--- title: "Bedrohungsakteure setzen auf Gaming: Getarnte Stealer auf Basis des Electron-Frameworks" description: Die Acronis Threat Research Unit (TRU) hat eine neue Malware-Kampagne aufgedeckt, an der Leet Stealer, RMC Stealer (eine modifizierte Version von Leet Stealer) und Sniffer Stealer beteiligt sind. canonical_url: https://www.acronis.com/de/tru/posts/threat-actors-go-gaming-electron-based-stealers-in-disguise/ locale: de last_updated: 2026-10-27 --- * [Startseite](https://www.acronis.com/de/tru/) * [Beiträge](https://www.acronis.com/de/tru/posts/) * [Acronis Threat Research Unit](https://www.acronis.com/de/tru/authors/acronis-threat-research-unit/) 29. Juli 2025 # Bedrohungsakteure setzen auf Gaming: Getarnte Stealer auf Basis des Electron-Frameworks Die Acronis Threat Research Unit (TRU) hat eine neue Malware-Kampagne aufgedeckt, an der Leet Stealer, RMC Stealer (eine modifizierte Version von Leet Stealer) und Sniffer Stealer beteiligt sind. Autor: **[Acronis Threat Research Unit](https://www.acronis.com/de/tru/authors/acronis-threat-research-unit/)** [English](https://www.acronis.com/en/tru/posts/threat-actors-go-gaming-electron-based-stealers-in-disguise/) [Español](https://www.acronis.com/es/tru/posts/threat-actors-go-gaming-electron-based-stealers-in-disguise/) [Français](https://www.acronis.com/fr/tru/posts/threat-actors-go-gaming-electron-based-stealers-in-disguise/) [Italiano](https://www.acronis.com/it/tru/posts/threat-actors-go-gaming-electron-based-stealers-in-disguise/) [日本語](https://www.acronis.com/ja/tru/posts/threat-actors-go-gaming-electron-based-stealers-in-disguise/) [Português](https://www.acronis.com/pt/tru/posts/threat-actors-go-gaming-electron-based-stealers-in-disguise/) **Autoren: Jozsef Gegeny, Ilia Dafchev** ## Zusammenfassung * Die Acronis Threat Research Abteilung (TRU) hat eine neue Malware-Kampagne aufgedeckt, die Leet Stealer, RMC Stealer (eine modifizierte Version von Leet Stealer) und Sniffer Stealer einsetzt. * Diese Kampagnen kombinieren Social Engineering, den Hype um Spiele und gestohlene Branding-Assets, um Opfer dazu zu verleiten, Malware zu installieren, die als Indie-Spiele wie Baruda Quest, Warstorm Fire und Dire Talon getarnt ist. * Die gefälschten Spiele werden über betrügerische Websites und gefälschte YouTube-Channels beworben und hauptsächlich über Discord verbreitet. Wir haben das Open-Source-Tool [urlscan.io](https://urlscan.io/) verwendet, um Screenshots von gefälschten Websites abzurufen, auf die zum Zeitpunkt der Untersuchung kein Zugriff mehr möglich war. Sobald sie installiert sind, werden Infostealer bereitgestellt, die Browser-Daten, Anmeldedaten und Discord-Token sammeln können. * Die Auswirkungen können für die jeweiligen Betroffenen schwerwiegend sein. Die Angreifer können sich als Opfer ausgeben, um Malware zu verbreiten, andere zu betrügen oder sogar Geld dafür zu verlangen, dass sie den Zugriff wieder freigeben (Erpressung). Sensible Daten wie Browser-Anmeldedaten, Zahlungsinformationen, private Nachrichten und Kryptowährungs-Wallets können ebenfalls kompromittiert werden. Die Opfer erleiden oft den Verlust ihres Kontos, finanzielle Schäden und emotionale Belastungen. * Eine detaillierte technische Aufgliederung von RMC Stealer wird ebenfalls vorgestellt, die durch einen operativen Fehler ermöglicht wurde, bei dem der Angreifer den ursprünglichen, nicht verschleierten Quellcode im Malware-Paket eingebettet ließ. ## Einleitung Mit der Weiterentwicklung von Malware-Bedrohungen hat sich ein bemerkenswerter Trend herausgebildet: Immer mehr schädliche Programme werden über Discord verbreitet, insbesondere solche, die mit dem sogenannten Electron-Framework erstellt wurden. Für diejenigen, die damit nicht vertraut sind: **Discord** ist eine kostenlose, plattformübergreifende Kommunikationsplattform, die bei Gamern, Entwicklern, Communities