Neue Windows-Loader WordlistLoader und SynkLoader in ClearFake- und Teams-Kampagnen

Sicherheitsforscher von Gen Digital und Expel haben unabhängig voneinander zwei bislang unbekannte Loader für Schadsoftware identifiziert – WordlistLoader und SynkLoader –, von denen jeder einen eigenen Delivery-Vektor nutzt, um finale Payloads auf Systemen mit Windows auszurollen. WordlistLoader fungiert als Zwischenstufe in der Infektionskette des Stealers Amatera (auch bekannt als ACR Stealer / AcridRain Stealer) über ClearFake-Kampagnen, während SynkLoader über Social Engineering in Microsoft Teams verteilt wird und dem Operator ein modular aufgebautes Remote-Access-Toolset bereitstellt. Organisationen mit Windows-Infrastruktur wird empfohlen, sich mit den beschriebenen Indikatoren einer Kompromittierung und den Delivery-Techniken vertraut zu machen, um ihre Erkennungsregeln zu aktualisieren.

WordlistLoader: von ClickFix zum Stealer Amatera

Nach Angaben von Gen Digital wird WordlistLoader über ClearFake-Kampagnen ausgeliefert, die die Technik ClickFix (FakeCaptcha) einsetzen. Das Opfer gelangt auf eine kompromittierte, eigentlich legitime Website, auf der es aufgefordert wird, eine CAPTCHA-Prüfung zu durchlaufen. Beim Klicken auf das Kontrollkästchen „I’m not a robot“ wird ein bösartiger Befehl in die Zwischenablage kopiert, den der Benutzer laut Anweisung in den Windows-Dialog „Ausführen“ einfügen und ausführen soll. Das Ergebnis ist das Herunterladen von WordlistLoader und die anschließende Ausführung von Amatera.

Die schädlichen ClickFix-Prompts werden über in Base64 kodiertes JavaScript in legitime Websites eingeschleust. Dieser Code ruft einen Smart Contract in einer Blockchain auf, um die nächste Stufe zu beziehen – eine Technik, die als EtherHiding bekannt ist. Zu den kompromittierten Websites, die ClickFix-Prompts ausliefern, zählen laut den Forschern unter anderem:

• abogadosrosarinos[.]com
• aptisweb[.]com
• avene-hebergement[.]com
• https-xhamster[.]com
• www.caesarjaco.co[.]id
• skybap[.]shop

Wie Expel-Spezialisten bereits im Januar festhielten, begannen aktualisierte ClearFake-Kampagnen, cdn.jsdelivr[.]net zur Bereitstellung bösartiger PowerShell-Skripte zu nutzen. Zwar entfernt jsDelivr schädliche Repositories in der Regel schnell, doch der EtherHiding-Mechanismus ermöglicht es den Operatoren, blockierte URLs rasch durch neue, funktionierende Adressen zu ersetzen.

Technische Ausführungskette

Der ClickFix-Befehl nutzt conhost.exe, um einen versteckten cmd.exe-Prozess zu starten, bindet per pushd eine entfernte WebDAV-Ressource ein und startet den Loader über rundll32.exe. Microsoft hat unabhängig eine ähnliche Kette im Kontext von ACR Stealer dokumentiert und dabei drei Varianten der Befehle hervorgehoben:

1. Direkter Aufruf von rundll32
2. Einbinden der WebDAV-Ressource per pushd mit anschließendem Aufruf von rundll32.exe
3. Verdeckte, obfuskierte Ausführung von pushd über conhost.exe --headless mit Obfuskation von Umgebungsvariablen – diese Variante entspricht der WordlistLoader-Kette

Nach Angaben von Microsoft unterdrückt die fortschrittlichste Variante sichtbare Konsolenfenster und nutzt verzögertes Auflösen von Umgebungsvariablen, um zentrale Ausführungskomponenten – pushd, rundll32 und den Namen des entfernten Hosts – zu verbergen. Microsoft beobachtete in dieser Kette Python-Loader von Ende April bis Mitte Juni 2026; nach Einschätzung von Gen Digital wurden diese in späteren Kampagnen durch WordlistLoader ersetzt, auch wenn diese Schlussfolgerung auf einer Korrelation der Daten beider Anbieter beruht und nicht direkt von Microsoft bestätigt wurde.

Besonderheiten von WordlistLoader

Die Hauptaufgabe von WordlistLoader besteht in der Rekonstruktion von Shellcode, der als Einstiegspunkt für die nachfolgenden Stufen dient. Der Shellcode wird kodiert als Sequenz gewöhnlicher englischer Wörter gespeichert, wobei jedes Wort einem Byte entspricht – daher der Name des Loaders. Die Forscher von Gen Digital entdeckten zudem eine Variante, bei der der Wortschatz durch ein Array aus 16-Byte-Fragmenten ersetzt wurde, die im UUID-Format kodiert sind.

Zur Umgehung der Telemetrie setzt WordlistLoader eine Technik auf Basis von Hardware-Breakpoints ein, um Event Tracing for Windows (ETW) zu umgehen. Der rekonstruierte Shellcode nutzt einen reflektiven Loader, um Amatera im Speicher zu entpacken und zu starten. Derselbe reflektive Loader wurde von eSentire Ende April 2026 in einer anderen ClickFix-Kampagne mit Auslieferung von Amatera Version 4.3.3-alpha1 beobachtet.

Die aktuelle Amatera-Version umfasst nach Angaben von Gen Digital eine aktualisierte statische Obfuskation, einen verstärkten Aufruf von Systemfunktionen über den WoW64-Übergang, dynamisch generierte Trampoline für indirekte x64-Systemaufrufe über Heaven’s Gate sowie einen überarbeiteten Bypass von an Anwendungen gebundenem Verschlüsselungsschutz (Application-Bound Encryption), der vermutlich vom Stealer Remus inspiriert ist.

