Die Teams Microsoft Defender Experts und Microsoft Defender Security Research haben einen Bericht veröffentlicht über eine aktive Kryptojacking-Kampagne, in der Angreifer einen grundlegend neuen Delivery-Vektor nutzen – die Antworten von KI-Chatbots auf Nutzeranfragen zum Herunterladen von Software. Die Kampagne richtet sich gezielt gegen Systeme mit Hochleistungs-GPUs, um den Profit aus dem Mining zu maximieren, und sieht neben der finanziellen Motivation auch die Einrichtung eines dauerhaften Remotezugangs über ScreenConnect vor, was den Weg für Datendiebstahl, laterale Bewegung und den Einsatz von Ransomware ebnet. Microsoft gibt an, die mit dieser Kampagne verbundene Aktivität entdeckt und blockiert zu haben.
Evolution der Verteilung: von SEO poisoning zu KI-Chatbots
Ursprünglich stützte sich die Kampagne auf klassisches Vergiften der Suchergebnisse (SEO poisoning): Nutzer, die nach populären System-Utilities wie CrystalDiskInfo, HWMonitor, Display Driver Uninstaller, FurMark, K-Lite Codec Pack und PDFgear suchten, landeten auf bösartigen Websites, die Download-Seiten dieser Programme imitieren. Die Wahl genau dieser Utilities ist kein Zufall: Sie werden typischerweise mit Nutzern in Verbindung gebracht, die über leistungsstarke Hardware verfügen, was den Wert jedes kompromittierten Geräts für Mining erhöht.
Im April 2026 registrierte Microsoft jedoch einen qualitativen Sprung. Nutzer gelangten nicht mehr über Suchmaschinen, sondern über Interaktionen mit Tools auf Basis großer Sprachmodelle (LLM) auf die bösartigen Domains. Nach Angaben von Microsoft „erhielten Nutzer, die KI-Chatbots um Empfehlungen für Software-Downloads baten, in den generierten Antworten Links zu von Angreifern kontrollierten Domains“. Microsoft präzisiert, dass diese Schlussfolgerung auf beobachteten Mustern und korrelierten Datenquellen basiert und mit sich herausbildenden Techniken zur Vergiftung von Ergebnissen in KI-Suchfunktionen übereinstimmt – einer Erweiterung des traditionellen SEO poisoning über klassische Suchmaschinen hinaus.
Technische Angriffskette
Die Infrastruktur der Kampagne umfasst mehr als 150 bösartige Domains. Jede dieser Websites enthält eine Download-Schaltfläche, über die ein ZIP-Archiv von einem Subdomain von gleeze[.]com heruntergeladen wird, das auf Infrastruktur gehostet ist, die mit dem Dynamic-DNS-Provider Dynu in Verbindung steht.
DLL sideloading und Installation von ScreenConnect
Das heruntergeladene ZIP-Archiv enthält eine legitime ausführbare Datei und die bösartige Bibliothek autorun.dll, die beim Start des Hauptbinaries geladen wird (Technik DLL sideloading). Diese Bibliothek installiert eine zweite bösartige DLL – vcredist_x64.dll – über msiexec.exe. Die Datei ist ein gepackter Installer von ScreenConnect.
Nach der Installation versucht der ScreenConnect-Client fortlaufend, eine Verbindung zum Server der Angreifer unter der Adresse 193.42.11[.]108 aufzubauen. Über die etablierte Sitzung wird die ausführbare Datei SimpleRunPE.exe nachgeladen.
Persistenz und Umgehung der Erkennung
SimpleRunPE.exe führt eine Reihe von Schritten zur Persistenz und Tarnung aus:
- Erstellt Einträge in Registry-Run-Keys für den Autostart und legt geplante Aufgaben an
- Konfiguriert Ausnahmen in Microsoft Defender
- Führt Prüfungen auf Analyse- und Monitoring-Werkzeuge durch
- Setzt die Technik process hollowing ein, um Mining-Code unter einem vertrauenswürdigen, von Microsoft signierten Binary auszuführen
In einigen Fällen wird anstelle der Dateiübertragung über ScreenConnect ein PowerShell-Skript verwendet, das einen Binary von einem entfernten Laufwerk lädt, ihn lokal unter dem Namen vlc.exe speichert, eine geplante Aufgabe zu dessen Ausführung anlegt und sich anschließend selbst löscht.
Mining und Selbstschutz
Der über process hollowing eingebettete Binary verbindet sich mit dem Command-and-Control-Server, übermittelt detaillierte Informationen zum Host, lädt ein passendes Archiv mit einem Miner herunter und startet diesen. Unterstützt werden drei Mining-Programme: gminer, lolMiner und SRBMiner-MULTI.
