d39de74aedadec0c) [fcfccb9f4f4556fcebb9db4e38d2ac3964146e4a6060b06aea923635cfee2c14](https://www.virustotal.com/gui/file/fcfccb9f4f4556fcebb9db4e38d2ac3964146e4a6060b06aea923635cfee2c14) [c57fea3057e0b66a1241098a68d5d84508bd6709f7f1c35b1d4ebc3ed568bdb6](https://www.virustotal.com/gui/file/c57fea3057e0b66a1241098a68d5d84508bd6709f7f1c35b1d4ebc3ed568bdb6) [9238167a3a8b55f6900e9674eb1253564d7fc9630c005be70dc1422eebccbb9b](https://www.virustotal.com/gui/file/9238167a3a8b55f6900e9674eb1253564d7fc9630c005be70dc1422eebccbb9b) [47a646c58037a51a06302adf723b3ce642bf395ddd5a9fcd59bcfd96a4782bae](https://www.virustotal.com/gui/file/47a646c58037a51a06302adf723b3ce642bf395ddd5a9fcd59bcfd96a4782bae) [d4839b512e1919e23a994c19667bdf674e3cd497e5473b7e50309e127af5adc4](https://www.virustotal.com/gui/file/d4839b512e1919e23a994c19667bdf674e3cd497e5473b7e50309e127af5adc4) [a824ba591fd23c04dbfa9a2b3c5c6e3b3b3e756ed46f7e8add9b1af4c88a1b28](https://www.virustotal.com/gui/file/a824ba591fd23c04dbfa9a2b3c5c6e3b3b3e756ed46f7e8add9b1af4c88a1b28) [64836b852bfb8703df303d09e0f44a861a16ce93112e5bd41287df8ab193df4c](https://www.virustotal.com/gui/file/64836b852bfb8703df303d09e0f44a861a16ce93112e5bd41287df8ab193df4c) [fdea172c14d158168cb10538315fa3604caa50c446c894d3ca7dc7de34b6b6b7](https://www.virustotal.com/gui/file/fdea172c14d158168cb10538315fa3604caa50c446c894d3ca7dc7de34b6b6b7) [1109de79a8913afc45493787090363a1e13e86ccc58f8e8cbb1a1a6e772862ad](https://www.virustotal.com/gui/file/1109de79a8913afc45493787090363a1e13e86ccc58f8e8cbb1a1a6e772862ad) [9b90a5affc7166e3d9232cbeb543b174650cde95b9ca8d21b7d1573f72bbacb8](https://www.virustotal.com/gui/file/9b90a5affc7166e3d9232cbeb543b174650cde95b9ca8d21b7d1573f72bbacb8) [19b20201ab1f17c7555fba64345e9cdfb999859938c0925093fb45c0aa9bfaeb](https://www.virustotal.com/gui/file/19b20201ab1f17c7555fba64345e9cdfb999859938c0925093fb45c0aa9bfaeb) [ac1ae135ac46d2f53acc37542f17ee557379b8332fb410c957e7dea02bc0499c](https://www.virustotal.com/gui/file/ac1ae135ac46d2f53acc37542f17ee557379b8332fb410c957e7dea02bc0499c) [4424def8e312bc3faae27409ecd45a1b4dc35e264d35896e588d7e7940930cf5](https://www.virustotal.com/gui/file/4424def8e312bc3faae27409ecd45a1b4dc35e264d35896e588d7e7940930cf5) [8681aec2cba9395e8bcac45a8fd708dc76906a3307454ece3461b2555aae3544](https://www.virustotal.com/gui/file/8681aec2cba9395e8bcac45a8fd708dc76906a3307454ece3461b2555aae3544) [c3d412f2149b985367196a228881397384617025683a767141227b8fd817391b](https://www.virustotal.com/gui/file/c3d412f2149b985367196a228881397384617025683a767141227b8fd817391b) [56f194bd4214de687b862fbd93fc67c9fc7eae1976d603f7bc33d1cd010dc4b4](https://www.virustotal.com/gui/file/56f194bd4214de687b862fbd93fc67c9fc7eae1976d603f7bc33d1cd010dc4b4) [658ea8a9039d8980d7b6b121a5b2cea9ea1411f4cb5bff8cc49b45cfe4c29981](https://www