BINDCLOAK: Neue Windows-Backdoor stiehlt Sicherheits-Tokens
Veröffentlicht am: 04.08.2026 um 15:13 Uhr | Redaktion boerse-global.de
Sicherheitsanalysten der Forschungsgruppe ThreatLabz von Zscaler haben eine hochentwickelte, modulare Backdoor für Windows-Systeme identifiziert. Die unter dem Namen BINDCLOAK bekannte Malware dient laut den Experten der verdeckten Spionage und nutzt komplexe Techniken zur Ausweitung von Zugriffsrechten innerhalb von betroffenen Systemen. Die in C/C++ geschriebene 64-Bit-Malware ermöglicht es Angreifern, gezielt Windows-Benutzer- und Prozess-Tokens zu entwenden, um ihre Privilegien zu erweitern und langfristigen Zugriff auf die Zielumgebung zu erhalten.
Die aktuelle Kampagne richtet sich den Analysen zufolge primär gegen Regierungseinrichtungen im Nahen Osten. Ein besonderer Schwerpunkt der Aktivitäten liegt dabei auf dem Energiesektor der Region. Die Sicherheitsforscher ordnen BINDCLOAK mit einer hohen Konfidenz dem bereits bekannten Backdoor-Stamm OctLurk zu, was auf eine Fortentwicklung oder Spezialisierung bestehender Angriffswerkzeuge hindeutet.
Mehrstufige Angriffskette und technische Details
Der Einsatz von BINDCLOAK erfolgt nicht isoliert, sondern ist in eine komplexe, mehrstufige Infektionskette eingebettet. Die initiale Auslieferung beginnt nach Erkenntnissen der Experten mit einer bösartigen ISO-Datei. In der Folge werden verschiedene Zwischenstufen wie TELESHIM und MIXEDKEY nachgeladen, bevor die eigentliche BINDCLOAK-Backdoor im System aktiv wird.
Technisch zeichnet sich die Malware durch ein hohes Maß an Tarnung aus. BINDCLOAK verwendet reflektives Laden, eine Technik, bei der Code direkt im Arbeitsspeicher ausgeführt wird, ohne permanente Spuren auf der Festplatte zu hinterlassen. Zur Kommunikation mit dem Command-and-Control-Server (C2) nutzt die Software verschlüsselte Verbindungen über TLS/TCP.
Ein zentrales Element der Funktionalität ist der Missbrauch von Windows-Sicherheits-Tokens. Hierbei greift die Malware gezielt auf spezifische Windows-API-Funktionen zurück. Genannt werden in diesem Zusammenhang die Funktionen LogonUserW, DuplicateTokenEx sowie ImpersonateLoggedOnUser. Durch diesen Mechanismus können die Angreifer die Identität autorisierter Nutzer annehmen und Sicherheitsbarrieren umgehen, die normalerweise den Zugriff auf sensible Systemressourcen verhindern würden.
Während professionelle Spionage-Malware gezielt Sicherheitsmechanismen in Windows-Umgebungen aushebelt, können auch Unternehmen im deutschsprachigen Raum durch präventive Maßnahmen ihre Abwehr stärken. Dieser kostenlose Report klärt darüber auf, welche rechtlichen Pflichten und Bedrohungen Unternehmer jetzt kennen müssen. Neue KI-Gesetze und Cyberrisiken: Jetzt gratis Report sichern
Steuerung und Identifizierung der Bedrohung
Für die operative Steuerung der infizierten Systeme stehen den Angreifern insgesamt 11 spezifische Befehle zur Verfügung. Diese ermöglichen eine flexible Kontrolle über die Backdoor und die Durchführung verschiedener Spionageaktivitäten je nach Zielvorgabe. Die nun veröffentlichte technische Analyse von ThreatLabz stellt den zweiten Teil einer umfassenden Untersuchung dar. Während der erste Teil der Reihe die vorausgehenden Stufen TELESHIM und MIXEDKEY behandelte, fokussiert sich der aktuelle Bericht auf die finale Phase der Angriffskette durch BINDCLOAK.
Um Unternehmen und Organisationen bei der Abwehr der Bedrohung zu unterstützen, wurden bereits verschiedene Indicators of Compromise (IOCs) identifiziert. Dazu gehört der MD5-Hash 7a14a99d70d42d3f7bf72f843185fc07. Zudem wurden spezifische Domains registriert, die im Zusammenhang mit der Kampagne stehen, darunter cert.hypersnet[.]com, ssl.blsouqs[.]com, about.blsouqs[.]com sowie ftabnews[.]com. Als zugehörige IP-Adresse wurde die 107.175.172[.]40 ermittelt.
Der Schutz vor komplexen digitalen Angriffen erfordert heute mehr als nur einfache Sicherheitssoftware, insbesondere bei der Absicherung von privilegierten Zugriffen. Experten erklären in diesem kostenlosen E-Book, wie Sie sich proaktiv absichern und Sicherheitslücken schließen, bevor es zu spät ist. Gratis-Checkliste gegen Cyberangriffe jetzt herunterladen
Sicherheitsexperten raten Organisationen, insbesondere im Bereich kritischer Infrastrukturen und Regierungsstellen, ihre Netzwerke auf diese Merkmale zu überwachen. Da die Malware gezielt auf die Ausnutzung legitimer Systemfunktionen setzt, bleibt die Identifizierung solcher verdeckten Operationen eine Herausforderung für die IT-Sicherheit.
