SMOKE#SCREEN-Kampagne missbraucht RMM-Tools, Powercat zielt auf Gamer

Forscher von Securonix haben die aktive, mehrwellige Kampagne SMOKE#SCREEN offengelegt, in der Angreifer Phishing-Köder – gefälschte Adobe- und Zoom-Updates, das angebliche Anzeigen von Geschäftsdokumenten, Wartungs-Utilities – zur verdeckten Installation des legitimen Remote-Monitoring-Tools ConnectWise ScreenConnect einsetzen. Der Angriff endet mit der Installation eines Agents, der sich mit einem von drei Relay-Servern verbindet und den Operatoren vollständigen Remote-Zugriff auf die kompromittierte Maschine verschafft. Parallel dazu berichtete Bitdefender über eine Kampagne mit gefälschten Cheats für Roblox, über die der multifunktionale Stealer Powercat verbreitet wird. Beide Kampagnen verdeutlichen den Trend, vertrauenswürdige Tools und Plattformen zu missbrauchen, um Schutzmechanismen zu umgehen.

Technische Anatomie von SMOKE#SCREEN

Nach Angaben von Securonix ist die Infrastruktur der Kampagne um einen auf WsgiDAV basierenden Server herum aufgebaut, der zugleich als intermediärer Speicher für bösartige Payloads und als Kommandozentrale über einen ScreenConnect-Relay auf Port 8041 fungiert. Die Analyse der in MSI- und EXE-Dateien eingebetteten ScreenConnect-Konfigurationsstrings ergab drei separate Steuerungs-Cluster, von denen jeder einem bestimmten Typ von Köder zugeordnet ist: Software-Updates, Dokumentenanzeige und Programme für die Arbeit mit Dokumenten.

Als wahrscheinlicher Vektor für den Erstzugang gilt zielgerichtetes Phishing. Die Forscher beobachteten mehrere parallele Infektionsketten:

• VBScript-Dropper: Ein obfuskriertes Skript, das über eine Phishing-Mail zugestellt wird, führt eine Reihe von Laufzeitprüfungen durch und sucht nach laufenden Prozessen von Analysewerkzeugen – Wireshark, Process Monitor, Fiddler Classic – sowie nach Anzeichen für Virtualisierung (VirtualBox, VMware Tools, Xen). Wird eines davon gefunden, wird die Ausführung beendet. Wenn alle Prüfungen bestanden werden, entschlüsselt das Skript einen PowerShell-Befehl, der eine C#-Payload von einem externen Server lädt.
• Geschäftliche Köder: Ein alternativer Pfad, bei dem das Opfer dazu gebracht wird, ein VBScript unter dem Vorwand auszuführen, ein Geschäftsdokument anzeigen zu müssen, was ebenfalls zur Installation von ScreenConnect führt.
• Archiv mit Batch-Skript: Eine dritte Liefervariante ist ein komprimiertes Archiv, aus dem eine Batch-Datei gestartet wird, die nacheinander AMSI deaktiviert, über UAC eine Rechteausweitung anfragt, SmartScreen per Registry-Eintrag außer Kraft setzt und den alternativen Datenstrom Zone.Identifier aus der heruntergeladenen MSI-Datei entfernt, bevor diese ausgeführt wird.

Missbrauch vertrauenswürdiger Dienste

Besondere Aufmerksamkeit verdient die infrastrukturelle Taktik der Operatoren. Eine frühe Phishing-Seite zoom-update.html lieferte die Payload über einen freigegebenen Dropbox-Link aus – eine Plattform, die in Unternehmensumgebungen in der Regel auf Whitelists steht. Der kompilierte .NET-Loader (MemoryLoader.cs) verbindet sich zu einem ephemeren Cloudflare Quick Tunnel, und auf dem intermediären Server wurde ein laufendes cloudflared.exe entdeckt, was die direkte Nutzung der Cloudflare-Infrastruktur zur Erzeugung temporärer Tunnel bestätigt. Solche Tunnel werden von Unternehmens-Sicherheitslösungen nur selten überwacht, was sie für Angreifer zu einem attraktiven Kanal macht.

Unabhängig vom gewählten Infektionspfad ist das Endergebnis identisch – ein installierter ScreenConnect-Client, der mit einem Relay-Server verbunden ist und dem Operator eine Remote-Desktop-Sitzung auf der Maschine des Opfers bereitstellt.

Indikatoren einer Kompromittierung

Dem Bericht zufolge wurden folgende Netzwerkindikatoren festgestellt:

• IP-Adressen der intermediären Server: 207.174.0[.]143, 207.189.11[.]170
• Domain des Cloudflare-Tunnels: subscription-magnetic-recommended-meat.trycloudflare[.]com

Parallele Bedrohung: Stealer Powercat über gefälschte Cheats

Parallel dazu hat Bitdefender gewarnt vor einer unabhängigen Kampagne, die auf Gamer abzielt. Gefälschte Installer von Xeno Executor für Roblox, die über Gaming-Foren und Discord-Communitys verbreitet werden, starten eine mehrstufige Infektionskette auf Java-Basis, an deren Ende die Installation des Stealers Powercat steht.

