Die Aktivitäten der Webworm-Gruppe erstrecken sich über den Zeitraum von Anfang 2024 bis Anfang 2025 und zeigen eine bemerkenswerte Evolution der Angriffsstrategien. Ursprünglich, als die Gruppe 2022 erstmals dokumentiert wurde, verließ sich Webworm auf bekannte Malware-Familien wie McRat und Trochilus. Doch die Gruppe hat ihre Methoden grundlegend modernisiert – ein typisches Muster bei staatlich gestützten Cyberangreifern.
Das Kernproblem bei konventioneller Malware ist ihre Erkennbarkeit: Signaturen, digitale Artefakte und Netzwerkmuster ermöglichen es Sicherheitsteams, solche Angriffe zu entdecken. Webworm ist zu sogenannten Proxy-Tools übergegangen, die als Vermittler zwischen Opfer und Angreifer fungieren und deutlich schwerer zu erkennen sind. 2024 beobachtete ESET die Nutzung von Tools wie SoftEther VPN und anderen Netzwerklösungen.
Doch 2025 ging Webworm noch einen Schritt weiter: Die Gruppe präsentiert zwei völlig neue Backdoor-Trojaner. EchoCreep nutzt Discord als Kommando-und-Kontroll-Kanal – ein besonders raffinierter Ansatz, da der Traffic als reguläre Chat-Kommunikation getarnt werden kann. GraphWorm setzt auf Microsofts Graph API und OneDrive-Endpunkte. Die Analyse von etwa 400 Discord-Nachrichten zeigte, dass EchoCreep Dateien hochladen, Statusberichte senden und Befehle empfangen kann. Für jeden Opfer-Account nutzt die Gruppe separate Discord-Server respektive OneDrive-Verzeichnisse.
Zusätzlich lagert Webworm Malware und Tools in GitHub-Repositories ein – ein Download mit einem Befehl und die Kompromittierung ist perfekt getarnt. Die Proxy-Tools WormFrp, SmuxProxy, ChainWorm und WormSocket zeigen, dass die Gruppe ein komplexes, verteiltes Netzwerk aufbaut. Besonders beunruhigend: Die Cloud-Infrastruktur läuft über Vultr und IT7 Networks, was dem Angreifer maximale Anonymität bietet.
Als Einstiegspunkt nutzt Webworm Open-Source-Vulnerability-Scanner, um Webserver-Dateien und Verzeichnisse nach Schwachstellen zu durchsuchen. Dies deutet darauf hin, dass ungepatchte Systeme ein hohes Risiko darstellen.
Für europäische und deutsche Organisationen empfiehlt ESET zwei dringende Maßnahmen: Erstens, Systeme aktuell halten und Netzwerk-Assets schützen. Zweitens, ungewöhnliche Kommunikation von Prozessen zu Discord, Microsoft Graph oder Amazon S3 überwachen – besonders wenn Datenübertragungen außerhalb der normalen Workflows stattfinden.