Operation STANDOFF: Russische Hacker deaktivieren Microsoft Defender

Eine neue Cyberkampagne aus Russland zielt gezielt auf Windows-Systeme ab. Die Angreifer schalten Microsoft Defender aus und schleusen Schadsoftware ein.

Sicherheitsforscher haben am heutigen Dienstag eine russischsprachige Cybercrime-Kampagne identifiziert, die Microsoft Defender systematisch deaktiviert. Unter dem Namen Operation STANDOFF nutzen die Angreifer ein Pay-per-Install-Modell (PPI), um Systeme zu kompromittieren und dauerhaft zu infilitrieren.

Mehrstufiger Angriff legt Sicherheitsfunktionen lahm

Der Angriff beginnt mit einem NSIS-Installer, der ein massives Paket aus 40 bis 50 einzelnen Programmen auf dem Zielsystem ablegt. Die Malware zielt direkt auf die Kernfunktionen von Microsoft Defender ab. Sie deaktiviert zwangsweise die Echtzeitüberwachung und den Cloud-basierten Schutz.

Um die Infektion zu sichern, erstellt die Schadsoftware gezielt Ausnahmen in der Sicherheitssoftware. So bleiben ihre eigenen Dateien unentdeckt. Zusätzlich manipuliert die Malware den Windows-Update-Dienst – eine Taktik, die verhindern soll, dass das System automatische Sicherheitsupdates erhält.

Angriffe wie die Operation STANDOFF zeigen, wie rasant sich digitale Bedrohungen entwickeln und herkömmliche Schutzmaßnahmen umgehen. Dieses kostenlose E-Book liefert Unternehmern fundierte Informationen zu aktuellen Cyberbedrohungen und zeigt Wege auf, die IT-Sicherheit langfristig zu stärken. Kostenlosen Cyber-Security-Ratgeber jetzt herunterladen

Für den dauerhaften Verbleib auf infizierten Rechnern nutzen die Angreifer eine gefälschte Version des Systemprozesses csrss.exe. Die Koordination des Botnetzes erfolgt über eine eigene Plattform namens STANDOFF COORD. Die Forscher beobachteten zudem eine Täuschungstaktik: Die Angreifer leiten Netzwerkverkehr über HTTP-301-Weiterleitungen zu GitHub um, um die eigentliche Kommando-Infrastruktur zu verschleiern.

Breites Spektrum an Schadsoftware

Operation STANDOFF dient als Verteilplattform für verschiedene Malware-Familien. Dazu gehört der XMRig-Miner, der mit den Ressourcen des Opfers die Kryptowährung Monero schürft. Die Kampagne verbreitet auch Werkzeuge zum Diebstahl von Zugangsdaten und zur Einrichtung nicht autorisierter Proxy-Dienste.

Die Entdeckung dieser Kampagne bestätigt einen breiteren Trend in der Cybersicherheit. Ein am Montag veröffentlichter Quartalsbericht zeigt: Techniken zur Deaktivierung von Endpunkt-Sicherheitslösungen (EDR) und Antivirenprogrammen gehören inzwischen zum Standardrepertoire moderner Cyberangriffe. Demnach wurden im zweiten Quartal 2026 fast 2.000 Angriffe von rund 89 verschiedenen Gruppen gemeldet. Der verarbeitende Sektor war das häufigste Ziel.

Da besonders der verarbeitende Sektor und KMU im Visier von Cyberkriminellen stehen, ist proaktive Aufklärung der beste Schutz. Erfahren Sie in diesem Gratis-Report, welche neuen Gesetze und Cyberrisiken auf Ihr Unternehmen zukommen und wie Sie Sicherheitslücken ohne teure Investitionen schließen. Gratis-Report zu Cyber Security Awareness sichern

Neue Namenskonvention für Bedrohungen

Parallel zur Aufdeckung von Operation STANDOFF passen große Branchenakteure ihre Klassifizierung von Bedrohungen an. Am Montag kündigte die Google Threat Intelligence Group eine Umstellung auf ein neues Zwei-Wort-Schema an. Das System kategorisiert Angreifer nach Motivation und geografischer Herkunft – mit spezifischen Kennungen wie RELIC für russischsprachige Gruppen und COMET für finanziell motivierte Operationen.

Dieser Schritt bedeutet eine Abkehr von früheren branchenweiten Versuchen, einen einheitlichen Standard zu schaffen. Bestehende Zuordnungen zu anderen Herstellersystemen und dem MITRE-ATT&CK-Framework sollen für Sicherheitsexperten aber weiterhin auffindbar bleiben.

de | wissenschaft | 69891294 |