Thought Leadership
Sicherheitsforscher von Proofpoint haben einen neuen Verschleierungsdienst für Schadsoftware entdeckt, der bereits von verschiedenen Cyberkriminellen eingesetzt wird.
Das als „Cruciferra“ bezeichnete System soll Malware gezielt vor Sicherheitslösungen verbergen und macht deren Erkennung deutlich schwieriger.
Moderne Schadsoftware setzt längst nicht mehr nur auf neue Angriffsmethoden, sondern zunehmend auch auf ausgefeilte Techniken zur Tarnung. Dabei kommen sogenannte Crypter zum Einsatz. Sie verändern und verschleiern Schadprogramme so, dass klassische Sicherheitslösungen sie nur schwer identifizieren können.
Nach Angaben von Proofpoint hat sich Cruciferra inzwischen als eigenständiger Dienst im Cybercrime-Untergrund etabliert. Anders als bei eigens entwickelten Werkzeugen einzelner Hackergruppen wird der Crypter verschiedenen Angreifern angeboten und für unterschiedlichste Malware-Kampagnen genutzt.
Umfangreiche Techniken zur Umgehung von Schutzmechanismen
Die Sicherheitsforscher beschreiben Cruciferra als technisch besonders ausgereiften Verschleierungsdienst. Die Software kombiniert zahlreiche Methoden, um Sicherheitsprogramme und forensische Untersuchungen auszutricksen.
Dazu gehören unter anderem Techniken, mit denen Systemaufrufe verschleiert, Sicherheitsfunktionen manipuliert oder Schadcode nahezu spurenlos ausgeführt werden kann. Auch Endpoint-Schutzlösungen lassen sich mithilfe missbrauchter Treiber teilweise umgehen.
Besonders auffällig ist die Vielzahl integrierter Verschlüsselungsverfahren. Nach Erkenntnissen von Proofpoint verfügt Cruciferra über mehr als 90 unterschiedliche kryptografische Routinen. Diese werden offenbar flexibel miteinander kombiniert, sodass sich einzelne Malware-Dateien stark voneinander unterscheiden. Dadurch wird eine Erkennung anhand klassischer Signaturen erheblich erschwert.
Aktive Weiterentwicklung im Untergrund
Erste Hinweise auf Cruciferra tauchten bereits im Herbst 2025 in einschlägigen Untergrundforen auf. Dort wurde der Dienst offensiv als leistungsfähiger Crypter beworben.
Im Rahmen der Analyse fanden die Sicherheitsforscher sowohl produktiv eingesetzte Versionen als auch Testvarianten mit Debugging-Funktionen und experimentellen Erweiterungen. Dies deutet darauf hin, dass der Dienst kontinuierlich weiterentwickelt und an neue Anforderungen angepasst wird.
Bereits in zahlreichen Angriffskampagnen eingesetzt
Nach den Beobachtungen von Proofpoint kommt Cruciferra inzwischen in zahlreichen E-Mail-basierten Malware-Kampagnen zum Einsatz. Verschleiert wurden dabei unterschiedliche Schadprogramme, darunter Remote-Access-Trojaner wie AsyncRAT, XWorm und Remcos sowie Infostealer wie AgentTesla, XLoader, Phantom Stealer, Formbook und zgRAT.
Die Kampagnen richten sich überwiegend nicht gegen einzelne Unternehmen oder Personen, sondern verfolgen einen opportunistischen Ansatz. Besonders häufig betroffen waren bislang Organisationen aus dem Finanzsektor, dem Gesundheitswesen sowie dem öffentlichen Bereich.
Die Größe der beobachteten Angriffswellen schwankte erheblich. Während einige Kampagnen nur wenige Hundert E-Mails umfassten, wurden in anderen Fällen mehrere Tausend Nachrichten versendet.
Abbildung: Verteilung der Angriffe auf verschiedene Branchen
Professionalisierung des Cybercrime-Marktes
Die Entdeckung von Cruciferra zeigt, wie stark sich der Markt für Cyberkriminalität weiter professionalisiert. Statt eigene Werkzeuge zu entwickeln, greifen Angreifer zunehmend auf spezialisierte Dienste zurück, die gegen Bezahlung bereitgestellt werden. Dadurch erhalten auch weniger technisch versierte Täter Zugang zu leistungsfähigen Verschleierungstechniken.
Für Unternehmen bedeutet diese Entwicklung, dass klassische signaturbasierte Schutzmechanismen allein immer seltener ausreichen. Moderne Sicherheitskonzepte müssen deshalb verstärkt auf verhaltensbasierte Erkennung, kontinuierliche Überwachung und schnelle Reaktionsmechanismen setzen, um auch neu verschleierte Schadsoftware frühzeitig identifizieren zu können.
(red/Proofpoint)
