Malware per Handschlag: FTP-Gruß verteilt neue Trojaner

Ein freundlicher Gruß mit bösem Inhalt: Cyberkriminelle verstecken Befehle im Begrüßungstext von FTP-Servern. Präparierte Windows-Verknüpfungen lesen diese automatisch aus und stoßen damit eine mehrstufige Infektion an. Die Sicherheitsforscher von SOCRadar entdeckten auf diesem Weg zwei bislang unbekannte Fernzugriffstrojaner.

Was ist ein FTP-Gruß?

Beim Aufbau einer Verbindung über das File Transfer Protocol (FTP) antwortet der angesprochene Server zunächst mit einem sogenannten Banner. Dieser FTP-Gruß wird bereits vor der Anmeldung übertragen und teilt dem Client üblicherweise mit, dass der Server bereit ist. Je nach Konfiguration kann der Text zusätzlich den Namen oder die Version der eingesetzten Server-Software enthalten.

Weil der Betreiber eines FTP-Servers den Begrüßungstext selbst festlegen kann, lässt sich darin jedoch nahezu beliebiger Text unterbringen. Genau diese Möglichkeit machen sich Angreifer laut einem neuen Bericht der SOCRadar Threat Research Unit zunutze: Anstelle einer harmlosen Begrüßung liefern die Server Befehle aus, mit denen auf einem zuvor angegriffenen Windows-PC weitere Schadsoftware heruntergeladen und ausgeführt wird.

Allein der Besuch oder die gewöhnliche Verbindung mit einem solchen FTP-Server führt allerdings noch nicht zur Infektion. Ausgangspunkt der beobachteten Angriffe sind mutmaßlich Phishing-Mails mit ZIP-Archiven. Darin enthaltene manipulierte Windows-Verknüpfungen im LNK-Format stellen die Verbindung her, lesen den FTP-Gruß aus und übergeben die darin versteckten Anweisungen an PowerShell.

Die Methode wird als „Dead Drop Resolver“ bezeichnet. Dabei legt die Schadsoftware die Adresse ihres eigentlichen Kontrollservers oder die nächsten Befehle nicht fest im Programmcode ab, sondern ruft sie von einer externen Stelle ab. Häufig werden dafür unauffällig wirkende Inhalte bei verbreiteten Internetdiensten wie GitHub, YouTube oder sozialen Netzwerken missbraucht. Ein FTP-Banner als Versteck sei hingegen ungewöhnlich und werde nach Erkenntnissen von SOCRadar seit Anfang Juli 2026 aktiv eingesetzt.

E4del versteckt sich hinter Discord

Bei der Untersuchung der Infrastruktur stießen die Sicherheitsforscher auf zwei zuvor nicht dokumentierte Remote Access Trojans (RATs). Der erste trägt den Namen E4del und basiert auf der Webanwendungsplattform Electron. Die mehrstufige Infektionskette startet eine legitime Discord-Programmdatei, die anschließend manipulierte Komponenten lädt. Dadurch soll der schädliche Prozess auf den ersten Blick wie ein Bestandteil des Messengers erscheinen.

Nach der Installation kann E4del unter anderem Befehle in einer versteckten Windows-Konsole ausführen, Bildschirmfotos aufnehmen und den Desktop in regelmäßigen Abständen an die Angreifer übertragen. Außerdem kann der Trojaner zusätzliche Dateien und Programmpakete herunterladen. Ein weiteres Modul soll nach Einschätzung der Forscher versuchen, höhere Benutzerrechte zu erlangen; dieses konnte SOCRadar allerdings nicht vollständig untersuchen.

Um bei der Kommunikation mit seinem Kontrollserver weniger aufzufallen, passt E4del zudem die Häufigkeit seiner Verbindungen an. Kurz nach einem erhaltenen Befehl fragt der Trojaner in kurzen Abständen nach neuen Aufgaben. Bleiben diese aus, werden die Pausen schrittweise verlängert.

PINHOLE nutzt Pinterest und SurveyMonkey

Die zweite entdeckte Schadsoftware heißt PINHOLE und setzt auf eine noch komplexere Verschleierung. Nach dem Abruf der ersten Befehle über den FTP-Gruß lädt PowerShell ein Skript herunter, das den eigentlichen Schadcode als vermeintliche Zertifikatsdatei auf dem Rechner ablegt. Temporäre Dateien werden nach ihrer Ausführung wieder entfernt, um möglichst wenige Spuren zu hinterlassen.

PINHOLE kann Dateien durchsuchen, hoch- und herunterladen, Bildschirmfotos anfertigen, Prozesse verwalten und Befehle ausführen. Zu insgesamt 14 unterstützten Funktionen gehört auch der Diebstahl von im Browser gespeicherten Zugangsdaten. Für den dauerhaften Zugriff trägt sich die Schadsoftware in die Windows-Registry ein und startet dadurch bei der Anmeldung des Benutzers automatisch.

Selbst nach der Installation greifen die Hintermänner auf externe Dienste als tote Briefkästen zurück. PINHOLE liest verschlüsselte Informationen aus Pinterest-Beiträgen und Fragen bei SurveyMonkey aus, um die Adresse seines Kontrollservers zu ermitteln. Die anschließende Kommunikation wird zusätzlich über Cloudflare Workers umgeleitet. Reguläre und weithin genutzte Plattformen sollen den Datenverkehr weniger verdächtig erscheinen lassen und eine Abschaltung der Infrastruktur erschweren.

Die Nutzung von FTP-Verbindungen kann nach Einschätzung von SOCRadar allerdings auch zum Nachteil der Angreifer werden. Während Zugriffe auf Pinterest, GitHub oder YouTube in vielen Netzwerken zum Alltag gehören, können Verbindungen zu unbekannten FTP-Servern leichter auffallen. Zum Zeitpunkt der Untersuchung zählte das von den PINHOLE-Entwicklern eingerichtete Statistiksystem erst elf Ausführungen. Die Kampagne scheint sich daher noch in einem frühen Stadium zu befinden.