Wer gerade OBS Studio, Bandicam oder ein anderes kostenloses Windows-Tool sucht, sollte besonders genau hinsehen, wo er es herunterlädt. Sicherheitsforscher von Kaspersky haben eine großangelegte Kampagne aufgedeckt, die über 90 gefälschte Download-Seiten in zehn Sprachen betreibt. Wer dort einen vermeintlich harmlosen Installer lädt, holt sich in Wahrheit ein Fernwartungstool und einen Trojaner auf den Rechner, die den Angreifern die volle Kontrolle geben. Betroffen sind Privatanwender ebenso wie Unternehmen.

Was passiert ist

Aufgefallen ist die Kampagne bei einem einzelnen Vorfall. Das Managed-Detection-and-Response-Team von Kaspersky untersuchte einen Alarm, bei dem ein ScreenConnect-Prozess verdächtige PowerShell- und VBS-Skripte gestartet hatte. Aus diesem einen Fall entrollte sich eine ganze Infrastruktur mit mehr als 90 betrügerischen Domains, lokalisiert in zehn Sprachen, darunter Deutsch, Englisch, Russisch, Chinesisch, Spanisch, Portugiesisch, Französisch und Arabisch.

Die Seiten imitieren die offiziellen Download-Portale beliebter Programme wie OBS Studio, DNS Jumper, DS4Windows, Bandicam, Glary Utilities und Process Hacker. Damit Opfer diese Seiten überhaupt finden, setzen die Täter auf Suchmaschinenoptimierung. Sie schieben ihre Fake-Portale bei Google und Bing weit nach oben, sodass gar keine Phishing-Mail nötig ist. Das Opfer sucht selbst nach der Software und landet auf der manipulierten Seite.

Neu ist die Masche nicht. Laut Kaspersky nutzte dieselbe Gruppe bereits 2025 ein ähnliches Verfahren, tarnte die Schadsoftware damals aber als Spiele-Installationsdateien. Die Domain-Registrierungen für die aktuelle Welle erreichten im Februar 2026 ihren Höhepunkt, ein Hinweis auf monatelange Vorbereitung.

Wie der Angriff abläuft

Der Trick beginnt mit einem manipulierten Archiv, etwa obs-studio-windows-x64.zip. Darin steckt eine echte, digital von Microsoft signierte Datei namens install.exe, kombiniert mit einer präparierten Bibliothek namens install.res.1033.dll. Weil die ausführbare Datei legitim und signiert ist, wirkt der Start unverdächtig, auch für einfache Schutzmechanismen.

Beim Ausführen lädt die signierte Datei die schädliche Bibliothek nach, eine Technik namens DLL-Sideloading. Über diesen Umweg installiert sich im Hintergrund das legitime Fernwartungstool ScreenConnect, getarnt als harmlose Systemkomponente. Ab diesem Punkt haben die Angreifer eine dauerhafte Fernverbindung zum Rechner.

Danach räumt die Schadsoftware sich selbst den Weg frei. Ein PowerShell-Skript trägt Ausnahmen in den Microsoft Defender ein und schaltet die Nachfragen der Benutzerkontensteuerung ab. Anschließend entschlüsselt eine Kette aus VBScript und PowerShell die eigentliche Nutzlast aus einer Datei namens secret_bytes.txt und schleust sie über Process Hollowing in den legitimen Windows-Prozess RegAsm.exe ein. So läuft der eigentliche Trojaner, der Open-Source-RAT AsyncRAT, getarnt als vertrauenswürdiger Systemprozess.

Damit die Infektion einen Neustart übersteht, legt die Schadsoftware eine geplante Aufgabe namens MasterPackager.Updater an, die die Kette alle zwei Minuten erneut anstößt. Der Trojaner meldet sich schließlich beim Steuerserver der Angreifer unter der Domain mora1987[.]work[.]gd.

Warum das gefährlich ist

Die Kampagne umgeht Schutzmechanismen, indem sie auf legitime Werkzeuge setzt. ScreenConnect ist ein echtes, weit verbreitetes Fernwartungstool. In vielen Unternehmen steht es deshalb auf der Whitelist und darf mit erweiterten Rechten laufen. Genau das machen sich die Angreifer zunutze: Ihr Einstieg sieht aus wie normale Administration, nicht wie ein Angriff.

Mit dem Fernzugriff und AsyncRAT können die Täter Zugangsdaten stehlen, den Bildschirm mitschneiden und sich dauerhaft im System einnisten. Kaspersky vermutet als Ziel den massenhaften Diebstahl von Anmeldedaten und den anschließenden Verkauf der Zugänge auf Darkweb-Marktplätzen. Ein infizierter Rechner ist damit oft nur der erste Schritt für weitergehende Angriffe.