SantaStealer: Weihnachts-Malware bedroht Windows-Nutzer

Ein neuer Schadsoftware-Angriff namens SantaStealer nutzt die Weihnachtszeit aus und stiehlt sensible Daten von WhatsApp bis zu Kryptowallets. Die Malware kursiert bereits in Untergrundforen und stellt eine akute Gefahr dar.

Während Millionen Menschen ihre letzten Online-Einkäufe erledigen und digitale Weihnachtsgrüße verschicken, schlagen Sicherheitsexperten Alarm. Der als SantaStealer bekannte Schädling ist eine sogenannte Malware-as-a-Service (MaaS) und zielt bewusst auf die nachlässigere Wachsamkeit in der Festzeit ab. Entdeckt wurde die Bedrohung von Rapid7 Labs, wie mehrere Berichte diese Woche bestätigen.

Die Malware, die Mitte Dezember 2025 in Untergrundforen auftauchte, attackiert Windows-Systeme (Version 7 bis 11). Sie ist darauf ausgelegt, eine breite Palette persönlicher Daten zu erbeuten: von Browser-Passwörtern und Kreditkarteninformationen bis hin zu Sitzungstokens von Messengern wie WhatsApp und Telegram.

„Das Timing dieser Veröffentlichung ist kalkuliert”, erklärte ein Rapid7-Forscher. „Die Täter wissen, dass die Wachsamkeit der Nutzer in der Weihnachtszeit oft nachlässt.”

Anzeige

Cyberkriminelle nutzen saisonale Schwächen – viele Firmen und Privatanwender sind auf solche Angriffe nicht vorbereitet. Unser kostenloses E‑Book “Cyber Security Awareness Trends” erklärt aktuelle Angriffsvektoren wie Information‑Stealer, Phishing und Malware‑as‑a‑Service und zeigt sofort umsetzbare Schutzmaßnahmen, die Sie heute einführen können. Der Leitfaden enthält konkrete Checklisten für Mitarbeiterschulungen, Netzwerk‑Hygiene und einfache Policies, mit denen Sie das Risiko von Kontoübernahmen und Datenverlust deutlich senken. Ideal für IT‑Verantwortliche und alle, die ihre Daten schützen wollen. Jetzt kostenlosen Cyber‑Security‑Report herunterladen

So funktioniert der Datendieb

Technische Analysen zeigen: SantaStealer ist kein völlig neuer Schädling, sondern eine weiterentwickelte Version des bekannten BluelineStealer. Geschrieben in C, wird die Malware aggressiv in russischsprachigen Cybercrime-Foren und Telegram-Kanälen vermarktet.

Tarnung und Fähigkeiten
Ein Hauptverkaufsargument für Kriminelle ist die Arbeit im Arbeitsspeicher. Indem sie kaum Dateien auf die Festplatte schreibt, entgeht sie vielen herkömmlichen Virenscannern.
* Datenklau: Infizierte Systeme werden systematisch durchsucht. Ziel sind gespeicherte Logins in Browsern wie Chrome und Firefox, Kryptowallets und Sitzungsdaten von Desktop-Apps.
* Messenger im Visier: Besonders gefährdet sind Nutzer von WhatsApp Desktop und Telegram. Durch das Stehlen von Sitzungstokens können Angreifer Konten übernehmen – ohne Passwort oder Zwei-Faktor-Authentifizierung (2FA).
* Datenabfluss: Gestohlene Informationen werden in 10-MB-Blöcken gepackt und über unverschlüsselte HTTP-Verbindungen an Server der Täter geschickt.

Geschäftsmodell MaaS
Die Malware wird im Abo-Modell verkauft, was den Einstieg für weniger erfahrene Kriminelle erleichtert.
* Basis-Abo: 175 US-Dollar pro Monat.
* Premium-Abo: 300 US-Dollar pro Monat (inklusive Zusatzfunktionen).
* Lizenz auf Lebenszeit: Wird für etwa 1.000 US-Dollar angeboten.

Warum WhatsApp-Nutzer besonders aufpassen müssen

SantaStealer ist ein Allround-Datendieb, doch die Verbindung zu WhatsApp sorgt für besondere Besorgnis. Die Bedrohungslage im Dezember 2025 zeigt einen Fokus auf Messenger.

Die Gefahr der Sitzungsübernahme
Moderne Information-Stealer wie SantaStealer „knacken” nicht die Verschlüsselung von WhatsApp. Stattdessen klauen sie die Authentifizierungs-Tokens, die auf dem PC gespeichert sind, wenn man WhatsApp Web oder die Desktop-App nutzt.
* Das Risiko: Ist ein Nutzer auf seinem infizierten Rechner eingeloggt, kopiert SantaStealer die Sitzungsdatei. Ein Angreifer kann diese Datei auf seinem eigenen Gerät verwenden und damit die aktive Sitzung klonen. So kann er Chats lesen, Nachrichten senden und Medien herunterladen – alles im Namen des Opfers.