SynkLoader: modulares Toolkit via Phishing in Microsoft Teams

Der zweite Loader, SynkLoader, wurde von Expel-Spezialisten Mitte August 2025 entdeckt. Der Delivery-Vektor unterscheidet sich grundlegend von WordlistLoader: Der Angreifer nahm über Microsoft Teams Kontakt zum Opfer auf, nutzte dabei ein Konto im Format <username>@<company>.onmicrosoft.com und gab sich als Mitarbeiter des IT Service Desk aus.

Das Opfer wurde überzeugt, eine MSI-Datei aus Azure Blob Storage herunterzuladen und zu installieren (https://filereserve.blob.core.windows[.]net/vgnghuyk/331/331.msi). Die Bereitstellung über Infrastruktur von Microsoft verlieh der Datei den Anschein von Legitimität. Das Installationsprogramm tarnte sich als Tool „PowerShell Cleaner“ und extrahierte beim Start ein ZIP-Archiv sowie ein PowerShell-Skript, das im Speicher ausgeführt wurde. Das Skript entpackte den Inhalt des Archivs und startete einen Python-Loader, der einen von drei fest kodierten C2-Domains auswählte und den Server in zufälligen Intervallen kontaktierte, wobei zwischen den Anfragen Pausen von 90–120 Sekunden eingehalten wurden.

Modulare Architektur

Expel identifizierte mindestens sieben SynkLoader-Module:

• System Profiler – C#-DLL zur Sammlung von Systeminformationen
• Persistence Module – native DLL, die eine geplante Aufgabe mit zufälligem Namen erstellt, um SynkLoader bei der Benutzeranmeldung sowie täglich um 10:00 Uhr zu starten
• PhishLocker – DLL, die einen gefälschten Windows-Sperrbildschirm anzeigt, um das Passwort abzugreifen
• TrafficRedirector – Reverse-Proxy für den Zugriff auf lokale Netzwerkdienste oder zur Weiterleitung von Traffic über die kompromittierte Maschine
• Interactive Shell – RAT-Modul zur Ausführung von PowerShell-Befehlen
• StreamMaster – VNC-Modul zur Übertragung des Desktops und zur Fernsteuerung von Maus und Tastatur
• Status Checker – Python-Skript zur Statusmeldung der laufenden Module

Das Funktionsspektrum – von der Abgreifung von Zugangsdaten und Reverse-Proxy-Funktionalität bis hin zur vollständigen Fernsteuerung – deutet auf ein Toolkit hin, das auf eine langfristige Etablierung in der Infrastruktur ausgelegt ist. Expel geht davon aus, dass der Operator mit einer Ransomware-Gruppe oder einem Broker für Initial Access in Verbindung stehen könnte, wobei eine konkrete Attribution bislang nicht bestätigt ist.

Einschätzung der Auswirkungen und Kontext

Beide Bedrohungen zielen auf Windows-Systeme ab, unterscheiden sich jedoch in Verbreitungsmodell und Zielpublikum. WordlistLoader über ClearFake ist auf Masseninfektionen ausgerichtet – jedes Besuchende eines kompromittierten Webauftritts kann zum Opfer werden. SynkLoader hingegen nutzt zielgerichtetes Phishing über Microsoft Teams, was typisch für Angriffe auf Unternehmensumgebungen ist. Besonders kritisch ist der Missbrauch legitimer Infrastruktur: jsDelivr CDN, Azure Blob Storage und Blockchain-Smart-Contracts erschweren eine Blockierung auf Ebene der Netzwerkfilter erheblich.

Die Überschneidung der von WordlistLoader genutzten Techniken mit den von Microsoft unabhängig dokumentierten ACR-Stealer-Ketten bestätigt, dass die beschriebenen Delivery-Methoden aktiv von mehreren Gruppen eingesetzt werden oder als Dienstleistung verschiedenen Operatoren zur Verfügung stehen.

Empfehlungen zum Schutz

• Die Ausführung von rundll32.exe zur Ladung von DLLs von entfernten WebDAV-Ressourcen über AppLocker- oder WDAC-Richtlinien einschränken
• Den Start von conhost.exe --headless sowie Ketten conhost → cmd → rundll32 als Indikatoren für verdächtige Aktivität überwachen
• Erkennungsregeln für Zugriffe auf WebDAV-Ressourcen über pushd im Kontext von Benutzersitzungen konfigurieren
• In Microsoft Teams eingehende Nachrichten von externen Domänen einschränken, insbesondere von Adressen *.onmicrosoft.com, die nicht zur eigenen Organisation gehören
• Das Herunterladen und Ausführen von MSI-Dateien aus Azure Blob Storage für nicht privilegierte Benutzer blockieren
• Die aufgeführten Domains (abogadosrosarinos[.]com, aptisweb[.]com, avene-hebergement[.]com, https-xhamster[.]com, skybap[.]shop) sowie die URL des MSI-Installers in Blocklisten aufnehmen
• ETW-Protokolle auf Anomalien prüfen, die auf eine Umgehung der Tracing-Funktion über Hardware-Breakpoints hindeuten

Das Auftauchen von WordlistLoader und SynkLoader verdeutlicht den anhaltenden Trend zu mehrstufigen Delivery-Ketten mit Zwischen-Loadern, die legitime Infrastruktur missbrauchen. Prioritäre Maßnahmen für Security-Teams sind: das Erkennen von Ketten conhost → cmd → rundll32 mit WebDAV-Download zu konfigurieren, externe Kommunikation in Microsoft Teams einzuschränken und Netzwerkprotokolle auf Zugriffe im Zusammenhang mit den genannten Indikatoren einer Kompromittierung zu prüfen.