.virustotal.com/gui/file/658ea8a9039d8980d7b6b121a5b2cea9ea1411f4cb5bff8cc49b45cfe4c29981) [69473c348ba67aac09f6c5902335b89939887241045bbf8f26e448962f7e79c6](https://www.virustotal.com/gui/file/69473c348ba67aac09f6c5902335b89939887241045bbf8f26e448962f7e79c6) [3f0d434d47fce6159bd470fcec411594b24e8bfab5604648eda3dd44d230f0e8](https://www.virustotal.com/gui/file/3f0d434d47fce6159bd470fcec411594b24e8bfab5604648eda3dd44d230f0e8) [6c5eb6f8e1c765afdfb3b2fc503cc3e89b8daff3781666681c0ba09e59b815e4](https://www.virustotal.com/gui/file/6c5eb6f8e1c765afdfb3b2fc503cc3e89b8daff3781666681c0ba09e59b815e4) [337cd3fb7c89d3c7776f96b1f7957a724b9eb17b3c76f1798888eb9b50e828e6](https://www.virustotal.com/gui/file/337cd3fb7c89d3c7776f96b1f7957a724b9eb17b3c76f1798888eb9b50e828e6) [c5cb8a6fb326cbafc7dc115131f0ec805341916953155c24a246758e92db12e4](https://www.virustotal.com/gui/file/c5cb8a6fb326cbafc7dc115131f0ec805341916953155c24a246758e92db12e4) [3ed8f2a66c5ad7c9b30ad2053dc213ae9ab49b93d9212f59755b27fa9904f324](https://www.virustotal.com/gui/file/3ed8f2a66c5ad7c9b30ad2053dc213ae9ab49b93d9212f59755b27fa9904f324) [7a377eb28ee152337bf10cc14628f183e28b2e572c82a1b46bce450c85fe74d6](https://www.virustotal.com/gui/file/7a377eb28ee152337bf10cc14628f183e28b2e572c82a1b46bce450c85fe74d6) [b37c3e7a661bffb9f6b29d7580d2adf553c8660eb6a9ff6609b46d2e0de29935](https://www.virustotal.com/gui/file/b37c3e7a661bffb9f6b29d7580d2adf553c8660eb6a9ff6609b46d2e0de29935) [193372a6ffd6f71e0dfad70bd05c089edbf14df47036c5a130d12cb28aacc892](https://www.virustotal.com/gui/file/193372a6ffd6f71e0dfad70bd05c089edbf14df47036c5a130d12cb28aacc892) [3c8a857832e3291126bb6ecf2f00572d0606071b3f217fda48d1b796a8ef362a](https://www.virustotal.com/gui/file/3c8a857832e3291126bb6ecf2f00572d0606071b3f217fda48d1b796a8ef362a) [3de3ad2557e10f82511513d261fc824bcaa7b316ea22c0ac517a3893a968442f](https://www.virustotal.com/gui/file/3de3ad2557e10f82511513d261fc824bcaa7b316ea22c0ac517a3893a968442f) [effd2162bb4c2db7210ec49092ed2c57fb60b6c7c71fcda1c270483d7355d129](https://www.virustotal.com/gui/file/effd2162bb4c2db7210ec49092ed2c57fb60b6c7c71fcda1c270483d7355d129) [81c58ba428dbe339cc079336c96caad1eeda0c0638bacf9ea849f72b018c3a30](https://www.virustotal.com/gui/file/81c58ba428dbe339cc079336c96caad1eeda0c0638bacf9ea849f72b018c3a30) [1a8165cfa4a6abf8e5afc57a55d7a49cbb1d75cd24aa9b717498db4b79f6a53c](https://www.virustotal.com/gui/file/1a8165cfa4a6abf8e5afc57a55d7a49cbb1d75cd24aa9b717498db4b79f6a53c) [eb6eb6a9aa93b2220d385153e36741ded84aca845e3893587d4d05d644411a87](https://www.virustotal.com/gui/file/eb6eb6a9aa93b2220d385153e36741ded84aca845e3893587d4d05d644411a87) [2ac9f96343d1d68669e319860c7456f30fbdd0407e608db6900bc2a0f7d74e9a](https://www.virustotal.com/gui/file/2ac9f96343d1d68669e319860c7456f30fbdd0407e608db6900bc2a0f7d74e9a) [3ad