Dem Opfer wird angeboten, die Datei xeno.exe zu starten, die anstelle eines Cheats die erste Stufe des Schadcodes initiiert. Die Payload prüft das Vorhandensein der Java Runtime Environment (bei Nichtvorhandensein extrahiert sie eine eigene Kopie), liest Validierungsschlüssel aus der lokalen Datei XenoIcon.jpg für die Verbindung zum C2-Server solthere[.]net und startet anschließend ein obfuskiertes JAR-File, das als decompiler.exe getarnt ist.

Wie Forscher von ThreatLocker zuvor dokumentiert haben, geht Powercat deutlich über einen typischen Credential-Stealer hinaus. Seine Fähigkeiten umfassen:

• Diebstahl von Daten aus Browsern (Brave, Chrome, Edge, Opera, Opera GX, Vivaldi), Kryptowährungs-Wallets (Atomic, Cake Wallet, Exodus, Monero Wallet, SafePal, Tron Wallet), Messengern (Discord, Telegram, WhatsApp, Snapchat)
• Aufnahme von Screenshots und Video über die Webcam, Streaming des Desktops
• Mitschnitt von Tastatureingaben und Mausaktivität
• Ausführung von PowerShell-Kommandos und interaktiver Zugriff auf die Kommandozeile
• Upload und Download von Dateien

Für Angriffe auf Exodus-Wallets prüft der Stealer den Angaben der Forscher zufolge das Vorhandensein der Version 26.1.5, entpackt das Archiv app.asar und injiziert JavaScript-Code, um Tokens abzugreifen und sie an den C2-Server zu exfiltrieren. Die Kampagne ist mutmaßlich seit Anfang 2026 aktiv, mit einem Höhepunkt in der zweiten Märzhälfte.

Bewertung der Auswirkungen

Die Kampagne SMOKE#SCREEN stellt vor allem für Unternehmensumgebungen eine Bedrohung dar, in denen RMM-Tools ein regulärer Bestandteil der IT-Infrastruktur sind. Der installierte ScreenConnect-Agent ist optisch nicht von einem legitimen zu unterscheiden, was die Erkennung erheblich erschwert. Die Attribution der Kampagne ist bislang nicht geklärt – keiner der bekannten Threat-Actor wird mit dieser Aktivität in Verbindung gebracht.

Powercat zielt hingegen auf Endanwender – überwiegend ein junges Publikum, das sich für Game-Cheats interessiert. Doch die Bandbreite der erfassten Daten (von Kryptowallets bis hin zu Entwicklerwerkzeugen und VPN-Clients) und die Möglichkeiten der Fernsteuerung machen jede kompromittierte Maschine zu einem Sprungbrett für weitere Angriffe.

Empfehlungen zum Schutz

Zur Abwehr von SMOKE#SCREEN:

• Ausführung von MSI-Dateien aus nicht vertrauenswürdigen Quellen per AppLocker- oder WDAC-Richtlinien einschränken
• Versuche von Prozessen überwachen, AMSI oder SmartScreen zu deaktivieren oder Registry-Keys zu modifizieren, die zu Windows Defender gehören
• Einen Audit aller installierten RMM-Tools durchführen und diese mit den autorisierten Deployments abgleichen
• Verdächtige Kindprozesse von cmd.exe und powershell.exe verfolgen, insbesondere mit obfuskierten Argumenten
• UAC-Einstellungen verschärfen, sodass Standardbenutzer keine Umgehungsmöglichkeiten mehr haben
• Zugriffe auf Domains unter trycloudflare.com sowie auf die genannten IP-Adressen blockieren oder überwachen

Zum Schutz vor Powercat:

• Ausführung unsignierter JAR-Dateien und Executables aus temporären Verzeichnissen blockieren
• Nutzer über die Risiken beim Herunterladen von Game-Cheats und Mods aus inoffiziellen Quellen aufklären
• Netzwerkzugriffe auf die Domain solthere[.]net überwachen

Beide Kampagnen folgen demselben Prinzip: Die Angreifer entwickeln keine eigenen Remote-Access-Tools, sondern missbrauchen legitime Software und vertrauenswürdige Plattformen – ConnectWise ScreenConnect, Dropbox, Cloudflare. Die zentrale Maßnahme für Security-Teams ist ein umgehender Audit aller RMM-Agents in der Infrastruktur mit Überprüfung jedes einzelnen Exemplars gegen ein Register autorisierter Installationen sowie die Implementierung von Erkennungsregeln für Versuche, AMSI und SmartScreen zu deaktivieren.