Windows-Backdoor: Gen Digital findet 12-KB-Malware mit raffinierter Tarnung
Veröffentlicht am: 16.08.2026 um 19:01 Uhr | Redaktion boerse-global.de
Sicherheitsanalysten des Softwareunternehmens Gen Digital haben eine technologisch bemerkenswerte Entdeckung auf einer älteren Windows-Workstation gemacht. Bei der Untersuchung eines Systems mit dem Betriebssystem Windows 7 SP1 stießen die Experten auf eine Backdoor, die sich durch eine extrem geringe Dateigröße und eine ungewöhnliche Methode zur Verschleierung ihrer Kommunikationswege auszeichnet.
Die identifizierte Schadsoftware wird unter dem Dateinamen RtkNGUI64.exe geführt. Mit einer Größe von lediglich 12 KB ist das Programm im Vergleich zu moderner Malware außergewöhnlich kompakt. Trotz dieser minimalen Dimensionen verfügt die Anwendung über effektive Mechanismen, um sich auf dem Zielsystem zu verankern und Befehle von externen Servern entgegenzunehmen.
Raffinierte Verschleierung in Systemdateien
Besonderes Augenmerk legten die Forscher auf die Art und Weise, wie die Malware ihre Verbindung zur Infrastruktur der Angreifer verbirgt. Anstatt die Adresse des Command-and-Control-Servers (C2) direkt im Programmcode zu hinterlegen, nutzt die Backdoor die Systemdatei desktop.ini.
Die Domain diagrtrack[.]com wurde dabei in den sogenannten Whitespace-Bereichen – also in den für den Nutzer unsichtbaren Leerzeichen und Tabulatoren am Ende von Zeilen – versteckt.
Wer sich mit der Sicherheit veralteter Systeme befasst, sollte die häufigsten Einfallstore und Systemfehler genau kennen. Dieser kostenlose Report zeigt Ihnen, wie Sie typische Windows-Probleme in wenigen Minuten selbst beheben und Ihr System stabil halten. Die 5 häufigsten Windows-Probleme jetzt kostenlos lösen
Diese Taktik zielt darauf ab, Sicherheitslösungen zu umgehen, die lediglich den offensichtlichen Inhalt von Konfigurations- oder Systemdateien prüfen. Durch das Auslesen dieser versteckten Daten ist die Backdoor in der Lage, eine Verbindung zu den Hintermännern aufzubauen, ohne dass die Adresse in gängigen Scan-Verfahren sofort als schädlicher String innerhalb der Binärdatei auffällt.
Dauerhafte Präsenz durch WMI-Schnittstellen
Zur Sicherstellung der Persistenz, also dem dauerhaften Verbleib auf dem infizierten Rechner, greifen die Entwickler der Schadsoftware auf Windows-Management-Instrumentierung (WMI) zurück.
Die Analyse von Gen Digital ergab, dass ein spezielles WMI-Event eingerichtet wurde, um die Ausführung der Malware täglich um 19:50 Uhr zu initiieren. Dieser Mechanismus erlaubt es der Software, auch nach einem Systemneustart ohne direkte Benutzerinteraktion wieder aktiv zu werden.
Der Fund spezialisierter Schadsoftware zeigt, wie wichtig ein aktueller und begleiteter Umstieg auf moderne Betriebssysteme für die Sicherheit Ihrer Daten ist. Mit diesem Gratis-Report gelingt der Wechsel auf Windows 11 ohne Stress, inklusive der sicheren Übernahme all Ihrer Programme und Dateien. Sicheren Windows-Umstieg als Gratis-Report anfordern
Der Funktionsumfang der Backdoor ist auf das Wesentliche konzentriert, was die geringe Dateigröße erklärt. Die Software unterstützt laut den vorliegenden Erkenntnissen drei zentrale Befehle:
- system: Ermöglicht vermutlich den Abruf von Systeminformationen oder die Ausführung grundlegender Systemfunktionen.
- put: Erlaubt es den Angreifern, Dateien vom Server auf die infizierte Workstation zu übertragen.
- time: Dient der Abfrage oder Synchronisation von Zeitstempeln.
Ungeklärte Urheberschaft
Bislang konnten die Sicherheitsexperten die Backdoor keiner bekannten Hackergruppe oder spezifischen staatlichen Akteuren zuordnen. Es liegen keine Überschneidungen mit bereits dokumentierten Angriffskampagnen vor, was auf eine Neuentwicklung oder ein bisher unentdecktes Werkzeug hindeutet.
Obwohl Windows 7 SP1 ein veraltetes Betriebssystem ist, zeigt der Fund, dass entsprechende Systeme nach wie vor im Visier von Angreifern stehen, die spezialisierte Werkzeuge für die Spionage oder den Datendiebstahl einsetzen. Die Kombination aus minimalem Speicherbedarf und der Nutzung von Whitespace zur Tarnung der C2-Kommunikation unterstreicht die hohe Professionalität der unbekannten Entwickler.
