Auf den Punkt: LabubaRAT ist ein in Rust entwickelter RAT, der sich als NVIDIA-Programm tarnt und über flexible Kommunikationswege (HTTPS, WebView2, DNS-Tunneling) dauerhaften Zugriff auf Windows-Systeme ermöglicht.
Sicherheitsforscher von Blackpoint Cyber haben einen neuen Trojaner namens LabubaRAT entdeckt, der sich als NVIDIA-Systemwerkzeug ausgibt und Windows-Systeme kompromittieren kann. Die Schadsoftware ist in Rust geschrieben und bietet umfangreiche Spionage- und Fernzugriffsfunktionen.
Die ausführbare Datei trägt den Namen nvidia-sysruntime.exe und gibt sich als Überwachungswerkzeug für NVIDIAs Container-Laufzeitumgebung aus. Obwohl die Binärdatei nicht digital signiert ist, enthält sie gefälschte Metadaten, die eine Herkunft von der NVIDIA Corporation vortäuschen sollen. Sicherheitsforscher Sam Decker und Nevan Beal dokumentierten die Entdeckung am 14. Juli 2026 und beschrieben LabubaRAT als „wiederverwendbaren Stützpunkt für praktische Aktivitäten“.
Nach der Aktivierung führt die Schadsoftware umfangreiche Spionagefunktionen durch: Sie profiliert den befallenen Host, identifiziert installierte Sicherheitswerkzeuge, empfängt Befehle von Fernzugriffservern, verschiebt Dateien, erfasst Screenshots und leitet Netzwerkverkehr um. Besonders bemerkenswert ist die flexible Konfiguration: Die IP-Adressen der Kontrollserver sind nicht im Code fest verdrahtet, sondern werden beim Start über Befehlszeilenparameter bereitgestellt – teilweise Base64-verschlüsselt. Dies ermöglicht es, dieselbe kompilierte Binärdatei mit unterschiedlicher Infrastruktur und für mehrere Kampagnengruppen zu verwenden. Die Konfigurationsdaten werden lokal in einer SQLite-Datenbank abgelegt.
LabubaRAT erkennt gezielt installierte Sicherheitslösungen: Es sucht nach Browsern (Chrome, Edge, Firefox, Brave) sowie Antiviren- und EDR-Lösungen wie Microsoft Defender, CrowdStrike, SentinelOne, Carbon Black, Sophos, Malwarebytes, Bitdefender, ESET, Kaspersky, McAfee, Symantec und Trend Micro.
Um der Detektion durch Netzwerkfilter zu entgehen, nutzt der Trojaner mehrere Übertragungsverfahren: neben klassischem HTTPS auch das Windows-Steuerelement WebView2 und DNS-Tunneling, wobei gestohlene Daten und Befehle als gewöhnliche DNS-Anfragen getarnt werden. Zu seinen Steuerungsfunktionen gehören die Ausführung von Shell-Befehlen, PowerShell-Skripten und JavaScript-Code. Zusätzlich kann das kompromittierte System als SOCKS5-Proxy konfiguriert werden, um Netzwerkverkehr der Angreifer umzuleiten.
Der Name LabubaRAT leitet sich vom Label LabubaPanel ab, das auf den Kontrollservern zusammen mit einem an die asiatische Spielzeugfigur Labubu erinnernden Favicon gefunden wurde. Hinweise deuten darauf hin, dass die Schadsoftware im Malware-as-a-Service-Modell an andere Akteure vermietet wird.
Quelle: www.it-daily.net · Erschienen 16. Juli 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.7.3.