Auf den Punkt: DOUBLECUP schmuggelt Schadcode über gecachte PNG-Bilder in Browsern ein und installiert darüber CountLoader und den neuen RAT DeviceManager.
Ein russischer Loader-as-a-Service namens DOUBLECUP nutzt ClickFix-Angriffe, um bösartigen Code in PNG-Bildern zu verstecken, die im Browser-Cache der Opfer abgelegt werden. Damit wird der Loader CountLoader auf Windows- und macOS-Geräten sowie ein neuer Remote-Access-Trojaner namens DeviceManager auf Windows-Systemen ausgeliefert.
DOUBLECUP ist ein neu identifizierter Loader-as-a-Service aus dem russischsprachigen Cybercrime-Umfeld. Die Angreifer setzen auf die ClickFix-Technik, bei der Opfer über manipulierte Webseiten oder gefälschte Fehlermeldungen dazu verleitet werden, selbst schädliche Befehle auszuführen – etwa durch Kopieren und Einfügen vermeintlicher Fehlerbehebungsschritte in die Kommandozeile. Die Besonderheit bei DOUBLECUP liegt in der Verschleierung: Der eigentliche Schadcode wird in PNG-Bilddateien eingebettet, die vom Browser regulär im Cache zwischengespeichert werden. Diese Cache-Bilder dienen als Träger für die Payload und entziehen sich damit klassischen Erkennungsmechanismen, die auf ungewöhnliche Dateitypen oder Netzwerkverbindungen achten.
Über diesen Mechanismus liefert DOUBLECUP zunächst den bereits bekannten Loader CountLoader aus, der sowohl auf Windows- als auch auf macOS-Systemen funktioniert. In einem zweiten Schritt wird ein neuer Remote-Access-Trojaner mit dem Namen DeviceManager auf Windows-Geräten installiert, der Angreifern dauerhaften Fernzugriff auf infizierte Systeme ermöglicht.
Für Sicherheitsverantwortliche ist relevant, dass sich mit DOUBLECUP eine weitere Ausbaustufe der ClickFix-Angriffsmethode etabliert, die seit ihrem Aufkommen zunehmend von verschiedenen kriminellen Gruppen als Einstiegsvektor genutzt wird. Die Verwendung von Browser-Cache-Bildern als Versteck für Schadcode erschwert die Erkennung durch signaturbasierte Sicherheitslösungen und Netzwerküberwachung zusätzlich, da der Datenverkehr auf den ersten Blick wie normales Laden von Webinhalten aussieht.
Betriebe sollten Mitarbeiterschulungen zu ClickFix-Mustern verstärken, da der Angriff auf Social Engineering statt auf technische Exploits setzt. Zusätzlich empfiehlt sich eine Überprüfung, ob Endpoint-Detection-Lösungen ungewöhnliche Kommandozeilenaktivitäten erkennen, die typischerweise mit ClickFix-Ketten einhergehen, unabhängig davon, wie die Payload letztlich getarnt wird.
Quelle: www.bleepingcomputer.com · Erschienen 3. August 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.8.3.