Der Hola Browser Trojaner: Ein stiller Miner, der sich als Windows-Dienst tarnte

Eine Routinezertifizierung im Juni 2026 zog den Vorhang vor einem raffinierten Supply-Chain-Angriff auf Nutzer des Hola Browsers für Windows zurück. Sicherheitsforscher von Sophos X-Ops entdeckten eine nicht deklarierte ausführbare Datei, me.exe, die im offiziellen Installationspaket gebündelt war. Die Datei war kein harmloses Versehen – es handelte sich um einen XMRig-basierten Kryptowährungs-Miner, der darauf ausgelegt war, heimlich Monero auf den Rechnern der Opfer zu schürfen .

Die Entdeckung, die während der AppEsteem-Zertifizierungstests der Hola Browser Version 1.251.91.0 gemacht wurde, war sofort alarmierend, da die schädliche Datei nicht Teil des zertifizierten Softwarepakets des Browsers war. Sophos bewertete den Vorfall als eine Kompromittierung der Verteilungs-Pipeline, was bedeutet, dass ein Angreifer die Schadsoftware nach der Erstellung des legitimen Codes in den Build- oder Verpackungsprozess eingeschleust hatte. Unabhängige Ermittler von Sygnia bestätigten diese Einschätzung später .

Wie der stille Miner arbeitete

Der XMRig-Schädling war auf Heimlichkeit optimiert. Anders als aggressive Malware, die sich durch Leistungseinbußen bemerkbar macht, war dieser Miner so konfiguriert, dass er nur dann lief, wenn das Host-System im Leerlauf war, was das Risiko einer Entdeckung durch den Nutzer minimierte .

Nach der Installation etablierte die Schadsoftware durch eine Reihe gezielter Aktionen Persistenz auf dem System:

• Dateiablage: Der Miner kopierte sich selbst nach

  C:\Program Files\Hola\HolaMonitorService.exe

  . Dieser Pfad und Dateiname wurden bewusst so gewählt, dass sie als legitime Browser-Überwachungskomponente erscheinen .
• Dienst-Erstellung: Er erstellte einen Windows-Dienst namens hola_monitor_svc und konfigurierte ihn mit dem Starttyp 0x00000002. Dies stellte sicher, dass der Dienst bei jedem Systemstart automatisch mit hochfährt .
• Antiviren-Umgehung: Um integrierte Antiviren-Scans zu umgehen, fügte die Schadsoftware einen Ausnahmepfad für Windows Defender hinzu .
• Tarnung und Anonymität: Die me.exe-Binärdatei war unsigniert, verschleiert und hatte keinen gültigen Zeitstempel. Sicherheitsforscher merkten an, dass der Dateiname selbst aufgrund seiner unauffälligen Art gewählt schien, damit er zwischen legitimen Prozessen untergeht .

Eine begrenzte, aber ernstzunehmende Angriffsfläche

Das Ausmaß der Kompromittierung war relativ schmal. Sophos schätzte, dass etwa 0,1 % der Hola Browser-Nutzer betroffen waren . Obwohl es sich um einen kleinen Bruchteil der Nutzerbasis handelt, stellt der Vorfall einen Lehrbuch-Supply-Chain-Angriff dar: Ein vertrauenswürdiger Software-Verteilungskanal wurde gegen seine Nutzer verwendet und umging so die normalen Sicherheitsprüfungen, die Anwender gegenüber offiziellen Installationspaketen haben.

Der Angriff war kein Einbruch in den Quellcode von Hola. Stattdessen hob er die Verwundbarkeit der Software-Build- und Veröffentlichungs-Pipeline hervor – eine Erinnerung daran, dass selbst wenn Entwickler sauberen Code schreiben, eine Kompromittierung während der Kompilierung, Paketierung oder Verteilung das Endprodukt vergiften kann .

Wie Hola reagierte

Nachdem Sophos X-Ops den Fund gemeldet hatte, leitete Hola Maßnahmen ein, um die Bedrohung einzudämmen und einen erneuten Vorfall zu verhindern. Die Reaktionsschritte des Unternehmens umfassten:

• Den Neuaufbau der Verteilungs-Pipeline von Grund auf, um jeden verbliebenen Angreiferzugang zu eliminieren .
• Die Implementierung einer Code-Signatur-Überprüfung, um unsignierte und nicht autorisierte Binärdateien daran zu hindern, den Build-Prozess zu passieren .
• Die Einführung strengerer Zugriffskontrollen und kontinuierlicher Überwachung für die Verteilungs-Infrastruktur .

Trotz dieser Maßnahmen bleiben zum Zeitpunkt der öffentlichen Bekanntgabe am 4. Juni 2026 entscheidende Fragen unbeantwortet. Hola hat den Angriffsvektor – wie die Pipeline ursprünglich kompromittiert wurde –, die Identität des Bedrohungsakteurs oder die Dauer seines Zugriffs nicht öffentlich gemacht. Das vollständige forensische Bild bleibt der Öffentlichkeit verborgen, eine Lücke, die sowohl Nutzern als auch der Sicherheits-Community eine warnende Geschichte, aber ein unvollständiges Verständnis der Bedrohung hinterlässt .