Die perfide Falle: Warum die Google-Suche nach Sicherheits-Tools jetzt zur Gefahr wird

Das gestaffelte Traffic Distribution System: Ein Filter für lohnende Ziele

Das TDS fungiert als ausgeklügelter Türsteher und nicht nur als einfache Umleitung. Die Analyse von Check Point zeigt, dass es eine mehrschichtige Anti-Analyse und Filterung anwendet, um echte Opfer von Sicherheitsforschern, Sandboxes und automatisierten Crawlern zu unterscheiden. Nur Nutzer, die diese Prüfungen bestehen, werden zu den finalen Schadprogrammen weitergeleitet . Diese selektive Auslieferung macht die Kampagne schwerer kartierbar und erhöht den Wert jeder erfolgreichen Infektion für die Betreiber. Um der Entdeckung weiter zu entgehen, nutzt das System Techniken wie sitzungsspezifische Schlüssel und einmalige Schlüsselübergaben .

Das Malware-Trio: RemusStealer, AnimateClipper und SessionGate

Die Kampagne wurde dabei beobachtet, drei verschiedene Malware-Familien auszuliefern, die jeweils einem anderen Monetarisierungszweck dienen.

• RemusStealer: Ein als Abo-Modell (Malware-as-a-Service) vermarkteter Infostealer zu Preisen zwischen 250 und 500 US-Dollar. Er zielt auf eine riesige Bandbreite sensibler Daten ab, darunter Zugangsdaten aus über 20 Browsern, Daten von mehr als 220 Kryptowährungs-Wallet-Erweiterungen, Passwortmanagern und 2FA-Tools .
• AnimateClipper: Ein Kryptowährungs-Clipper, der Transaktionen in Echtzeit kapert, indem er die vom Nutzer kopierte Wallet-Adresse durch eine vom Angreifer kontrollierte ersetzt. Er ist in der Lage, Transaktionen in über 20 verschiedenen Blockchain-Ökosystemen zu überwachen und abzufangen .
• SessionGate: Dieses bislang nicht dokumentierte Framework ist ein mehrstufiger Loader, der starke Verschleierung und umfangreiche Anti-Analyse-Techniken einsetzt, um potenziell unerwünschte Anwendungen (PUAs) oder andere Nutzlasten auszuliefern. Es dient in den beobachteten Angriffsketten als erste Infektion und Ladeprogramm .

Eine globale, seit Monaten laufende Operation

Das Ausmaß der Kampagne ist beträchtlich. Check Point berichtet, dass das Ökosystem seit Ende 2025 aktiv ist und über 5.000 Einsendungen bei VirusTotal generiert hat, was auf einen großen Opferpool hindeutet. Die geografischen Hauptziele erstrecken sich über den Globus, mit einem Schwerpunkt der Aktivitäten in der Türkei, Polen, Brasilien, Deutschland, Frankreich, Russland und dem Vereinigten Königreich .

Für Entwickler und Sicherheitsexperten ist die Schlussfolgerung klar und dringlich. Die Zeit, in der man ein Tool auf Basis eines Suchergebnisses beiläufig herunterladen konnte, ist vorbei. Nutzer müssen überprüfen, ob sie sich auf einem offiziellen Projekt-Repository befinden, direkt eine bekannte GitHub- oder GitLab-Seite aufrufen und misstrauisch bei jedem Download sein, der nicht sofort die erwartete Datei liefert. Die Professionalität dieser gefälschten Seiten macht die rein visuelle Prüfung zu einem unzureichenden Schutz gegen ein Ökosystem, das auf gestohlenem Vertrauen und automatischer Täuschung aufbaut.