OtterCookie: Nordkoreas Malware versteckt sich in SVG-Bildern

Die Täter locken ihre Opfer mit gefälschten Stellenanzeigen und verstecken Schadsoftware in harmlos wirkenden Bilddateien.

Forscher von Elastic Security Labs deckten die Kampagne mit dem Codenamen REF9403 auf. Die Angreifer nutzen ein raffiniertes Verfahren namens Steganographie – sie verbergen Malware in den Metadaten von SVG-Grafiken. Die Schadsoftware trägt den Namen OtterCookie und wird seit September 2024 von den Sicherheitsexperten beobachtet.

Gefälschte Coding-Challenges als Einfallstor

Die Angreifer infiltrierten am 26. Mai 2026 den Slack-Workspace von Elastic Security Labs. Ihre Masche: Sie locken Entwickler mit fingierten Job-Angeboten und schicken ihnen trojanisierte Software-Repositories – etwa eine vermeintliche E-Commerce-Anwendung.

Diese Repositories enthalten zwar funktionierenden Code, aber auch manipulierte SVG-Bilddateien. Die Malware ist in Base64-kodierte Fragmente in den HTML-Kommentaren dieser Grafiken eingebettet. Ein spezielles Skript setzt diese Fragmente wieder zusammen, sobald der Entwickler die Coding-Challenge ausführt.

Das resultierende Schadsoftware-Paket ist umfangreich:
- Ein Browser-Credential-Dieb und Kryptowährungs-Wallet-Stealer
- Ein Datei-Exfiltrations-Tool
- Ein Remote-Access-Trojaner (RAT) auf Basis von Socket.IO
- Ein Clipboard-Stealer

Die aktuelle Version von OtterCookie kann zudem virtuelle Maschinen erkennen und Daten aus KI-Coding-Tools wie Claude, Cursor, Gemini und Llama abgreifen. Zum Zeitpunkt der Entdeckung zeigten gängige Antivirenprogramme null Erkennungen für die Malware.

Immer mehr Unternehmen werden Opfer von hochkomplexen Cyberangriffen, die klassische Schutzsysteme oft umgehen. Erfahren Sie in diesem kostenlosen E-Book, wie Sie Ihre IT-Sicherheit proaktiv stärken und Sicherheitslücken effektiv schließen. Experten-Checkliste zur Cyber-Security jetzt kostenlos sichern

Angriff auf Blockchain und DeFi

Die Attacken auf Entwickler sind Teil einer größeren Strategie. Ziel ist es, Gelder von DeFi-Plattformen (Decentralized Finance) und Web3-Anwendungen abzuschöpfen. Branchenanalysten berichten, dass allein in den letzten Wochen mehr als 500 Millionen Euro durch Angriffe auf die Protokolle Drift und Kelp abgeflossen sind.

Ein besonders dreister Fall: Die Firma Consensys, Entwickler der populären Krypto-Wallet MetaMask, stellte unwissentlich einen nordkoreanischen Entwickler ein. Der Mann, der unter dem Pseudonym Tyler Knapp auftrat, arbeitete von März bis April 2026 als Berater am Kerncode von MetaMask – unter anderem an Systemen zur Umwandlung von Kryptowährung in Fiatgeld.

Consensys beendete den Zugriff im April, nachdem die Bedrohung erkannt wurde. Eine interne Untersuchung ergab: Es wurden keine Daten gestohlen und kein Schadcode in die Produkte eingeschleust.

SVG-Dateien: Die neue Lieblingswaffe der Hacker

Der Einsatz manipulierter SVG-Dateien ist Teil eines wachsenden Trends. Microsoft verzeichnete im Februar 2026 rund 1,2 Millionen SVG-basierte Phishing-Nachrichten, die an über 53.000 Organisationen verschickt wurden. Der Grund: SVG-Dateien können ausführbare Skripte enthalten und werden von traditionellen Sicherheitsfiltern oft übersehen.

Besonders perfide Methoden wie CEO-Fraud und manipulierte Dateianhänge nutzen gezielt psychologische Schwachstellen aus, um in Firmennetzwerke einzudringen. Dieser Gratis-Report enthüllt die aktuellen Taktiken der Cyberkriminellen und zeigt Ihnen, wie Sie Ihr Unternehmen in 4 Schritten schützen. Kostenloses Anti-Phishing-Paket herunterladen

Die Lage ist ernst. Forscher identifizierten zudem die PolinRider-Kampagne, die auf 162 schädliche Artefakte in 106 verschiedenen Softwarepaketen angewachsen ist. Die Angreifer nutzen manipulierte Open-Source-Repositories und manipulierte Zeitstempel, um ihre Aktivitäten zu verschleiern.

Eine weitere Gruppe namens FAMOUS CHOLLIMA soll für fast die Hälfte aller staatlich gesteuerten Angriffe auf Technologieunternehmen verantwortlich sein. Sie setzen regelmäßig gefälschte IT-Identitäten ein, um sich als Remote-Entwickler zu bewerben.

Im südkoreanischen Finanzsektor wurde kürzlich die Qilin-Ransomware-Gruppe mit einem Angriff über einen Managed Service Provider in Verbindung gebracht. Die Kampagne, die Ende 2025 begann, führte zur Exfiltration von zwei Terabyte Daten von 28 Opfern. Sicherheitsexperten vermuten eine Verbindung zwischen diesen Ransomware-Operationen und der nordkoreanischen Gruppe Moonstone Sleet.

de | wissenschaft | 69789750 |