Die Malware wehrt sich aktiv gegen Erkennung: Werden laufende Monitoring-Prozesse wie taskmgr.exe, processhacker.exe, processhacker2.exe, procexp.exe, procexp64.exe, systeminformer.exe erkannt, wird der Miner sofort beendet. Darüber hinaus stellt der Binary Persistenzartefakte erneut her und konfiguriert Defender-Ausnahmen neu, falls diese entfernt wurden, um eine stabile Präsenz im System sicherzustellen.
Indikatoren einer Kompromittierung
- Domain: gleeze[.]com (kampagnenspezifische Subdomains)
- C2-IP-Adresse: 193.42.11[.]108 (ScreenConnect-Server)
- Dateien: autorun.dll, vcredist_x64.dll, SimpleRunPE.exe
Kontext: Serie von Microsoft-Berichten zu komplexen Angriffen
Die Veröffentlichung dieses Berichts ist Teil einer Reihe von Untersuchungen, die Microsoft im Mai 2026 vorgelegt hat. Am 22. Mai hat das Unternehmen eine mehrstufige Attacke beschrieben, bei der ein unbekannter Angreifer eine F5 BIG-IP-Firewall kompromittierte, Vertrauensbeziehungen nutzte, um sich auf einen internen Linux-Host zu bewegen, und anschließend einen verwundbaren Atlassian Confluence-Server angriff. In diesem Vorfall kamen Kerberos relay-Angriffe und die Ausnutzung von CVE-2025-33073 zum Einsatz; der Angreifer hielt den Zugriff via SSH über ein privilegiertes Konto ohne explizite Persistenzmechanismen aufrecht – was die Risiken übermäßiger Privilegien unterstreicht.
Bereits zuvor, am 12. Mai, hat Microsoft einen Vorfall offengelegt, bei dem Angreifer Vertrauensbeziehungen zu einem externen IT-Provider und legitime Management-Werkzeuge missbrauchten, um eine verdeckte Kampagne zu organisieren, die auf langfristigen Zugang und den Diebstahl von Zugangsdaten abzielte. Allen drei Berichten ist eine gemeinsame Tendenz gemein: Angreifer nutzen Vertrauen immer aktiver aus – in Suchmaschinen, KI-Tools, Drittanbieter und legitime Software.
Bewertung der Auswirkungen
Die Kampagne stellt aus mehreren Gründen eine hohe Bedrohung dar. Erstens umfasst die Zielgruppe – Besitzer von Systemen mit leistungsstarken GPUs – Gamer, Machine-Learning-Spezialisten, Videocutter und 3D-Designer. Zweitens ist Kryptojacking nur die primäre Monetarisierung: Das installierte ScreenConnect bietet vollständigen Remotezugang, der für Datendiebstahl, laterale Bewegung im Netzwerk oder die Bereitstellung von Ransomware genutzt werden kann. Drittens erweitert die Nutzung von KI-Chatbots als Delivery-Vektor die Angriffsfläche auf Nutzer, die bewusst unzuverlässige Suchergebnisse meiden, aber den Antworten von Sprachmodellen vertrauen.
Empfehlungen zum Schutz
- Software nur von offiziellen Websites laden: Vertrauen Sie keinen Download-Links aus KI-Chatbots oder Suchergebnissen – rufen Sie die Website des Herstellers direkt auf
- ScreenConnect überwachen: Prüfen Sie Ihre Infrastruktur auf unautorisierte ScreenConnect-Installationen; blockieren Sie Verbindungen zu 193.42.11[.]108 und Domains von gleeze[.]com
- Kontrolle von DLL sideloading: Konfigurieren Sie Richtlinien für Windows Defender Application Control (WDAC) oder AppLocker, um das Laden unsignierter DLLs aus Benutzerverzeichnissen zu verhindern
- Audit der Defender-Ausnahmen: Überprüfen Sie regelmäßig die Liste der Ausnahmen in Microsoft Defender – die Malware legt diese aktiv an und stellt sie wieder her
- Monitoring von process hollowing: Beobachten Sie anomales Verhalten vertrauenswürdiger Microsoft-Prozesse, insbesondere ungewöhnliche Netzwerkaktivität oder hohe GPU-Auslastung
- Blockierung von Dynamic DNS: Ziehen Sie eine Blockierung oder verstärkte Überwachung des Traffics zu Dynamic-DNS-Providern (Dynu und vergleichbaren) am Netzwerkperimeter in Betracht
Die zentrale Lehre aus dieser Kampagne ist die Notwendigkeit, das Vertrauensmodell für Quellen von Software-Empfehlungen zu überdenken. Organisationen sollten ihre Infrastruktur umgehend auf Indikatoren einer Kompromittierung prüfen (ScreenConnect, Verbindungen zu gleeze[.]com und 193.42.11[.]108), Richtlinien einführen, nach denen Software ausschließlich aus freigegebenen Repositories geladen wird, und KI-Tools in das Bedrohungsmodell für Social Engineering auf dieselbe Stufe wie Phishing-E-Mails und Malvertising stellen.
