Angreifer missbrauchen QEMU als getarnten Backdoor für Ransomware

Zusammenfassung

Der quelloffene Maschinenemulator QEMU wird laut einem Bericht von Sophos gezielt für Angriffe missbraucht, die zur Verbreitung von Ransomware und Fernzugriffs-Tools führen. QEMU erlaubt es, eine Gast-VM auf einem bestehenden Betriebssystem auszuführen, und eignet sich dadurch dazu, getarnte Kommunikationskanäle aufzubauen und Schadcode zu verbergen. Sicherheitsforscher dokumentierten bereits in den vergangenen Jahren entsprechende Kampagnen; Sophos berichtet nun von einer Zunahme des Missbrauchs seit Ende 2025. Das Sicherheitsunternehmen beschreibt zwei konkrete Angriffswellen: eine erstmals im November 2025 beobachtete Kampagne mit der Kennung STAC4713, die mutmaßlich mit der PayoutsKing-Ransomware zusammenhängt, sowie eine zweite Kampagne im Februar 2026 unter der Kennung STAC3725. In beiden Fällen diente QEMU dazu, eine virtuelle Maschine als verdeckten Stützpunkt im Netzwerk der Opfer zu betreiben. Über diesen Weg verschafften sich die Angreifer direkten Zugang zu den kompromittierten Umgebungen, sammelten Zugangsdaten und bereiteten weitere Schritte vor. Sophos ordnet die erste Kampagne der geschlossenen Gruppe Gold Encounter zu, die hinter PayoutsKing steht und für die Verschlüsselung gezielt VMware- und ESXi-Umgebungen ins Visier nimmt.

Bei der Kampagne STAC4713 setzten die Angreifer QEMU als verdeckten Reverse-SSH-Backdoor ein, über den sie Schadcode ausliefern und Zugangsdaten abgreifen. Den ersten Zugang verschafften sie sich zunächst über exponierte SonicWall-VPNs ohne Mehr-Faktor-Authentifizierung. Später gingen sie dazu über, CVE-2025-26399 auszunutzen, eine Schwachstelle zur Remotecodeausführung in SolarWinds Web Help Desk.

Um sich festzusetzen, legten die Täter eine geplante Aufgabe an, die eine QEMU-VM mit Systemrechten startet. Beim Start baut das virtuelle Festplattenabbild einen Reverse-SSH-Tunnel auf, der den Angreifern direkten Zugriff auf die VM verschafft. Sophos beobachtete anschließend, wie die Angreifer einen Volume-Shadow-Copy-Schnappschuss erstellten, die Active-Directory-Datenbank sowie die SAM- und SYSTEM-Hives in temporäre Ordner kopierten und mit bordeigenen Windows-Werkzeugen Netzwerkfreigaben und Dateien auskundschafteten.

Sophos schreibt diese Angriffe der Gruppe Gold Encounter zu, einem geschlossenen Verbund, der die PayoutsKing-Ransomware betreibt und für seine Verschlüsselung gezielt VMware- und ESXi-Umgebungen angreift.

Im Februar 2026 beobachtete Sophos eine zweite Kampagne mit QEMU-Bezug, die unter der Kennung STAC3725 geführt wird. Für den Erstzugang nutzten die Angreifer hier CVE-2025-5777 aus, die als CitrixBleed2 bekannte Schwachstelle, und sicherten sich über einen bösartigen ScreenConnect-Client dauerhaften Zugriff. Nach der Ausnutzung von NetScaler richteten sie einen Startdienst ein, installierten das Fernzugriffs-Tool, um QEMU und ein virtuelles Festplattenabbild nachzuladen, und führten den Angriff manuell innerhalb der VM aus.

In dieser Kampagne brachten die Angreifer rund ein Dutzend Werkzeuge und Bibliotheken zum Einsatz, sammelten Zugangsdaten, lasen Kerberos-Benutzernamen aus, erkundeten das Active Directory, legten Schadcode bereit und schleusten Daten aus. „Die Folgeaktivitäten unterschieden sich von Vorfall zu Vorfall, was darauf hindeutet, dass zunächst Initial-Access-Broker die Umgebungen der Opfer kompromittierten und den Zugang dann an andere Akteure verkauften“, merkt Sophos an.

Organisationen rät das Unternehmen, gezielt nach nicht autorisierten QEMU-Installationen, verdächtigen geplanten Aufgaben und ungewöhnlichen Port-Weiterleitungsregeln zu suchen sowie ausgehende SSH-Tunnel zu überwachen, da diese auf eine mögliche Kompromittierung hindeuten können.

Angreifer missbrauchen QEMU als getarnten Backdoor für Ransomware

Ähnliche Artikel

Neueste Artikel