253eea5d9f5aa29f4cf64353bb79cf3f2140f6de22b9313460015e152edfa](https://www.virustotal.com/gui/file/3ad253eea5d9f5aa29f4cf64353bb79cf3f2140f6de22b9313460015e152edfa) [e4e5eda69dab8451a98390eebcf7cb098d226e214f091ade7c5bac75f16d4f33](https://www.virustotal.com/gui/file/e4e5eda69dab8451a98390eebcf7cb098d226e214f091ade7c5bac75f16d4f33) [5f09d4b86ae26e49162d3284f2aae4761eede20f275a804b73452eb29cc6273f](https://www.virustotal.com/gui/file/5f09d4b86ae26e49162d3284f2aae4761eede20f275a804b73452eb29cc6273f) [962bac7bb572b215e603a374166cc7f377f99c9c4273364216d86343bd003965](https://www.virustotal.com/gui/file/962bac7bb572b215e603a374166cc7f377f99c9c4273364216d86343bd003965) [d410ede2519348e5e71e1bcef5df8f477e44a457903fe41c29c41c5d8d1398c3](https://www.virustotal.com/gui/file/d410ede2519348e5e71e1bcef5df8f477e44a457903fe41c29c41c5d8d1398c3) [a4fe1db085801e1a5de559f231793c167aee202ff921f5defa0a804c53b9f80e](https://www.virustotal.com/gui/file/a4fe1db085801e1a5de559f231793c167aee202ff921f5defa0a804c53b9f80e) [9efa4efdc5e80d4562f6c943c86950be3cbff75862bfccaddc0140080d271617](https://www.virustotal.com/gui/file/9efa4efdc5e80d4562f6c943c86950be3cbff75862bfccaddc0140080d271617) [38b45cc229a2d6ab8f401162230cd7425e0e9eebac03fe99fdd65130070cb68e](https://www.virustotal.com/gui/file/38b45cc229a2d6ab8f401162230cd7425e0e9eebac03fe99fdd65130070cb68e) [0958d9dbeccc5ca72e7821ddce9e34209e390c15e94fb6ca412666a31c44b416](https://www.virustotal.com/gui/file/0958d9dbeccc5ca72e7821ddce9e34209e390c15e94fb6ca412666a31c44b416) [70bf8c8ac0d7d9716c3d78038455ff35e94d617c55605f5edcc4ed824dc57fb4](https://www.virustotal.com/gui/file/70bf8c8ac0d7d9716c3d78038455ff35e94d617c55605f5edcc4ed824dc57fb4) [fa526ca5cf6a35e6f2d1cd9c1f2166d2b3621666c204009d4739d6e4613e0174](https://www.virustotal.com/gui/file/fa526ca5cf6a35e6f2d1cd9c1f2166d2b3621666c204009d4739d6e4613e0174) [239d009203c26cc7142ae50064a85a4acbab8fce738333ff912810604340c119](https://www.virustotal.com/gui/file/239d009203c26cc7142ae50064a85a4acbab8fce738333ff912810604340c119) [b7b4d0657ca3cbe74621a7a053c1957db847e688204467ad872529f0ed2897c2](https://www.virustotal.com/gui/file/b7b4d0657ca3cbe74621a7a053c1957db847e688204467ad872529f0ed2897c2) [b3bf27c2c2919aadc41312dcce3795f88dd716b665eae70a45134b99da918afb](https://www.virustotal.com/gui/file/b3bf27c2c2919aadc41312dcce3795f88dd716b665eae70a45134b99da918afb) [737017e3ede8680e1a5c50942d30ccb12149e536566e76f75c547dafb26ae15c](https://www.virustotal.com/gui/file/737017e3ede8680e1a5c50942d30ccb12149e536566e76f75c547dafb26ae15c) [e47ba6efdf931fda5fface7003fc4b483d946cffa7a09d84121022e708c4f07c](https://www.virustotal.com/gui/file/e47ba6efdf931fda5fface7003fc4b483d946cffa7a09d84121022e708c4f07c) [ffcb639fb16ab011897e12422a81dfdd1ea2093fb35c6ff56c712c39264967f6](https://www.virustotal.com/gui