Phishing nach DEF CON: Huntress-Forscher mit AMOS-Malware angegriffen
Veröffentlicht am: 20.08.2026 um 14:23 Uhr | Redaktion boerse-global.de
Ein Sicherheitsforscher des Unternehmens Huntress wurde im Nachgang der Branchenkonferenz DEF CON zum Ziel einer gezielten Phishing-Kampagne. Wie aus einer am 19. August 2026 veröffentlichten Untersuchung von Huntress hervorgeht, nutzte der Angreifer eine gefälschte Identität und mehrstufige Infektionswege, um Schadsoftware auf den Systemen des Experten zu platzieren.
Die Kontaktaufnahme erfolgte ursprünglich am 9. August 2026 über eine Direktnachricht auf der Plattform X. Der Angreifer gab sich dabei als Vizepräsident des Krypto-Medienunternehmens CoinDesk aus. Ziel dieser Täuschung war es offenbar, das Vertrauen des Forschers zu gewinnen und ihn zur Interaktion mit schädlichen Dokumenten zu bewegen.
Vielschichtige Schadsoftware für unterschiedliche Betriebssysteme
Der erste Köder bestand aus einem präparierten Google Doc, das eine Seitenleiste auf Basis von Google Apps Script nutzte. Die Untersuchung zeigt, dass der Angriff technologisch auf das jeweilige Betriebssystem des Opfers zugeschnitten war. Auf Systemen mit macOS lieferte das Dokument den sogenannten AMOS-Infostealer aus, der darauf spezialisiert ist, sensible Informationen vom Endgerät zu entwenden.
Rekordschäden durch Phishing zeigen, wie professionell Angreifer heute psychologische Manipulationstaktiken und CEO-Fraud einsetzen, um Unternehmen zu schaden. Dieser kostenlose Leitfaden zeigt in vier Schritten, wie Sie solche Angriffe frühzeitig entlarven und Ihre Organisation wirksam schützen. Anti-Phishing-Paket für Unternehmen jetzt gratis herunterladen
Bei Angriffen auf Windows-basierte Systeme war das Vorgehen noch umfangreicher. Hier installierte das bösartige Dokument den Fernzugriff-Trojaner NetSupport RAT sowie ein spezielles Implantat für Ledger-Wallets. Zusätzlich wurde ein Proxy implementiert, der in der Lage war, den Netzwerkverkehr des betroffenen Systems abzufangen.
Im weiteren Verlauf der Kampagne setzte der Akteur auf einen zweiten Köder. Dabei wurde ein gefälschter Installer für den Dienst DocSend verwendet, der über die Cloud-Plattform Dropbox verbreitet wurde. Der Angreifer nutzte im Rahmen dieser Operation zudem Anweisungen im Stile von „ClickFix“, um den Nutzer zu schädlichen Handlungen zu verleiten.
Forderung nach Millionenfinanzierung und Branchenfokus
Ein ungewöhnlicher Aspekt der Kampagne trat in der späteren Kommunikation zutage. Der Angreifer wandte sich erneut an den Forscher und fragte nach einer Finanzierung in Höhe von 1 Million US-Dollar. Ob dies Teil einer Erpressung oder ein Versuch war, weitere finanzielle Mittel unter falschem Vorwand zu erlangen, geht aus den vorliegenden Informationen nicht hervor.
Wer sich mit der Abwehr solch gezielter Cyberangriffe befasst, muss die aktuellen Bedrohungslagen und rechtlichen Pflichten für Unternehmen genau kennen. Ein kostenloses E-Book liefert fundierte Strategien, um Sicherheitslücken proaktiv zu schließen und die IT-Sicherheit ohne hohe Investitionen zu stärken. Gratis-E-Book: Cyber Security Trends und Schutzmaßnahmen
Die Kampagne scheint systematisch auf Teilnehmer großer Cybersicherheitskonferenzen wie Black Hat und DEF CON ausgerichtet zu sein. Die Angreifer warten gezielt den Abschluss dieser Branchenveranstaltungen ab, um Experten in einer Phase zu kontaktieren, in der berufliche Vernetzung und Nachfassaktionen üblich sind.
Huntress veröffentlichte die detaillierte Analyse dieser anhaltenden Kampagne, um auf die spezifischen Taktiken und die Identitätsfälschungen aufmerksam zu machen, die gegen Fachleute der Sicherheitsbranche eingesetzt werden.