und Freundeskreisen beliebt ist. Es unterstützt sprach-, video- und textbasierte Chats und wird häufig für den Echtzeit-Austausch von Inhalten genutzt. Das **Electron-Framework** ist außerhalb von Entwicklerkreisen weniger bekannt. Es handelt sich dabei um ein Open-Source-Tool, mit dem Entwickler plattformübergreifende Desktop-Applikationen mithilfe von JavaScript, HTML und CSS erstellen können. Electron kombiniert Node.js (eine plattformübergreifende, Open-Source-JavaScript-Laufzeitumgebung) für die Backend-Funktionalität und Chromium zum Rendern der Benutzeroberfläche. Es ist die Grundlage für viele weit verbreitete Applikationen, darunter Visual Studio Code, Spotify, Slack, Discord und bestimmte Versionen von Skype und Microsoft Teams. In diesem Artikel untersuchen wir aktuelle Stealer-Kampagnen, die auf dem Electron-Framework aufbauen, und stellen die von uns dabei festgestellten Techniken und Verbreitungsmethoden vor. Im Speziellen haben wir Kampagnen-Beispiele mit **Leet Stealer, RMC Stealer (eine modifizierte Version von Leet Stealer) und Sniffer Stealer** untersucht. Unsere Untersuchungen haben ergeben, dass viele Electron-basierte Stealer ihren Ursprung bei **Fewer Stealer** haben, das offenbar ein grundlegendes Werkzeug innerhalb dieser Malware-Familie ist. Die folgende Abstammungskarte zeigt die Entwicklung mehrerer bekannter Stealer und verdeutlicht, wie die Bedrohungsakteur:innen iterativ auf früheren Codebasen aufgebaut haben: ![Image 1: Abbildung 1: Auf Fewer Stealer rückverfolgte Stealer](https://staticfiles.acronis.com/images/content/b0637744469b1801a285846082105b90.png) Abbildung 1: Auf Fewer Stealer rückverfolgte Stealer **Leet Stealer** trat erstmals Ende 2024 in Erscheinung. Er wurde im November auf Telegram angekündigt und verfügt über folgende Funktionen: ![Image 2: Abbildung 2: Funktionen von Leet Stealer](https://staticfiles.acronis.com/images/content/d404ed52346f3be6b38bfc27bc504e5b.png) Abbildung 2: Funktionen von Leet Stealer Es wurde als Malware-as-a-Service (MaaS) vermarktet und schnell wurden gestaffelte Abonnementmodelle angeboten: ein Starter-Paket zum Preis von 30 US-Dollar pro Monat und ein umfangreicheres Advanced-Paket für 40 US-Dollar pro Monat. Trotz seiner relativ geringen Präsenz (der entsprechende Telegram-Kanal hatte Anfang 2025 nur 387 Abonnenten) sollte Leet Stealer nicht unterschätzt werden. Die Anzahl der Follower mag zwar gering erscheinen, ist aber dennoch bedeutend genug, um Beachtung zu finden, insbesondere angesichts der aktiven Entwicklung und der Vertriebsaktivitäten. Im April 2025 wurde der **Quellcode** von Leet Stealer zum Verkauf angeboten, zusammen mit einem anderen Stealer, der als Hexon Stealer bekannt wurde. Dies deutet auf eine mögliche operative Überschneidung oder gemeinsame Autorenschaft hin: ![Image 3: Abbildung 3: Der zum Verkauf angebotene Quellcode](https://staticfiles.acronis.com/images/content/35d68b45ff8f826ba003f5d1b4c461e7.png) Abbildung 3: Der zum Verkauf angebotene Quellcode Der/die Entwickler:in von Leet Stealer hat erklärt, dass Sonderwünsche zum Erstellen individueller Stealer berücksichtigt werden. Wir glauben, dass auch **RMC Stealer** auf diese Weise entstanden ist, nämlich als modifizierte Kopie von Leet Stealer, was zwischenzeitlich durch einen Code-Vergleich bestätigt wurde. ![Image 4: Abbildung 4: Rebranding](https://staticfiles.acronis.com/images/content/3273e67c46407c5d1d4c734d23ebbd82.png) Abbildung 4: Rebranding Und in dieser Abbildung sehen wir, dass der/die Entwickler:in außerdem ein neues Projekt namens **Mave Stealer** gestartet hat, das wahrscheinlich ebenfalls auf dem Quellcode von Leet Stealer basiert. Im Gegensatz dazu sticht **Sniffer Stealer** als Ausreißer hervor. Bisher konnten wir keine verwandten Forks, Klone oder Code-Linien identifizieren, die eine Verbindung zu anderen