/file/ffcb639fb16ab011897e12422a81dfdd1ea2093fb35c6ff56c712c39264967f6) [ea01c816c8df75bd118ea2b849f17ac7658dd95bbe4a8f05eb4ec691c73ce3b1](https://www.virustotal.com/gui/file/ea01c816c8df75bd118ea2b849f17ac7658dd95bbe4a8f05eb4ec691c73ce3b1) [e8494f672d276084d5fadba6a0e7c296db1055f513e127629a45ef3b3c9d863a](https://www.virustotal.com/gui/file/e8494f672d276084d5fadba6a0e7c296db1055f513e127629a45ef3b3c9d863a) [a61c395b0fca05b2bda21194c96f17110a77173b22a954efe2f59825f1ed238b](https://www.virustotal.com/gui/file/a61c395b0fca05b2bda21194c96f17110a77173b22a954efe2f59825f1ed238b) [c3319a8863d5e2dc525dfe6669c5b720fc42c96a8dce3bd7f6a0072569933303](https://www.virustotal.com/gui/file/c3319a8863d5e2dc525dfe6669c5b720fc42c96a8dce3bd7f6a0072569933303) [5673ad3287bcc0c8746ab6cab6b5e1b60160f07c7b16c018efa56bffd44b37aa](https://www.virustotal.com/gui/file/5673ad3287bcc0c8746ab6cab6b5e1b60160f07c7b16c018efa56bffd44b37aa) [f3208ae62655435186e560378db58e133a68aa6107948e2a8ec30682983aa503](https://www.virustotal.com/gui/file/f3208ae62655435186e560378db58e133a68aa6107948e2a8ec30682983aa503) [4795d3a3e776baf485d284a9edcf1beef29da42cad8e8261a83e86d35b25cafe](https://www.virustotal.com/gui/file/4795d3a3e776baf485d284a9edcf1beef29da42cad8e8261a83e86d35b25cafe) [cf23f7b98abddf1b36552b55f874ae1e2199768d7cefb0188af9ee0d9a698107](https://www.virustotal.com/gui/file/cf23f7b98abddf1b36552b55f874ae1e2199768d7cefb0188af9ee0d9a698107) [b5311cadc0bbd2f47549f7fc0895848adb20cc016387cebcd1c29d784779240c](https://www.virustotal.com/gui/file/b5311cadc0bbd2f47549f7fc0895848adb20cc016387cebcd1c29d784779240c) [9bbbcb6eae33314b84f5e367f90e57f487d6abe72d6067adcb66eba896d7ce33](https://www.virustotal.com/gui/file/9bbbcb6eae33314b84f5e367f90e57f487d6abe72d6067adcb66eba896d7ce33) [10e6587a90efa843012d32d7613c9a7089411c46ddca3e7f9855e5c32e5a418e](https://www.virustotal.com/gui/file/10e6587a90efa843012d32d7613c9a7089411c46ddca3e7f9855e5c32e5a418e) [6d4a53da259c3c8c0903b1345efcf2fa0d50bc10c3c010a34f86263de466f5a1](https://www.virustotal.com/gui/file/6d4a53da259c3c8c0903b1345efcf2fa0d50bc10c3c010a34f86263de466f5a1) [829bc0d5c92591ddecdf672f506c5c0b2e1433acde354953fad07ff2b8666de1](https://www.virustotal.com/gui/file/829bc0d5c92591ddecdf672f506c5c0b2e1433acde354953fad07ff2b8666de1) [609edc93e075223c5dc8caaf076bf4e28f81c5c6e4db0eb6f502dda91500aab4](https://www.virustotal.com/gui/file/609edc93e075223c5dc8caaf076bf4e28f81c5c6e4db0eb6f502dda91500aab4) [0c9ecc1da02c0eb656fad6b29f0beaaaa8e2186700f9c63d2303e5c347c0986a](https://www.virustotal.com/gui/file/0c9ecc1da02c0eb656fad6b29f0beaaaa8e2186700f9c63d2303e5c347c0986a) [4cfeab122e0a748c8600ccd14a186292f27a93b5ba74c58dfee838fe28765061](https://www.virustotal.com/gui/file/4cfeab122e0a748c8600ccd14a186292f27a93b5ba74c58dfee838fe28765061) [b3e8ab81d0a559a373c3fe