Auf den Punkt: LabubaRAT ist ein in Rust geschriebener Fernzugriffstrojaner, der sich als NVIDIA-Software tarnt und über flexible, nicht hartcodierte Kontrollserver sowie mehrere Verschleierungstechniken (DNS-Tunneling, WebView2) dauerhaften Zugriff auf Windows-Systeme erlaubt.
Das IT-Sicherheitsunternehmen Blackpoint Cyber hat einen in Rust geschriebenen Fernzugriffstrojaner (RAT) namens LabubaRAT entdeckt, der sich als legitime NVIDIA-Software ausgibt, um in Windows-Systemen Fuß zu fassen. Die Forscher Sam Decker und Nevan Beal veröffentlichten ihre Analyse am 14. Juli 2026.
Die ausführbare Datei trägt den Namen nvidia-sysruntime.exe und gibt sich als Überwachungswerkzeug für die Container-Laufzeitumgebung von NVIDIA aus. Die Binärdatei ist zwar nicht digital signiert, enthält aber gefälschte Metadaten, die eine Herkunft von NVIDIA Corporation vortäuschen. Sobald das Programm aktiv ist, kann es den Host profilieren, installierte Sicherheitswerkzeuge identifizieren, Bedienerbefehle empfangen, Dateien verschieben, Screenshots aufnehmen und Datenverkehr über das betroffene System leiten.
Eine Besonderheit von LabubaRAT ist die flexible Konfigurierbarkeit: Die IP-Adressen der Kontrollserver sind nicht direkt im Code festgeschrieben, sondern werden beim Start über Befehlszeilenparameter ausgelesen – optional auch in Base64-Verschlüsselung. Dies ermöglicht es, die gleiche kompilierte Binärdatei mit unterschiedlicher Infrastruktur, mehreren Organisationen oder verschiedenen Kampagnengruppen zu nutzen. Nach dem Start speichert die Software ihre Konfigurationsdaten in einer lokalen SQLite-Datenbank und führt eine detaillierte Systemanalyse durch. Dabei erkennt sie Browser (Chrome, Edge, Firefox, Brave) sowie Sicherheitslösungen wie Microsoft Defender, CrowdStrike, SentinelOne, Carbon Black, Sophos, Malwarebytes, Bitdefender, ESET, Kaspersky, McAfee, Symantec und Trend Micro.
Um Erkennung und Netzwerkblockierung zu erschweren, unterstützt LabubaRAT mehrere Übertragungsverfahren: neben HTTPS auch das Windows-Steuerelement WebView2 und DNS-Tunneling. Letzteres tarnt Befehle und gestohlene Daten als gewöhnliche DNS-Anfragen. Zudem kann der Trojaner Shell-Befehle, PowerShell-Skripte und JavaScript-Code ausführen sowie das System als SOCKS5-Proxy für Umleitung des Angreifer-Netzwerkverkehrs einrichten.
Der Name leitet sich von LabubaPanel ab – eine auf den Kontrollservern gefundene Bezeichnung mit Favicon der asiatischen Spielzeugfigur Labubu. Hinweise deuten darauf hin, dass LabubaRAT im Rahmen eines Malware-as-a-Service-Modells an andere Kriminelle vermietet wird.
Quelle: www.it-daily.net · Erschienen 16. Juli 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.7.3.