Forschende von Rapid7 haben einen ungeschützten Server zur Auslieferung von Malware entdeckt, der 1.048 Dateien enthielt – von Templates für Phishing-Köder und Tests zur Dateinamen-Spoofing über Dropper bis hin zu Entwicklernotizen und zwei vollständig ausgearbeiteten Angriffsketten. Eine der Kampagnen war bereits aktiv und richtete sich gegen Windows-Nutzende in Mexiko: Über eine gefälschte Website zur Prüfung der nationalen Identifikationsnummer CURP wurde den Opfern ein Infostealer per WebDAV-Protokoll zugestellt. Die Entdeckung ist insofern einzigartig, als die Forschenden nicht nur Zugriff auf eine einzelne Payload, sondern auf den kompletten Entwicklungszyklus erhielten – mit Testnotizen, fehlgeschlagenen Experimenten und Auslieferungslogs, was eine detaillierte Analyse der Methodik des Angreifers ermöglicht. Organisationen, die mit Nutzenden in Mexiko arbeiten oder Windows ohne den Juni-Patch 2025 einsetzen, sollten umgehend die von Rapid7 auf GitHub veröffentlichten Indikatoren einer Kompromittierung prüfen.
Kern der Operation: Reproduktion von CVE-2025-33053
Das zentrale Element des entdeckten Toolsets waren Tests, die darauf abzielten, die Schwachstelle CVE-2025-33053 (CVSS 8.8) nachzustellen. Diese Schwachstelle, die erstmals von Check Point im Kontext der Gruppe Stealth Falcon dokumentiert wurde, erlaubt es, über eine .url-Datei eine legitim signierte Windows-Executable zu starten und dabei deren Arbeitsverzeichnis auf eine vom Angreifer kontrollierte WebDAV-Ressource umzuleiten.
Im ursprünglichen Angriff startete die Verknüpfung iediagcmd.exe – ein Internet-Explorer-Diagnosetool, das Hilfsprogramme (etwa route.exe) nur über den Namen und ohne vollständigen Pfad aufruft. Da das Arbeitsverzeichnis auf eine entfernte Ressource zeigte, lud Windows statt der legitimen Datei aus System32 eine ausgetauschte route.exe von der WebDAV-Freigabe. Nach Angaben von Rapid7 wurde in der Operator-Dokumentation ausdrücklich behauptet, dass die Technik ohne SmartScreen-Warnungen und ohne Mark-of-the-Web funktioniert. Microsoft hat die Schwachstelle mit einem Patch im Juni 2025 geschlossen.
Bemerkenswert ist, dass eine der wiederhergestellten README-Dateien ein exaktes Beispiel des Pfads summerartcamp[.]net@ssl@443\DavWWWRoot\OSYxaOjr aus dem ursprünglichen Check-Point-Bericht enthielt – der Operator nutzte die öffentliche Forschung offensichtlich als Ausgangspunkt.
Skalierung: 59 Kandidaten für die Ausnutzung
Da der ursprüngliche Vektor über iediagcmd.exe unter Windows 11 24H2 nicht funktioniert (Internet Explorer und seine Komponenten sind dort nicht mehr vorhanden), hat der Operator laut Rapid7 einen „umfassenden Testsatz“ aus 59 .url-Dateien erstellt, die auf andere signierte Windows-Executables abzielten. Unter den Kandidaten befanden sich .NET-Tools (InstallUtil, RegAsm), Einträge aus dem LOLBAS-Katalog sowie potenzielle Kandidaten für einen UAC-Bypass. Jeder Test wurde von einer Beschreibung der Theorie begleitet, warum die Ausnutzung funktionieren sollte, sowie einer Priorität für die Überprüfung.
Wichtiger Vorbehalt: Rapid7 betont, dass es sich dabei um Kandidaten für Tests und nicht um bestätigte, funktionierende Ausnutzungstechniken handelt. Neben dem Hauptset enthielt das Verzeichnis kleinere Testsätze zu zwei weiteren Schwachstellen – CVE-2026-21513 (MSHTML-Bypass) und CVE-2025-24054 (NTLM-Leak), wobei der Schwerpunkt jedoch klar auf der WebDAV-Ausnutzung lag.
Rolle generativer KI in der Operation
Nach Einschätzung von Rapid7 deuten die gefundenen Artefakte auf einen aktiven Einsatz generativer KI durch den Operator hin, um Phishing-Lieferketten zu erstellen, zu testen und zu dokumentieren. README-Dateien, Anleitungen zur Erstellung von Ködern, tabellarische Testbeschreibungen und die Datei _MAPPING.csv, die jede Testdatei mit der Ziel-Binary verknüpft, wiesen typische Merkmale von LLM-Ausgaben auf: schematische Formatierung, übertriebene Detailtiefe und reichlich eingesetzte Emojis. Ähnliche Merkmale fanden die Forschenden im JavaScript-Code der Phishing-Website.
