Einleitung

Vor einigen Tagen ist einem unserer System Engineers bei der Analyse einer aktuellen *Malware-Kampagne ein Detail aufgefallen, das ihn nicht mehr losgelassen hat. Was zunächst wie eine Routineanalyse wirkte, entwickelte sich schnell zu einem tieferen Einblick in eine Entwicklung, die wir in unserer täglichen Arbeit immer häufiger beobachten. 

In unserem Cyber Security Team ist es seine Aufgabe, sicherzustellen, dass die AV- und EDR-Systeme unserer Kunden stabil, sauber und zuverlässig funktionieren. Das Team analysiert Auffälligkeiten, prüft neue Angriffstechniken und bewertet kontinuierlich, wie sich Bedrohungslandschaften verändern. 

Gerade deshalb hat dieser Fall intern besondere Aufmerksamkeit bekommen. Denn die analysierte Malware zeigte Eigenschaften, die exemplarisch für eine neue Generation von Angriffstechniken steht: Sie erkennt aktiv Sicherheitslösungen, verschleiert gezielt ihre Prozessketten und passt ihr Verhalten dynamisch an die vorhandene Verteidigungsumgebung an. 

Wenn Malware beginnt, Security-Tools bewusst zu identifizieren und ihre Ausführung adaptiv anzupassen, bewegen wir uns in einem Bereich, in dem klassische Schutzmechanismen zunehmend an ihre Grenzen stoßen. Genau diese Entwicklung sehen wir aktuell immer häufiger, in realen Unternehmensumgebungen. 

Der Fall PyStoreRAT ist dafür ein besonders anschauliches Beispiel. 

Für uns steht PyStoreRAT nicht nur für eine einzelne Malware-Kampagne, sondern für ein Muster, das wir als „Chamäleon-Effekt moderner Malware“ beschreiben: Schadsoftware, die ihre Umgebung analysiert und ihr Verhalten flexibel daran anpasst. 

Mit unserem Beitrag möchten wir diese Entwicklung etwas greifbarer machen und zeigen, warum sich Detection-Strategien aktuell grundlegend weiterentwickeln müssen. 

Als Grundlage für die technische Analyse haben wir unter anderem den aktuellen Threat Analysis Report von Morphisec herangezogen. 

PyStoreRAT und der Chamäleon-Effekt
adaptiver Malware

Moderne Malware verhält sich zunehmend adaptiv. Sie versteckt sich nicht nur – sie analysiert aktiv ihre Umgebung und passt ihr Verhalten dynamisch an. 

PyStoreRAT ist ein besonders anschauliches Beispiel für diesen sogenannten Chamäleon-Effekt. 

Kurzabriss: Was ist PyStoreRAT?

PyStoreRAT ist ein modularer, JavaScript-basierter Remote Access Trojan (RAT), der über scheinbar legitime *GitHub-Repositories verbreitet wurde. 

Ziel der Kampagne waren insbesondere: 

• Entwickler
• *OSINT-Analysten
• IT Security-Professionals
• technisch versierte Anwender

Der initiale Infektionsweg wirkt zunächst unspektakulär: 

• Ein minimaler *Loader wird ausgeführt 
• Dieser lädt im Hintergrund eine *HTA-Datei nach 
• Die Ausführung erfolgt über *mshta.exe 
• Danach übernimmt ein mehrstufiges Implantat 

Dieses Implantat ermöglicht unter anderem: 

• Systemprofilierung 
• *Persistenzmechanismen 
• *tokenisierte C2-Kommunikation
• *modularen Payload-Download

Damit entsteht eine adaptive Malware-Architektur, die sich dynamisch erweitern lässt. 

Gezielte EDR-Erkennung

Eine besonders bemerkenswerte Eigenschaft von PyStoreRAT ist die aktive Analyse der Sicherheitsumgebung. 

Die Malware nutzt *WMI-Abfragen (ROOT\SecurityCenter2), um installierte Sicherheitslösungen zu identifizieren. 

Dabei wird gezielt nach Enterprise-EDR-Produkten gesucht. 

Das zeigt klar: 

Diese Malware ist nicht generisch entwickelt, sondern bewusst für Unternehmensumgebungen optimiert. 

