Auf den Punkt: Ein In-Memory-RAT namens GoodPersonRAT wird über gefälschte LetsVPN-Installerpaket verbreitet und erfordert sofortige Vigilanz bei der Herkunft von VPN-Software.
Sicherheitsanalysten von ThreatLocker haben eine Malware-Kampagne aufgedeckt, bei der manipulierte Installer für Kuailian VPN (LetsVPN) als Transportmedium für den Remote-Access-Trojaner GoodPersonRAT dienen. Das Schadprogramm agiert vollständig im RAM und entzieht sich damit dateibasierten Erkennungsmethoden.
Infektionsmechanismus und Tarnung: Die präparierte Datei trägt die Bezeichnung Kuailian_win-setup.86.msi und enthält neben der echten, digital signierten VPN-Anwendung das Schadprogramm GoodPersonRAT als Payload. Der Installer führt das Schadprogramm zunächst im Hintergrund aus, startet dann das legitime VPN-Programm und erzeugt dadurch den Anschein eines normalen Installationsvorgangs. Zielgruppe sind besonders Nutzer, die VPN-Software zur Umgehung von Internetzensuren einsetzen.
Technische Besonderheit – In-Memory-Execution: Nach dem Ausführen der MSI-Datei fungiert der Schadcode als mehrstufiger Loader und lädt die eigentliche RAT-Payload direkt in den Arbeitsspeicher des Systems. Da die Nutzlast die Festplatte nicht berührt, bleibt sie von Signature- und Dateisystem-basierten Erkennungsmethoden konventioneller Sicherheitslösungen unentdeckt. Das Schadprogramm verfügt über eine Liste von 40 Command-and-Control-Servern; mehrere Domain-Namen leiten sich vom chinesischen Begriff „Nishihaoren“ (你是好人, übersetzt: „du bist ein guter Mensch“) ab.
Persistenz und Funktionalität: Der Trojaner registriert sich als Windows-Dienst und über geplante Aufgaben mit System-Rechten, um automatisch vor der Benutzeranmeldung zu starten. Sein Funktionsspektrum umfasst Bildschirmaufzeichnung, Zwischenablagenauslesung, vollständige Tastaturprotokollierung, Auslesen von Browser-Daten (Cookies, Profile, Verlauf), Diebstahl von Telegram-Desktop-Sitzungsdaten sowie die Ausführung beliebiger Systembefehle. Das Schadprogramm löscht bestehende Browser-Sitzungen und Cookies, um Nutzer zu zwingen, Anmeldedaten erneut einzugeben, die es dann per Keylogging abgreift. Zusätzlich deaktiviert die Malware Sicherheitsfunktionen von Microsoft Defender.
Verbreitungswege und Implikationen: Die genauen Distributionsmechanismen sind nicht vollständig bekannt; Experten vermuten jedoch den Einsatz manipulierter Suchmaschinenwerbung oder Phishing-Links. Für CISOs ist entscheidend, dass diese Bedrohung gezielt Nutzer anspricht, die bewusst zu VPN-Lösungen greifen. Unternehmensrichtlinien sollten die Software-Herkunft stärker kontrollieren, Download-Quellen verifizieren und In-Memory-Malware durch Endpoint-Detection-and-Response-Systeme (EDR) ergänzen, die Prozessverhalten analysieren.
Quelle: www.it-daily.net · Erschienen 14. Juli 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.7.3.