Parallele Kampagnen
Sicherheitsbulletins verweisen diese Woche zudem auf parallele Kampagnen wie GhostPairing, die WhatsApp zur Verbreitung nutzen. SantaStealer wird zwar primär über bösartige Downloads (oft als Raubkopien oder Weihnachtssoftware getarnt) verbreitet. Kompromittierte Konten werden aber häufig genutzt, um die Malware an das eigene Kontaktnetzwerk weiterzuleiten – ein viraler Effekt entsteht.

Ambitioniert, aber handwerklich schlecht

Trotz der gefährlichen Fähigkeiten weist SantaStealer handwerkliche Mängel auf. Die Analyse von Rapid7 vom vergangenen Dienstag beschreibt die Malware als „ambitioniert, aber amateurhaft”.
* Sicherheitspannen: Die Entwickler hinterließen Debug-Informationen und unverschlüsselte Zeichenketten im Code. Dies erleichtert Sicherheitsteams die Analyse.
* Fehlende Verschlüsselung: Der Datenabfluss über unverschlüsseltes HTTP (statt HTTPS) ermöglicht es Netzwerkverteidigern, den Traffic leicht zu erkennen und zu blockieren.

Doch Experten warnen vor Sorglosigkeit. „Selbst ‚amateurhafte‘ Malware kann verheerende finanzielle Verluste verursachen”, betonte ein Sicherheitsanalyst am 18. Dezember. „Wenn sie eine Kryptowallet oder ein Haupt-E-Mail-Passwort stiehlt, ist die technische Raffinesse des Codes für das Opfer irrelevant.”

So schützen Sie sich vor SantaStealer

In der hektischen Weihnachtszeit empfehlen Experten folgende Schutzmaßnahmen:
1. Vermeiden Sie unseriöse Downloads: Der Hauptinfektionsweg sind Raubkopien, „gecrackte” Spiele und dubiose E-Mail-Anhänge. Laden Sie keine Dateien aus inoffiziellen Quellen herunter.
2. Sichern Sie Messenger-Sitzungen: Prüfen Sie regelmäßig die Einstellungen für „Verlinkte Geräte” in WhatsApp und Telegram. Melden Sie unbekannte Geräte oder alte Sitzungen sofort ab.
3. Halten Sie Sicherheitssoftware aktuell: Stellen Sie sicher, dass Windows Defender oder Drittanbieter-Antivirenlösungen aktiviert und auf dem neuesten Stand sind. Aktuelle Signaturen erkennen SantaStealer bereits.
4. Aktivieren Sie 2FA: Nutzen Sie die Zwei-Faktor-Authentifizierung für alle sensiblen Konten. Zwar kann eine Sitzungsübernahme 2FA zunächst umgehen, doch sie verhindert Passwort-Zurücksetzungen und komplette Account-Übernahmen.

Saisonale Cyberkriminalität wird zum Trend

Das Auftauchen von SantaStealer passt in den Trend der saisonalen Malware – Bedrohungen, die auf Feiertage, Black Friday oder die Steuerzeit abgestimmt sind. Das MaaS-Modell bedeutet, dass 2026 mit einer weiteren Verbreitung ähnlicher, günstiger aber wirkungsvoller Tools zu rechnen ist.

Die schnelle Identifizierung von SantaStealer durch die Sicherheitscommunity ist ein Erfolg. Doch das Gefahrenfenster bleibt offen. Da die Malware aktiv zirkuliert und an Partner verkauft wird, rechnen Experten mit einem Höhepunkt der Infektionen über das Weihnachtswochenende und bis ins neue Jahr hinein.

Anzeige

PS: Sie nutzen WhatsApp, Online‑Banking oder Kryptowallets? Dann ist jetzt Handeln angesagt. Der Gratis‑Leitfaden zeigt praxisnahe Maßnahmen gegen Datendiebstahl, erklärt, wie Angriffe erkannt werden und welche einfachen Schritte Ihren Rechner deutlich sicherer machen – ohne teure Tools. Er enthält eine Schritt‑für‑Schritt‑Checkliste, die Privatpersonen ebenso wie kleine Unternehmen sofort umsetzen können, sowie Empfehlungen für sichere Messenger‑Einstellungen. Holen Sie sich den kompakten Schutzplan und minimieren Sie das Risiko bei Weihnachtsangeboten und Downloads. Gratis Cyber‑Sicherheits‑Guide sichern