bekannten Familien aufweisen. Daher gehen wir in dieser Phase davon aus, dass Sniffer Stealer eigenständig und von Grund auf neu entwickelt wurde. Diese Einschätzung kann sich jedoch ändern, wenn mehr Daten vorliegen. ## Kampagnen-Details Im Abschnitt Kompromittierungsindikatoren (IOC) haben wir einige Sets von Stealer-Samples aufgelistet, die wir in den letzten zwei Monaten gesammelt haben. Aus den Namen der Samples lässt sich ein klares Muster erkennen: Die meisten tarnen sich als Installer für Indie-Spiele, geben oft eine Verbindung zu Steam an oder haben Namen, die wie Titel von Spielen klingen: ![Image 5: Bedrohungsakteure setzen auf Gaming: Getarnte Stealer auf Basis des Electron-Frameworks](https://staticfiles.acronis.com/images/content/8614a9e2db8427cd1125954eeef06446.png) Spiele wie Catly, Eden und Rooted sind auf Steam gelistet, aber ihre Veröffentlichungstermine wurden noch nicht bekanntgegeben. Einige davon werden möglicherweise über das **Early Access**-Programm von Steam verfügbar sein, bei dem Gamer:innen Spiele ausprobieren können, bevor diese offiziell fertiggestellt sind. Aus diesem Grund klingt die Idee eines „Beta-Installers“ für viele Gamer:innen glaubwürdig und spannend, insbesondere für diejenigen, die gerne neue Indie-Spiele ausprobieren. Die Cyberkriminellen nutzen dies aus, indem sie **gefälschte Spiel-Installer** erstellen, die jedoch Malware enthalten, und diese auf Plattformen wie Discord verbreiten, wo häufig Links zu Spielen geteilt werden. Die folgenden Abschnitte präsentieren eine Auswahl von gefälschten Spielbeispielen, die in den letzten zwei Monaten beobachtet wurden. ### Gefälschtes Spiel Nr. 1: Baruda Quest Um diese gefälschten Spiele noch überzeugender zu machen, gehen die Angreifer:innen oft noch einen Schritt weiter und erstellen spezielle Websites und sogar YouTube-Channels, um die Spiele zu bewerben. Ein Paradebeispiel dafür ist **Baruda Quest**. **Gefälschter YouTube-Channel:**hxxps://www[.]youtube[.]com/watch?v=N3OTRiidWUQ ![Image 6: Abbildung 5: Werbevideo](https://staticfiles.acronis.com/images/content/c210bf92601c0370d3d947e169054dfe.png) Abbildung 5: Werbevideo ![Image 7: Abbildung 6: Gefälschte Website (hxxps://www[.]barudaquest[.]com/)](https://staticfiles.acronis.com/images/content/5ce79f8a7aa25ee87f632cdd1574d0ce.png) Abbildung 6: Gefälschte Website (hxxps://www[.]barudaquest[.]com/) Über die Website wurden Download-Links für **Windows**, Android und macOS bereitgestellt. Jedoch enthielt nur die Windows-Version eine Malware (nämlich eine **RMC Stealer**-Variante). Über die beiden anderen Links wurden die Anwender:innen zum legitimen Virtual-World-Spiel [Club Cooee](https://en.clubcooee.com/) weitergeleitet, von dem die Angreifer:innen Grafiken und Markenzeichen gestohlen hatten, um „Baruda Quest“ authentisch erscheinen zu lassen. **Download-Button-Weiterleitung:**hxxps://cdn[.]discordapp[.]com/attachments/1308872370601070710/1353442772497072158/BarudaQuest[.]exe?ex=67e1ab4e&is=67e059ce&hm=63b73c6a74e2e31f6b439fec1c4094a6fd76a894db328effab4ac8ef603e75ad& ### Gefälschtes Spiel Nr. 2: Warstorm Fire Die Standardsprache der **Warstorm Fire**-Website war auf **Portugiesisch** eingestellt, was auf eine wahrscheinliche Herkunft aus **Brasilien** hindeutet. Die Grafiken und das Branding des Spiels wurden direkt von dem legitimen Spiel [Crossfire: Sierra Squad](https://store.steampowered.com/app/1636030/Crossfire_Sierra_Squad/) kopiert. Nachfolgend finden Sie einen Snapshot der gefälschten Website, wie diese während ihrer aktiven Zeit aussah: ![Image 8: Abbildung 7: hxxps://warstormfire[.]com/](https://staticfiles.acronis.com/images/content/f7dc164e25ec6100d0e28f75d6d347d1.png) Abbildung 7: hxxps://warstormfire[.]com/ Download-Button-Weiterleitungen: Schädlicher Link #1: hxxps://warstormfire[.]com/download/warstormfire[.]rar Schädlicher Link #2: hxxps://warstormfire[.]com/download/WarstormfireSetup[.]rar Diese Setup-Dateien enthielten eine Sniffer Stealer-Variante. ### Gefälschtes Spiel #3: Dire Talon In diesem Fall haben die Angreifer:innen das Originalspiel [Project Feline](https://store.steampowered.com/app/2214460/Project_Feline/) verwendet und dieses unter der Bezeichnung Dire Talon als eigene Entwicklung ausgegeben. ![Image 9: Abbildung 8: hxxps://diretalon[.]com/](https://staticfiles.acronis.com/images/content/2f6b03f63e5f8f6d20929251f273dd51.png) Abbildung 8: hxxps://diretalon[.]com/ **Download-Link:** [](https://www.acronis.com/de/tru/posts/threat-actors-go-gaming-electron-based-stealers-in-disguise/)hxxps://www[.]dropbox[.]com/scl/fi/eg0bxaplyr87vbt7t46m8/DireTalon_1[.]2[.]8[.]rar?rlkey=6wl2es2khx4x0blyzq9wwxnqj&st=0s3igvro&dl=1 In diesem Fall hat der/die Akteur:in die heruntergeladene Datei mit dem Kennwort **„DT2025“** geschützt: ![Image 10: Abbildung 9: Kennwortgeschützter Download](https://staticfiles.acronis.com/images/content/69bc764a145c2d15e55429bc43bc9b24.png) Abbildung 9: Kennwortgeschützter Download Diese Installer-Datei hat auch eine Variante von **Sniffer Stealer** bereitgestellt. ### Gefälschtes Spiel Nr. 4: WarHeirs Ein weiteres Spiel, das per Rebranding eingesetzt wurde. Das Originalspiel lautet [The Braves](https://store.steampowered.com/app/2479830/The_Braves/). ![Image 11: Abbildung 10: hxxps://warheirs[.]com/](https://staticfiles.acronis.com/images/content/dc9af2f3f726c12a93d532a1c01f67b5.png) Abbildung 10: hxxps://warheirs[.]com/ **Schädlicher Download-Link:** hxxps://cdn[.]discordapp[.]com/attachments/1345333906966183958/1345335616187007017/Warheirs[.]rar?ex=67c42cee&is=67c2db6e&hm=bb404897fbc8b87eda9000e3845083f00713cea43fac17f0922fc2f098347eb4& Nach der Analyse mehrerer gefälschter Spiele-Samples haben wir festgestellt, dass keines davon tatsächliche Inhalte eines Spiels enthielt. Stattdessen setzt die Malware auf **Social Engineering** und lässt die Betroffenen glauben, dass während der Installation ein Fehler aufgetreten ist oder dass ihre Hardware einfach nicht den Systemanforderungen des Spiels entspricht. Bei mehreren der gefälschten Webseiten ist die Standardsprache auf **Portugiesisch** eingestellt, was mit unseren Beobachtungen in der Telemetrie von VirusTotal-Einreichungen übereinstimmt. Die höchste Anzahl an Samples kam aus **Brasilien**, dicht gefolgt von den **USA**. Dies deutet darauf hin, dass sich die Kampagne möglicherweise schnell über Sprach- und regionale Grenzen hinweg ausgebreitet hat: ![Image 12: Abbildung 11: Geografische Herkunft der Samples auf der Basis von VirusTotal-Einreichungsdaten](https://staticfiles.acronis.com/images/content/ec36070f8ade2896dd24e3afdf56405d.png) Abbildung 11: Geografische Herkunft der Samples auf der Basis von VirusTotal-Einreichungsdaten Obwohl die portugiesische Sprache darauf hindeutet, dass die Kampagne ihren Ursprung in Brasilien haben dürfte, zeigt das starke Aufkommen von Einreichungen aus den USA, dass die Malware wahrscheinlich weiter verbreitet worden ist (wahrscheinlich über globale Plattformen wie Discord). ## Technische Analyse In diesem Abschnitt geben wir einen technischen Überblick über den Aufbau dieser Electron-basierten Malware-Samples. Dazu verwenden wir aus einem einfachen Grund ein Sample aus der **Baruda Quest**-Kampagne: Der/die Entwickler:in hatte **versehentlich** den ursprünglichen, unverschlüsselten Quellcode in das Paket integriert. Das hat uns die Mühe erspart, uns durch mehrschichtige Verschleierungsmechanismen durcharbeiten zu müssen. Außerdem konnten wir so direkt nachvollziehen, wie diese Stealer funktionieren. ### NSIS **BarudaQuest.exe** ist eine 80 MB große Ausführungsdatei, die auf [VirusTotal](https://www.virustotal.com/gui/file/813e5923e6d4df56055f5b5200db2e074e89f64dea3099e61fbde78c0fc23597) über zwei