Auf den Punkt: Die LaaS-Kampagne DOUBLECUP versteckt Schadcode in PNG-Bildern im Browser-Cache und liefert darüber per ClickFix-Täuschung den Loader CountLoader sowie den neuen RAT DeviceManager aus.
Eine neue russischsprachige Loader-as-a-Service-Operation namens DOUBLECUP setzt auf ClickFix-Social-Engineering, um manipulierte PNG-Bilder im Browser-Cache von Opfern zu platzieren und darüber CountLoader sowie einen bislang unbekannten Remote-Access-Trojaner namens DeviceManager auszuliefern.
Laut Berichten legt die erste Angriffsstufe von DOUBLECUP ein steganografisch präpariertes PNG-Bild im Cache des Browsers ab. Aus diesem Bild wird verborgener Code extrahiert und ausgeführt, der die zweite Angriffsstufe einleitet. Die Kampagne stützt sich auf ClickFix-Ködertaktiken, bei denen Opfer über gefälschte Fehlermeldungen oder Verifizierungsdialoge dazu gebracht werden, manuell Befehle auszuführen, die den Infektionsprozess anstoßen. Am Ende der Infektionskette stehen zwei bekannte bzw. neu identifizierte Schadprogramme: der bereits dokumentierte Loader CountLoader sowie DeviceManager, ein zuvor nicht öffentlich beschriebener Remote-Access-Trojaner (RAT).
Für Sicherheitsverantwortliche ist die Kombination aus ClickFix und Steganografie in Cache-Dateien relevant, weil sie klassische signaturbasierte Erkennung und URL-Filterung umgeht: Die eigentliche Schadfunktion liegt nicht im sichtbaren Netzwerkverkehr oder in einer offensichtlich schädlichen Datei, sondern versteckt in einem scheinbar harmlosen Bild, das durch reguläre Browser-Caching-Mechanismen auf dem System landet. Da ClickFix-Angriffe auf Nutzerinteraktion setzen, bleibt der Mensch weiterhin der entscheidende Angriffsvektor, unabhängig von der technischen Tarnung der nachfolgenden Payload.
Für die Verteidigung empfiehlt sich eine Kombination aus Nutzersensibilisierung gegen ClickFix-Muster – etwa Aufforderungen, Tastenkombinationen wie Win+R zu nutzen oder Befehle aus vermeintlichen Fehlermeldungen einzufügen – und technischer Überwachung von PowerShell- bzw. Skriptausführungen, die aus Browser-Cache-Verzeichnissen heraus initiiert werden. Da CountLoader bereits aus früheren Kampagnen bekannt ist, lassen sich vorhandene Indikatoren und Erkennungsregeln für diesen Loader als Ausgangspunkt nutzen, während für DeviceManager als neuen RAT zusätzliche eigene Detektionslogik erforderlich ist, sobald technische Indikatoren dazu veröffentlicht werden.
Quelle: thehackernews.com · Erschienen 4. August 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.8.3.