2ae7c3c99718503411cc13b17cffd1eee2544a787b](https://www.virustotal.com/gui/file/b3e8ab81d0a559a373c3fe2ae7c3c99718503411cc13b17cffd1eee2544a787b) [8e458df6ff36780bbb2a644906221149831b297350e019b008526e0558e32da0](https://www.virustotal.com/gui/file/8e458df6ff36780bbb2a644906221149831b297350e019b008526e0558e32da0) [2aae8e206dd068135b16ff87dfbb816053fc247a222aad0d34c9227e6ecf7b5b](https://www.virustotal.com/gui/file/2aae8e206dd068135b16ff87dfbb816053fc247a222aad0d34c9227e6ecf7b5b) [cb035f440f728395cc4237e1ac52114641dc25619705b605713ecefb6fd9e563](https://www.virustotal.com/gui/file/cb035f440f728395cc4237e1ac52114641dc25619705b605713ecefb6fd9e563) [60e87c0fe7c3904935bb1604bdb0b0fc0f2919db64f72666b77405c2c1e46067](https://www.virustotal.com/gui/file/60e87c0fe7c3904935bb1604bdb0b0fc0f2919db64f72666b77405c2c1e46067) [1e18a1e6268178552c7d1e557299149c7524747ab0fa477eddd1a34ed02de2aa](https://www.virustotal.com/gui/file/1e18a1e6268178552c7d1e557299149c7524747ab0fa477eddd1a34ed02de2aa) [0a7f6b4a0d5459a9c4078c134e78e35744f2021e92363a4e39374f2eb4f94744](https://www.virustotal.com/gui/file/0a7f6b4a0d5459a9c4078c134e78e35744f2021e92363a4e39374f2eb4f94744) ### Pakete [bf596502f05062d156f40322bdbe9033b28df967ce694832a78482b47dcdd967](https://www.virustotal.com/gui/file/bf596502f05062d156f40322bdbe9033b28df967ce694832a78482b47dcdd967) [53cad386b6af155952380eb8050eebef368836bcb035dffe2ca8a58ae22c055c](https://www.virustotal.com/gui/file/53cad386b6af155952380eb8050eebef368836bcb035dffe2ca8a58ae22c055c) [5576f8e746f206f9a682b9bbb4a623c72b60892c96979fbe2ffab3b32d6aea7e](https://www.virustotal.com/gui/file/5576f8e746f206f9a682b9bbb4a623c72b60892c96979fbe2ffab3b32d6aea7e) [bb20c46a817a7c0cdffb513ec4d14bd2026ea70b8f1a0ec07bb699cd0d70a29a](https://www.virustotal.com/gui/file/bb20c46a817a7c0cdffb513ec4d14bd2026ea70b8f1a0ec07bb699cd0d70a29a) ### Payloads [0e5a768a611a4d0ed7cb984b2ee790ad419c6ce0be68c341a2d4f64c531d8122](https://www.virustotal.com/gui/file/0e5a768a611a4d0ed7cb984b2ee790ad419c6ce0be68c341a2d4f64c531d8122) [b04ea3c83515c3daf2de76c18e72cb87c0772746ec7369acce8212891d0d8997](https://www.virustotal.com/gui/file/b04ea3c83515c3daf2de76c18e72cb87c0772746ec7369acce8212891d0d8997) [ad1d1b6fea71c28a555341f8591c59272b0509df9b2c75519a813066c3053ff6](https://www.virustotal.com/gui/file/ad1d1b6fea71c28a555341f8591c59272b0509df9b2c75519a813066c3053ff6) [9e6aa602427a41bcf12c5ffa022941a6eb1d51be71e36ecebd714e6c9e9ab51e](https://www.virustotal.com/gui/file/9e6aa602427a41bcf12c5ffa022941a6eb1d51be71e36ecebd714e6c9e9ab51e) [3150ef6e48e403c8667aea84bfa1585878df68c0cea1925edcc2a745759b119e](https://www.virustotal.com/gui/file/3150ef6e48e403c8667aea84bfa1585878df68c0cea1925edcc2a745759b119e) [17ac16f1cd25ea3b31b2a89b193d51c7b1959d48cb72364eb05081d806178f1d](https://www.virustotal.com/