Monate lang weitestgehend unentdeckt blieb. Lediglich zwei von 71 Antivirus-Spezialisten haben sie als schädlich eingestuft. Diese niedrige Erkennungsrate dürfte auf eine Kombination verschiedener Faktoren zurückzuführen sein: die Größe der Datei, die Verwendung des Electron-Frameworks (in dem eine gesamte Laufzeitumgebung enthalten ist) und eine starke JavaScript-Verschleierung, durch die schädliches Verhalten schwerer zu analysieren ist. Darüber hinaus wurde die Ausführungsdatei mit dem Installer „Nullsoft“ (auch als **NSIS** bekannt) gebündelt und kann Hunderte von Dateien enthalten. Glücklicherweise gibt es nur eine Datei, die uns besonders interessierte: **app.asar**. Diese Datei enthält den schädlichen JavaScript-Code. Zum Entpacken der .asar-Datei haben wir 7-Zip verwendet, welches auch das Extrahieren von Dateien aus NSIS-Installern unterstützt. ![Image 13: Abbildung 12: 7-Zip kann NSIS-Dateien extrahieren](https://staticfiles.acronis.com/images/content/ef616dd946584879884047cb4f546017.png) Abbildung 12: 7-Zip kann NSIS-Dateien extrahieren ### ASAR-Archiv Die eingebettete Datei „app.asar“ ist etwa 8,5 MB groß, was zwar recht viel ist, aber immer noch als akzeptabel gilt. Als Nächstes haben wir geprüft, ob wir das noch weiter aufschlüsseln konnten. Ein ASAR-Archiv beginnt mit einem kurzen binären Header von 16 Byte, gefolgt von einem JSON-Header und den eigentlichen eingebetteten Dateien. Über den Binär-Header konnten wir die Größe des JSON-Headers ermitteln, die in diesem Fall 0x5a4ab (369835 Bytes) beträgt und im Little-Endian-Format codiert ist: ![Image 14: Abbildung 13: ASAR-Datei-Format](https://staticfiles.acronis.com/images/content/e2b230ee44890116b1c0e73f11162922.png) Abbildung 13: ASAR-Datei-Format Obwohl es möglich ist, ein benutzerdefiniertes Skript zu schreiben, um das ASAR-Archiv durch direktes Auslesen des JSON-Headers zu analysieren, gibt es einen viel einfacheren Weg. Durch die Installation von Node.js kann das ASAR-Utility zum Extrahieren des Archivs verwendet werden, wie [hier](https://stackoverflow.com/questions/38523617/how-to-unpack-an-asar-file) in der offiziellen Electron-Dokumentation beschrieben. Das ASAR-Archiv zeigt nach der Extraktion folgende Datei- und Verzeichnisstruktur: ![Image 15: Abbildung 14: Extrahierte Dateien](https://staticfiles.acronis.com/images/content/d72da8a355f96e57579782c9a34bb0b9.png) Abbildung 14: Extrahierte Dateien Die Datei **package.json** spezifiziert, wo das Hauptskript zu finden ist: ![Image 16: Abbildung 15: Inhalte der Datei package.json](https://staticfiles.acronis.com/images/content/739b80a5635949b30522f42447b6cf4e.png) Abbildung 15: Inhalte der Datei package.json ### Bytecode Loader Bei der Überprüfung des Verzeichnisses **/out/main** haben wir eine beunruhigende Entdeckung gemacht: Die Malware wurde in JavaScript-**Bytecode** kompiliert und wird von einer virtuellen Maschine innerhalb der **V8 JavaScript Engine** ausgeführt: ![Image 17: Abbildung 16: Bytecode Loader](https://staticfiles.acronis.com/images/content/0248788095aa3474895db3f05ad4bf13.png) Abbildung 16: Bytecode Loader ![Image 18: Abbildung 17: Kompiliertes Bytecode (index.jsc)](https://staticfiles.acronis.com/images/content/95123ef1f5fee226a408b842dbef4a3c.png) Abbildung 17: Kompiliertes Bytecode (index.jsc) Wenn keine alternativen Methoden verfügbar sind, muss der Code dekompiliert und analysiert werden. Glücklicherweise hat der/die Malware-Autor:in einen Fehler gemacht und den ursprünglichen Quellcode im ASAR-Archiv belassen: ![Image 19: Abbildung 18: Der ursprüngliche Quellcode](https://staticfiles.acronis.com/images/content/d781932869bc27024da3beded45b1508.png) Abbildung 18: Der ursprüngliche Quellcode Während dieses Versäumnis für die Angreifer:innen bedauerlich ist, erleichtert es den Forscher:innen die Arbeit erheblich, weil dadurch der Analyseprozess