LGR Reutlingen – 28 Mai 2026 | Im Zuge der stetig wachsenden Bedrohung durch Cyberangriffe haben die Sicherheitsanalysten des BlueVoyant Security Operations Centers (SOC) eine neuartige, global agierende Bedrohungsgruppe entdeckt. Diese Gruppe, die seit Februar 2026 aktiv ist, nutzt eine ausgeklügelte SEO Poisoning-Kampagne, um über gefälschte Microsoft Teams-Installer Trojaner zu verbreiten. Ziel ihrer Angriffe sind insbesondere Nutzer, die über Suchmaschinen nach einer Möglichkeit suchen, die beliebte Kommunikationssoftware Teams zu installieren. Durch gezielte Manipulation der Suchergebnisse gelingt es den Angreifern, ihre kompromittierten Installations-Webseiten an die Spitze der Suchergebnisse zu setzen.
Ein auf diesen Webseiten platziertes PHP-Skript sammelt die IP-Adressen der Opfer und liefert ihnen die schädlichen Installer aus. Am Ende der Attacke steht die Installation einer mehrstufigen Shellcode-Loader- und Backdoor-Kombination, die von den Sicherheitsanalysten den Namen ‘Lorem Ipsum’ erhalten hat.
Die technische Brisanz dieser Kampagne ergibt sich vor allem aus der systematischen und ressourcenintensiven Umgehung etablierter Sicherheitsmechanismen. Die trojanisierten MSI-Installer sind mit gültigen, über Microsoft-ID verifizierten Code-Signing-Zertifikaten ausgestattet, die jedoch nur eine maximale Gültigkeit von drei Tagen haben – ein gezielter „Burn Cycle“, um EDR-Lösungen zu täuschen. Die Ausführung der Schadsoftware beginnt im Verborgenen: Eine MSI-Aktion wird unsichtbar im Hintergrund über einen PowerShell-Loader gestartet, während der legitime Teams-Installer im Vordergrund läuft.
In einer rasanten architektonischen Reifung hat die Bedrohungsgruppe die Verschleierung ihrer Payload-Bereitstellung innerhalb weniger Wochen erheblich optimiert. Während sie anfangs auf einfache, via gzip komprimierte Payloads setzte, nutzt sie mittlerweile externe AES-Schlüssel, die über die MSI-Perimeter übergeben werden.
Eine der innovativsten Taktiken des „Lorem Ipsum“-Loaders ist der Missbrauch legitimer Webdienste als „Dead-Drop-Resolver“ für die Command-and-Control (C2)-Infrastruktur. Anstatt C2-Domänen fest im Code zu integrieren, nutzen die Angreifer die Plattform letsdiskuss.com. Dort erstellen sie Profile und verstecken in den Profilbeschreibungen kodierte C2-Informationen. Der bekannte „Lorem Ipsum“-Blindtext dient dabei als Tarnung, wobei die eigentlichen Daten zwischen spezifischen Begrenzungszeichen eingebettet sind. Der Loader ruft diese Seiten über reguläre HTTP-Anfragen auf, extrahiert die Zeichenketten und berechnet die finalen C2-Domänen.
Ein weiteres bemerkenswertes Merkmal ist die Verschleierungstechnik, bei der die gesamte C2-Kommunikation in JFIF-Bilddateien (JPEG) verpackt wird. Der Loader sendet seine Anfragen mit einem „image/jpeg“-Header. Verschlüsselte Payloads oder Systeminformationen werden über die regulären Bildgrenzen hinaus angehängt und mittels einer maßgeschneiderten XOR-Routine verschlüsselt übertragen.
Die umfassende Analyse des BlueVoyant SOC deutet auf eine finanziell gut ausgestattete Gruppe Cyberkrimineller hin, die möglicherweise als Initial Access Broker (IAB) fungiert. Die operative Geschwindigkeit der Gruppe ist beispiellos: Innerhalb von nur knapp zehn Wochen entwickelte sie die Schadsoftware von einem simplen Test-Build zu einer hochgradig ausgereiften Loader-Kette mit DLL-Sideloading, dynamischer API-Auflösung und steganografischer C2-Kommunikation über UUID-getrackte Pfade weiter.
Diese enorme Entwicklungsgeschwindigkeit lässt vermuten, dass die Angreifer bei der Code-Erstellung auf Large Language Models (LLMs) zurückgreifen. KI-gestützte Workflows ermöglichen es modernen Bedrohungsakteuren, ihre Toolsets in einem Bruchteil der bisher üblichen Zeit zu optimieren.
Für IT-Sicherheitsverantwortliche ergeben sich aus diesen Erkenntnissen klare Handlungsempfehlungen. Da die Angreifer ihre Infrastruktur in immer rasanterem Tempo weiterentwickeln, werden statische Indicators of Compromise (IOCs) zunehmend irrelevant. Die Verteidigung muss daher zwingend auf verhaltensbasierte Anomalie-Erkennung umgestellt werden. Kritische Warnsignale, auf die geachtet werden sollte, sind beispielsweise der Netzwerkverkehr von Nicht-Browser-Prozessen zu letsdiskuss.com, JFIF-formatierte POST-Anfragen an ungewöhnliche Endpunkte sowie das Starten versteckter PowerShell-Instanzen durch msiexec mit Schreibzugriffen im Dateisystem.
Zusammenfassend lässt sich sagen, dass die vom BlueVoyant SOC dokumentierten Verhaltensmuster ein solides Fundament bilden, um diese und ähnliche fortschrittlich operierende Cyberkampagnen proaktiv zu erkennen und erfolgreich abwehren zu können.
Eric Litowsky, Sales Director bei BlueVoyant