gui/file/17ac16f1cd25ea3b31b2a89b193d51c7b1959d48cb72364eb05081d806178f1d) [1b3c1501b3fbcd0a4fbcb1f8bbc21a34f89232aa1e794dc2821cc92eee4ce44c](https://www.virustotal.com/gui/file/1b3c1501b3fbcd0a4fbcb1f8bbc21a34f89232aa1e794dc2821cc92eee4ce44c) [721df71a5491d481044c149d24e19ca6dbce34baf6ad98fe4f4cc66af0d1826b](https://www.virustotal.com/gui/file/721df71a5491d481044c149d24e19ca6dbce34baf6ad98fe4f4cc66af0d1826b) [f847d48b3007ab27c5b3207d41cb36a7f5b15f2192d1bbb7cec58f371fdce685](https://www.virustotal.com/gui/file/f847d48b3007ab27c5b3207d41cb36a7f5b15f2192d1bbb7cec58f371fdce685) [c5399f7e0adefb814ae8b921273f96c612e20fc66dd9d3048749a2ee9e39850e](https://www.virustotal.com/gui/file/c5399f7e0adefb814ae8b921273f96c612e20fc66dd9d3048749a2ee9e39850e) [2bbc6b9dd5e6d0327250b32305be20c89b19b56d33a096522ee33f22d8c82ff1](https://www.virustotal.com/gui/file/2bbc6b9dd5e6d0327250b32305be20c89b19b56d33a096522ee33f22d8c82ff1) [30aa90270ca9f04c554b2a6e17d22b49e5e3f6fb526e133fd35364b08784925d](https://www.virustotal.com/gui/file/30aa90270ca9f04c554b2a6e17d22b49e5e3f6fb526e133fd35364b08784925d) [906c7cf78cff18b7d43c4137937a75b3be41eaf654e835afb473168b7ed24f2d](https://www.virustotal.com/gui/file/906c7cf78cff18b7d43c4137937a75b3be41eaf654e835afb473168b7ed24f2d) [5201e12cfdbeb48488599eefc84e9bafd9feabf208da15b3c25c56243de1eba7](https://www.virustotal.com/gui/file/5201e12cfdbeb48488599eefc84e9bafd9feabf208da15b3c25c56243de1eba7) [e407403a0ab5fcd89fa7bafb82de1d6261b9260398122d105cd1a97f4258ac1f](https://www.virustotal.com/gui/file/e407403a0ab5fcd89fa7bafb82de1d6261b9260398122d105cd1a97f4258ac1f) [92706a73c54332b33f845adb4ed8f0e2fbbb6cba0cae53a0e695257621ba269e](https://www.virustotal.com/gui/file/92706a73c54332b33f845adb4ed8f0e2fbbb6cba0cae53a0e695257621ba269e) [1af14cc00b1044636f6623f5f26343dfef3003f1c2a0181c995a573eae832c7a](https://www.virustotal.com/gui/file/1af14cc00b1044636f6623f5f26343dfef3003f1c2a0181c995a573eae832c7a) [0b188c53a446ce7b8acbc58d4e0b02ba4b87ece9c9b9bb14bf10e8d9c34d26cd](https://www.virustotal.com/gui/file/0b188c53a446ce7b8acbc58d4e0b02ba4b87ece9c9b9bb14bf10e8d9c34d26cd) [0c4eb3c0537182c4cd5281f08559534b2eb44ae20b91867c115b9fc404c1b425](https://www.virustotal.com/gui/file/0c4eb3c0537182c4cd5281f08559534b2eb44ae20b91867c115b9fc404c1b425) [11cdb65e5b007e249a51a7410da0653ec6c6b28f68b33e1de88ac3989dd745d6](https://www.virustotal.com/gui/file/11cdb65e5b007e249a51a7410da0653ec6c6b28f68b33e1de88ac3989dd745d6) ### YARA rule **crimeware_shadow_vector_svg** { **meta:** description = "Detects malicious SVG files associated with Shadow Vector's Colombian campaign" author = "Acronis TRU" date = "2025-06-06" file_type = "SVG" malware_family = "Shadow Vector" threat_category = "Crimeware / Malicious Image / Embedded Payload" tlp = "TLP:CLEAR" **strings:** $svg_tag1 = "