deutlich beschleunigt und wertvolle Zeit eingespart werden kann. ### Code-Analyse der Malware In diesem Abschnitt analysieren wir die Datei **rgg_original.js**, die eine modifizierte Version von Leet Stealer enthält, die als **RMC Stealer** bezeichnet wird. #### Sandbox-Erkennung Die Malware beginnt mit einer Sandbox-Erkennung, wobei Blocklisten mit bestimmten IP-Adressen, Host-Namen, Benutzer-Namen, GPUs, Betriebssystemen und ausgeführten Prozessen verwendet werden: ![Image 20: Abbildung 19: Sandbox-Erkennung](https://staticfiles.acronis.com/images/content/54b769070d9967db92fbf53fa6b90d68.png) Abbildung 19: Sandbox-Erkennung Um BIOS- und GPU-Details zu überprüfen, nutzt die Malware die Ausgabe des WMIC-Befehls: ![Image 21: Abbildung 20: WMIC-Ausführung](https://staticfiles.acronis.com/images/content/e3f3f3a6e5147e40e049b40de5fa6582.png) Abbildung 20: WMIC-Ausführung Zusätzlich wird eine abschließende Überprüfung der RAM-Größe des Systems durchgeführt. Wenn der verfügbare Arbeitsspeicher weniger als 2 GB beträgt, wird die Maschine als potenzielle Sandbox-Umgebung eingestuft: ![Image 22: Abbildung 22: Anzeige einer Fehlermeldung](https://staticfiles.acronis.com/images/content/233e973f16dbda2e548bd42dc0715e68.png) Abbildung 21: Überprüfung der RAM-Größe Wenn sie eine Sandbox erkennt, legt die Malware ein Skript namens **fakeError_[zufällige_Zeichen].vbs** an und führt dieses aus. Das Skript zeigt eine gefälschte Fehlermeldung an und verhindert so, dass das Sample in einer virtuellen Maschine ausgeführt wird: ![Image 23: Abbildung 22: Anzeige einer Fehlermeldung](https://staticfiles.acronis.com/images/content/233e973f16dbda2e548bd42dc0715e68.png) Abbildung 22: Anzeige einer Fehlermeldung Interessanterweise verwendet auch **Sniffer Stealer** gefälschte Fehlermeldungen. Im Gegensatz zu den Sandbox-Erkennungsfehlern von Leet / RMC Stealer sind diese Meldungen hier jedoch so gestaltet, dass sie gängige Probleme im Zusammenhang mit Spielen imitieren. Durch diese Taktik soll vermieden werden, dass die Opfer Verdacht schöpfen, indem diese davon überzeugt werden, dass das Game, das sie zu starten versuchten, entweder nicht richtig funktioniert oder nicht richtig installiert wurde. Beispiele für diese gefälschten Fehlermeldungen in Sniffer Stealer. Die Malware wählt zufällig eine davon aus und zeigt diese an: ![Image 24: Abbildung 23: Verschiedene gefälschte Fehlermeldungen](https://staticfiles.acronis.com/images/content/8c51d65ed26a3860d6e7971bcf4605ca.png) Abbildung 23: Verschiedene gefälschte Fehlermeldungen #### Browser-Datenexfiltration Wenn die Maschine die Sandbox-Erkennung erfolgreich durchlaufen hat, fährt die Malware damit fort, Daten aus den installierten Webbrowsern zu erfassen. Der Datenerfassungsprozess hat es auf Cookies, gespeicherte Kennwörter und Formulardaten abgesehen: ![Image 25: Abbildung 24: Erfassung von Browser-Daten](https://staticfiles.acronis.com/images/content/7f80a1242746ad1be2830a9c76e45b39.png) Abbildung 24: Erfassung von Browser-Daten Die Malware unterstützt alle gängigen Browser (wie Chrome, Edge, Brave, Opera, Vivaldi, Yandex und Chromium). Bemerkenswert ist, dass dabei eine ausgeklügelte Technik zum Einsatz kommt, bei der der Browser im **Debug-Modus** ausgeführt wird, sodass er an den Prozess angehängt werden kann und Cookies direkt aus der debuggten Instanz extrahiert werden können: ![Image 26: Abbildung 25: Ausnutzen des Debug-Modus](https://staticfiles.acronis.com/images/content/718a6a1457f9930553f749e034cc59a4.png) Abbildung 25: Ausnutzen des Debug-Modus Die gestohlenen Daten werden dann als **ZIP-Archiv** komprimiert und zunächst auf **gofile.io** hochgeladen, woraufhin eine Benachrichtigung an den Command-and-Control-Server (C2) gesendet wird: ![Image 27: Abbildung 26: Upload zu gofile.io](https://staticfiles.acronis.com/images/content/833b9dcf8cbb8f100d9476e000ead530.png) Abbildung 