Vier Monate nach der Zerschlagung durch Europol bietet der Verkäufer von StealC einen neuen Trojaner an. Er enthält den alten Stealer-Code Byte für Byte.
Gleicher Code
StealC kehrt als Fernzugriffstrojaner Stadia zurück
Der Verkäufer der Schadsoftware StealC ist mit einem neuen Produkt zurück. Seit dem 16. Oktober bietet er in einem Untergrundforum den Fernzugriffstrojaner Stadia an. Das berichtet Varonis Threat Labs, die Forschungsabteilung des Sicherheitsanbieters Varonis, die eine Version des Trojaners kurz nach Erscheinen erworben und analysiert hat. StealC war im Juni im Rahmen der internationalen Operation Endgame unter Leitung von Europol zerschlagen worden. Die Behörden beschlagnahmten damals 326 Server und 142 Domains und stellten mehr als 25 Millionen gestohlene Zugangsdaten von 385.000 infizierten Rechnern sicher.
Vom Infostealer zum Fernzugriffstrojaner
Während StealC Zugangsdaten stahl, bietet Stadia Angreifern weitreichenden Fernzugriff. Der Trojaner umfasst sechs Module: eine versteckte Fernsteuerung des Desktops (Hidden VNC), eine Kommandozeile, einen Dateimanager, eine Prozessverwaltung, einen Loader, der Programme von der Festplatte oder direkt im Arbeitsspeicher ausführt, sowie einen Stealer auf Basis von StealC 3.5. Dieser greift Daten aus mehr als 50 Browsern, mehr als 120 Krypto-Erweiterungen und über 50 Desktop-Wallets ab, außerdem Messenger, Spieleplattformen, E-Mail-Programme und VPN-Clients.
Stadia wird im Abo verkauft, für 300 bis 900 US-Dollar im Monat. Ehemaligen StealC-Kunden bietet der Verkäufer einen kostenlosen Monat im teuersten Tarif an. Die Demo-Oberfläche des Verkäufers zeigt Infektionen vor allem in Süd- und Südostasien, Afrika und Lateinamerika.
Gleicher Code wie StealC
Dass Stadia auf StealC aufbaut, belegt Varonis anhand des Codes. Im Trojaner steckt ein 26.112 Byte großes Modul, das die App-Bound-Verschlüsselung von Chromium-Browsern umgeht. Es ist Byte für Byte identisch mit dem entsprechenden Modul in StealC 3.5. Laut Changelog im Bedienpanel erschien die erste Beta von Stadia am 10. September 2026.
Der Trojaner läuft nicht auf Systemen mit russischer, ukrainischer, belarussischer, kasachischer oder usbekischer Spracheinstellung. Er installiert sich in einem zufällig benannten Ordner unter C:\ProgramData\ und tarnt sich mit Dateinamen legitimer Programme wie MicrosoftEdgeUpdate.exe, GoogleUpdate.exe oder AdobeARM.exe. Für die Persistenz legt er eine versteckte geplante Aufgabe an, die alle 15 Minuten startet. Mit Administratorrechten fügt er zudem per PowerShell eine Ausnahme für Windows Defender hinzu. Die Kommunikation mit den Servern läuft über HTTP und ist verschlüsselt, obwohl der Header JSON-Daten angibt.
„StealC hat Zugangsdaten gestohlen und ist wieder verschwunden. Stadia bleibt, beobachtet den Bildschirm, führt Befehle aus, verschiebt Dateien und lädt nach, was als Nächstes kommt.”
Varonis Threat Labs
Erkennung über Verhalten
Da Serveradressen und Schlüssel mit jeder Version wechseln, empfiehlt Varonis die Erkennung über das Verhalten. Auffällig sind unsignierte Prozesse aus C:\ProgramData, die einen Chrome-, Edge- oder Brave-Prozess im angehaltenen Zustand starten und Code einschleusen, versteckte geplante Aufgaben mit einem Intervall von 15 Minuten sowie neue Defender-Ausnahmen für Ordner unter C:\ProgramData. Varonis hat eine Sigma-Regel und Indikatoren veröffentlicht. Der Rechtsrahmen bleibt: Varonis gehört nach der angekündigten Übernahme bald zu Proofpoint.
(red/Varonis)