Für Angreifer bedeutet das: 

• bessere Tarnung 

• gezielte Umgehung von *Detection-Mechanismen 

• höhere Erfolgsquote in professionellen IT Umgebungen 

Manipulation der Prozesskette

Für Security Operations Center (SOC) und Cyber Defence Center (CDC) ist eine weitere Technik besonders relevant: 

die gezielte Unterbrechung der Process Chain. 

Normalerweise würde eine Infektionskette etwa so aussehen: 

python.exe → mshta.exe → Payload 

PyStoreRAT fügt jedoch einen zusätzlichen Zwischenprozess ein. 

Das führt zu zwei Effekten: 

• Die klare *Parent-Child-Beziehung wird fragmentiert 

• Die visuelle Analyse im *Process Tree wird deutlich erschwert 

Diese Technik richtet sich nicht nur gegen automatisierte EDR-Regeln, sondern explizit gegen menschliche Analysten, die Prozessketten als primäres Analyseinstrument nutzen. 

Umgehung klassischer 
*Script-Hooks 

Ein weiteres bemerkenswertes Detail ist die Umgehung klassischer Script-Hooks. 

Viele moderne EDR-Lösungen überwachen typische Funktionen wie: 

• *JSON.parse() 

• *eval() 

• *Script-Parsing-Routinen

PyStoreRAT nutzt stattdessen eine manuelle * String-Rekonstruktion, um Daten zu verarbeiten. 

Dadurch werden typische Hook-Punkte der Security-Tools umgangen oder zumindest deutlich erschwert zu erkennen. 

Warum dieses Beispiel strategisch relevant ist

Wir haben PyStoreRAT bewusst gewählt, weil es eine Entwicklung verdeutlicht, die sich aktuell stark beschleunigt: 

Malware wird kontextsensitiv und adaptiv. 

Das bedeutet: 

Sie reagiert auf 

• installierte Security-Tools 

• Analyseumgebungen 

• Prozessüberwachung 

• Verhalten von Defender-Systemen 

Damit verändert sich auch die Herausforderung für Security-Strategien. *IOC-basierte Detection allein reicht heute nicht mehr aus. 

Stattdessen werden erforderlich: 

• verhaltensorientierte Analyse 

• Korrelation über mehrere Datenquellen 

• *Memory-Analyse 

• Kontextanalyse von Prozessketten 

• Netzwerk- und Kommunikationsmuster 

Fazit: Die nächste Evolutionsstufe von Malware

PyStoreRAT steht exemplarisch für eine neue Generation adaptiver Malware. 

Nicht rohe Gewalt steht im Vordergrund, sondern intelligente Anpassung. 

Angreifer versuchen zunehmend: 

• Sicherheitslösungen zu erkennen 

• Analyseprozesse zu manipulieren 

• Detektionslogik gezielt zu umgehen 

Wer moderne Angriffe erkennen will, muss verstehen: 

Das Angriffsmuster ist heute dynamisch – genau wie ein Chamäleon, das seine Farbe anpasst. 

Handlungsempfehlung für Geschäftsleitung und CISO 

Für dein Unternehmen bedeutet diese Entwicklung eine strategische Herausforderung: 

Security darf nicht mehr nur als Technologieproblem betrachtet werden. 

Entscheidend sind: 

• *Threat-informed Detection Strategien 

• kontinuierliche *Threat Intelligence 

• EDR/XDR-Tuning und Use-Case Engineering 

• regelmäßige Detection Engineering Reviews 

• SOC- und Analysten-Training 

Nur so lassen sich adaptive Angriffstechniken frühzeitig erkennen. 

*Glossar

Quelle:

Dominik Thanner
IT Infrastructure Specialist Infrastructure & Development WK IT GmbH

„Meine berufliche Laufbahn begann im Juli 2021 mit meiner Tätigkeit als System Engineer bei der WK. Seit August 2022 obliegt mir die Leitung eines Projektteams für einen Kunden im Rahmen einer Endpoint-Security-Lösung bei einem deutschen Automobilhersteller.„

Zu meinem LinkedIn Account