26: Upload zu gofile.io Sollte das Hochladen auf gofile.io fehlschlagen, versucht die Malware, die Daten über alternative File-Sharing-Dienste (wie **file.io, catbox.moe oder tmpfiles.org**) zu exfiltrieren. #### Discord und andere Die Malware richtet sich auch gegen **Discord** und kann diverse Daten aus den Konten der Betroffenen abgreifen: ![Image 28: Abbildung 27: Discord als Angriffsziel](https://staticfiles.acronis.com/images/content/778f4272d8d942b55cc323475a04e201.png) Abbildung 27: Discord als Angriffsziel Wir glauben, dass dies eine kritische Phase in der Funktionalität des Stealers darstellt, da Discord-Token als Anmeldedaten verwendet werden, die einen vollständigen Zugriff auf das Konto einer Person ermöglichen – ohne dass ein Benutzername oder ein Kennwort erforderlich ist. Mit einem gültigen Token können Angreifer:innen auf private Nachrichten, Freundeslisten, Server und andere vertrauliche personenbezogene Daten zugreifen. Darüber hinaus kann ein kompromittiertes Konto dazu missbraucht werden, schädliche Links oder Phishing-Nachrichten an die Kontakte des Opfers zu versenden, wodurch sich die Malware weiter verbreiten kann. Neben Discord werden auch noch mehrere andere Plattformen angegriffen, darunter: * Microsoft Steam * Growtopia * MineCraft * EpicGames * WhatsApp * Telegram * BetterDiscord (eine nicht offizielle Version von Discord) #### Installation weiterer Malware Die Malware ist außerdem in der Lage, weitere schädliche Payloads herunterzuladen und auszuführen: ![Image 29: Abbildung 28: Herunterladen und Ausführen anderer Dateien](https://staticfiles.acronis.com/images/content/330422d87a8ab02867d5149f3d282113.png) Abbildung 28: Herunterladen und Ausführen anderer Dateien Es war interessant zu beobachten, dass in anderen Varianten von Leet Stealer neben englischen auch portugiesische oder türkische Kommentare aufgetaucht sind. Dies spiegelt wider, wie der Quellcode von Hand zu Hand weitergereicht wurde, wobei er von einzelnen Personen im Laufe der Zeit modifiziert und verändert wurde. ![Image 30: Abbildung 29: Kommentare in türkischer und englischer Sprache](https://staticfiles.acronis.com/images/content/9cc935714af396b15ec58c1a300b8152.png) Abbildung 29: Kommentare in türkischer und englischer Sprache ![Image 31: Abbildung 30: Portugiesische Kommentare im Quellcode](https://staticfiles.acronis.com/images/content/817b2c00e1d96db73469a75177d93654.png) Abbildung 30: Portugiesische Kommentare im Quellcode ## Fazit Stealer, die als gefälschte Spiele und Setup-Dateien getarnt auftreten, zeigen, wie moderne Malware-Kampagnen sich über reine technische Tricks hinaus weiterentwickelt haben. Sie setzen nun stark auf Social Engineering, Rebranding und psychologische Tricks, um ihre Opfer zu täuschen. Indem die Angreifer:innen Malware als Spiele tarnen und diese Angriffe mit gefälschten Websites und Werbematerialien flankieren, verwischen sie die erkennbaren Grenze zwischen legitimen und manipulierten Inhalten. Social-Media-Plattformen (wie Discord) sind bei jüngeren, technikaffinen Zielgruppen beliebt und eignen sich daher hervorragend als Verbreitungskanäle, insbesondere wenn die Angreifer:innen mit den Namen bekannter Spiele operieren und/oder auf einen Early-Access-Hype setzen. ## Erkennung durch Acronis Acronis Cyber Platform (ehemals Acronis Cyber Protect Cloud) hat diese Bedrohung erkannt und blockiert: ![Image 32: Gemeldeter Vorfall](https://staticfiles.acronis.com/images/content/297b684a58772f6db24f9dbdf6dd2582.png) Gemeldeter Vorfall ## Kompromittierungsindikatoren (IOC) Samples Dateiname Stealer-Familie SHA256 babacan32 Setup 1.0.0.exe Leet 5c7c70ab9734838795050a91f08f1af9e3cb479caf20bd34944282e8ac455ea7 BarudaQuest.exe RMC 813e5923e6d4df56055f5b5200db2e074e89f64dea3099e61fbde78c0fc23597 BillieBust.exe Sniffer 567fb96e8b101abc45f2dfba470ea8a7298063f7428409d8b7e5c8f4326b6dc0 