Rapid7 brachte den Arbeitsablauf des Operators mit dem Open-Source-Werkzeug Coderrr in Verbindung – einem universellen, KI-basierten Coding-Agenten, der von Claude Code und der GitHub Copilot CLI inspiriert ist. Es handelt sich dabei um ein normales Entwicklerwerkzeug, das nicht für Angriffe gedacht ist. Das Fazit von Rapid7 fällt knapp aus: „Der Angreifer setzte ein LLM ein, um wie ein modernes Produktteam zu arbeiten.“
Zu beachten ist, dass die Zuschreibung der KI-Nutzung auf einer stilistischen Analyse der Artefakte beruht und nicht durch unabhängige Quellen bestätigt ist.
Aktive Kampagne gegen Nutzende in Mexiko
Ein MDR-Signal von Rapid7 führte zu der Domain gobf[.]mx – einer Typosquatting-Domain eines staatlichen Dienstes zur Überprüfung der nationalen Identifikationsnummer CURP. Die gefälschte Seite enthielt einen Download-Button, der einen search-ms:-Request initiierte und damit die WebDAV-Ressource des Angreifers im Windows-Explorer mit einem Filter auf .scr-Dateien öffnete.
Der Hauptköder sah aus wie ein CURP-PDF-Bericht, war tatsächlich aber eine .scr-Executable mit einem durch das Unicode-Zeichen Right-to-Left Override (U+202E) manipulierten Namen. Die Datei war ein Inno-Setup-Installer, der einen Loader entpackte und einen .NET-Infostealer vollständig im Speicher startete, indem er ihn in einen signierten Qihoo-360-Prozess injizierte (Technik: process hollowing). Nach Angaben von Rapid7 sammelte der Stealer Kryptowallets, Browser-Credentials, Session-Cookies und Telegram-Sitzungen.
Das zweite Kampagnenverzeichnis, DlrtyGames, nutzte einen anderen Ansatz: Eine signierte Ubisoft-Binary lud eine trojanisierte DLL (sideloading), die einen modularen .NET-RAT installierte.
Umfang der Auslieferung
Im Zeitraum vom 20. bis 26. Juni 2026 verzeichnete das Auslieferungs-Panel (Simba Service) 77.098 Requests von 3.892 eindeutigen IP-Adressen aus 101 Ländern. Mexiko war für 82,5 % des Traffics und 96,9 % der Startereignisse verantwortlich. Ein einzelner CURP-Köder generierte 2.384 von 2.441 Startereignissen (97,7 %).
Es ist von entscheidender Bedeutung zu verstehen: Ein „Startereignis“ bezeichnet in der Terminologie von Rapid7 einen vom Panel erfassten Client-Request oder das Öffnen einer Executable von der Ressource und kein bestätigtes Endpoint-Compromise. Der Traffic aus den USA und Deutschland entsprach nach Einschätzung der Forschenden eher Scans als echten Opfern. Die Aktivität konzentrierte sich auf die üblichen Arbeitszeiten der mexikanischen Zeitzone, was auf reale Nutzende hindeutet.
Das Verwaltungs-Panel von Simba Service befand sich auf demselben Server, mit Standardport und Standardzugangsdaten.
Empfehlungen für Verteidiger
Der Juni-Patch 2025 hat den ursprünglichen Vektor über iediagcmd.exe geschlossen, doch der Satz aus 59 Dateien zeigt, dass der Operator gezielt nach anderen signierten Binaries mit vergleichbarem Verhalten sucht. Priorisierte Maßnahmen:
- Indikatoren einer Kompromittierung blockieren – C2-Adressen und File-Hashes aus dem Rapid7-Repository, einschließlich der Domain
gobf[.]mx. - Sicherstellen, dass der Patch für CVE-2025-33053 auf allen Windows-Systemen installiert ist.
- Verhaltensbasierte Indikatoren überwachen: Start der WebClient-Dienstes und Zugriffe von
davclnt.dllauf entfernte Hosts; signierte Binaries, die Child-Prozesse mit einem Image-Pfad auf WebDAV- oder UNC-Ressourcen erzeugen; Dateinamen mit RTLO-Zeichen (U+202E), doppelten Erweiterungen oder Füllzeichen vor.exe/.scr. - WebDAV-Protokoll einschränken auf Netzwerk- und Endpoint-Ebene, sofern es nicht für Geschäftsprozesse benötigt wird.
- Verarbeitung des URI-Schemas
search-ms:blockieren über Gruppenrichtlinien, sofern es nicht genutzt wird.
Der Auslieferungsspitzenwert war kurzlebig – die Aktivität nahm nach dem 24. Juni ab. Der wichtigste Schluss aus diesem Vorfall liegt jedoch nicht in der konkreten Kampagne, sondern in der gezeigten Methode: Der Operator hat gängige KI-Coding-Tools in eine reproduzierbare Pipeline zur Erstellung und zum Testen von Phishing-Lieferketten integriert. Der Satz aus 59 Kandidaten für die Ausnutzung signierter Binaries ist ein fertiger Plan zur Anpassung an die nächste Windows-Version oder den nächsten Patch. Organisationen sollten sich daher nicht nur auf die Blockierung der veröffentlichten IOCs konzentrieren, sondern auch auf die Erkennung des zugrunde liegenden Musters: Der Start einer signierten Binary mit einem Arbeitsverzeichnis auf einer entfernten Ressource ist ein Signal, das unabhängig von der konkreten Executable einen Alarm auslösen sollte.