Brosxa 1.0.0.exe Leet b9adcf54b09475ed2023f5b3c03e23013e65195b4e8bfbb82c8c13fde194b2d4 CatlyBeta.exe Sniffer f0b43b49c420b08a7990ae8af937cc974700b8fa2bad2890f313f6b534069bcd ClientSetup1.0.exe Setup 1.0.0.exe Leet 576fbe574f31cf6adf15884a89c3c3c333714637cb513dbe8c788a2056047fa5 damnedbetter.exe Sniffer 150f7b4615a2e0e7d21a32e12e796fc009c1fe25f2efff889acf84924fef39e4 damnedbetter.exe Sniffer 321c7c999ecc5670207394f2f2d3cf4712b15f1f87c1b0ec05ed2367d922f1dc Denemeamacimiz Setup 1.0.0.exe Leet 82421012c689dfe36965d5c89bbeb4af3efb65556eb8df4bf5b863e261e28e8b Depthcan.exe Leet 798eee15a3e93ee0d261501df979dc3b61a9e5992188edeada5beaba0b30b8df DireTaloGaSetup.exe Sniffer 35ad1623694496ec91bc853b391c8bebdfa1aeaea2c4dcf74516e2cd13ab44f4 Dire Talon.exe Sniffer 58d8a8502e7e525795cd402c7d240b50efcdde449eab9ee382f132f690a1989c EdensGameInstall.exe Sniffer 8294f79f9ecf81a65cdc049db51a09cd352536d7993abd0cfa241bbbceefa6e3 emeraltfates.exe Sniffer b127202d13bd170c15c3733991d790bc5464e3d77965e9cf59172c7cf3881738 G16EmeralFATES.exe Sniffer ac6aaed5b02ae265382c666371b557bd4e3c8c8dc08a1640b5cd06c27ed1b1f2 HauntedBeta.exe Sniffer 53444e1c5d2ad49af46712b27da16de14447159d2752e2c303b5ded9afb5128a HauntedSetup.exe Sniffer e71e57ce90fc0d4816faf315991bd9e46dd45660d83be40dd4408c854e7b6d41 HauntedSetupX64.exe Sniffer 3d9064c9dc6ff391a563ce333301f8c4e2eded28192ef4448b09eb2e04ceb965 Jorosa Setup 1.0.0.exe Leet a07462af74cdccc1bba698aa5175923437d400c87e0b88601414630f7ee08f97 Lacrimos.exe Sniffer 1ca60801bed5f8a607afb7054536bdd7d56670c04d3836cdf0cd4e07d8f2edff Lesotia.exe Leet 8c83b52df8a9c9602e745decabfb8f2c754cb6d57780b50ff86908df2b69408f MixerFlow Setup.exe Leet 82beb169bd08d07b1167e3b6d3d22f8f4a6687e6d9d7277fc9e206598d5bd608 MulanaGame Setup.exe Leet c4b672e76dc870de0eec5e2d68441a07569d38cd4e12aef359be7b251eed57a6 PersistSetup (1).exe Sniffer 77aae85b96fedda4e9808c4376738cc058b79b13e705f4c101d32083e4c70601 RootedTheGame.exe Sniffer 09c3291425fe6858800e6a3a57b4a72cda5430f8fba87607a38b8e09da7a0e8c RootedTheGameSetup.exe Sniffer aa32d16626f200c7c7db186174b62cabc9790536a70cd360e92a05a00a4750b0 Salonca Setup 1.0.0.exe Leet 9411b71653f83190a139296d58737f3935bdd58c13142381e59a8d106184e15e slenderthreads.exe Sniffer d33dbba2f4e25148e2d9a59b1157d71d29ab5a30beeb5f0992b0d3f2859a90c2 Sokakcan.exe Leet a3636b09302a77ed7a6c75c5e679ba9ed0dbe12892f5fe94975ab3ef6be7ade8 SpectraLauncher.exe Sniffer cee750d6cb834b766a214b6609ed4eca62b0330a9904cf2f77b184a77e70f4d3 SteppulGame.exe Leet 6f441dc6a45fd6dac4fe19707c6338b8bca1aabfb7842d7ebf94fb2fab2f12d5 SumaleDepth Setup 1.0.0.exe Leet 051028c2acc74cb55f5a5e28c7ba1613fd4a13dcf5f6a6325557ae1b88900ee8 Terrnua Setup 1.0.0.exe Leet 767f575d30deb66244b29bafae51111fdb869ba26d1df902e3f839bdb64725f9 ## Literatur * [There’s a New Stealer Variant in Town, and It’s Using Electron to Stay Fully Undetected](https://www.mend.io/blog/theres-a-new-stealer-variant-in-town-and-its-using-electron-to-stay-fully-undetected/) * ["Try my game" DISCORD MALWARE | Reverse Engineering Leet Stealer, Electron Malware Used By HACKERS](https://www.youtube.com/watch?v=knu0DttZxxc) * [Hexon Stealer — The Long Journey of Copying Hiding and Rebranding](https://www.cyfirma.com/research/hexon-stealer-the-long-journey-of-copying-hiding-and-rebranding/) Verwandte Artikel [Acronis Cyberthreats Update, Juli 2026](https://www.acronis.com/de/tru/posts/acronis-cyberthreats-update-july-2026/) [Warum die meisten DR-Bereitstellungen einen echten Notfall möglicherweise nicht überstehen](https://www.acronis.com/de/tru/posts/why-most-dr-deployments-may-not-survive-a-real-disaster/) [Acronis Cyberthreats Update, April 2026](https://www.acronis.com/de/tru/posts/acronis-cyberthreats-update-april-2026/) [Acronis Cyberthreats Update, Juni 2026](https://www.acronis.com/de/tru/posts/acronis-cyberthreats-update-june-2026/)