So entfernen Sie den PINHOLE Remote-Access-Trojaner

Welche Art von Malware ist PINHOLE RAT?

PINHOLE RAT ist ein Remote Access Trojan (RAT), der im August 2026 von der SOCRadar Threat Research Unit (STRU) aufgedeckt wurde. Nach der Installation verschafft er Angreifern die Fernsteuerung über einen infizierten Windows-Computer, sodass sie Dateien stehlen, Screenshots erstellen, Shell-Befehle ausführen und zusätzliche schädliche Module laden können.

PINHOLE RAT nutzt FTP-Server-Banner als Dead Drop Resolver, eine neuartige Technik, bei der die Malware Anweisungen der Angreifer aus den Willkommensnachrichten von FTP-Servern ausliest, anstatt direkt mit ihrem Betreiber zu kommunizieren.

Der RAT verbirgt seine echte Serveradresse in legitimen Plattformen wie Pinterest und SurveyMonkey und leitet seinen Netzwerkverkehr über Cloudflare Workers weiter. Die seit mindestens Juli 2026 aktive Kampagne schien sich zum Zeitpunkt der Analyse noch in einem frühen Stadium zu befinden.

PINHOLE RAT Übersicht

Wie von SOCRadar dokumentiert, gelangt PINHOLE RAT über eine mehrstufige Übertragungskette auf das System, die beginnt, wenn ein Opfer eine bösartige Verknüpfungsdatei (.lnk) öffnet, die höchstwahrscheinlich per E-Mail empfangen wurde. Die Verknüpfung verbindet sich unbemerkt mit einem betrügerischen FTP-Server und liest Befehle aus dessen Banner.

Diese Befehle laden ein Skript herunter, das eine verschlüsselte Payload im temporären Windows-Ordner ablegt, getarnt als Zertifikatsdatei. Nach sechs Ebenen der Dekodierung und Entschlüsselung wird der finale RAT-Code in einen legitimen Windows-Prozess injiziert, wodurch die Infektion vor den meisten Sicherheitstools verborgen wird.

PINHOLE RAT findet seinen Command-and-Control-Server (C2), indem es versteckte Daten liest, die in echten Pinterest-Pins und SurveyMonkey-Umfrageseiten eingebettet sind. Die tatsächliche Serveradresse wird hinter einem Cloudflare-Workers-Proxy verborgen, was das Blockieren auf Netzwerkebene deutlich erschwert.

Was kann PINHOLE RAT anrichten?

PINHOLE RAT unterstützt vierzehn verschiedene Befehlstypen. Die Betreiber können Dateien überall auf dem Rechner des Opfers auflisten, durchsuchen, hochladen, herunterladen oder löschen. Sie können außerdem Programme ausführen, Screenshots erstellen sowie beliebige laufende Prozesse anzeigen oder zwangsweise beenden.

Die RAT kann eine dauerhafte PowerShell-Sitzung öffnen, sodass der Angreifer beliebige Windows-Befehle interaktiv eingeben und ausführen kann. Ein Browser-Stealer-Modul kann bei Bedarf heruntergeladen und geladen werden, das auf gespeicherte Passwörter, Cookies und andere in gängigen Webbrowsern gespeicherte Anmeldedaten abzielt.

Gestohlene Dateien werden über HTTP, getarnt als gewöhnlicher Webverkehr, an den Angreifer zurückgesendet. Screenshots werden erfasst und als JPEG-Bilder hochgeladen. Da die Funktionen als separate Module bereitgestellt werden, kann der Angreifer jederzeit nach der Infektion erweitern, was die RAT leistet.

Persistenz und Umgehung von Sicherheitsmechanismen

Zur Persistenz kopiert sich PINHOLE RAT in einen zufällig benannten Ordner innerhalb des lokalen Anwendungsdatenverzeichnisses des Benutzers. Es registriert diese Kopie in der Windows-Registry, damit sie bei jeder Anmeldung automatisch ausgeführt wird, wobei ein veralteter Systemschlüssel verwendet wird, der von normalen Benutzern selten überwacht wird.

Bevor die RAT irgendetwas anderes tut, prüft sie, ob sie in einer Sandbox oder Analyseumgebung ausgeführt wird. Wenn sie künstliche Systembibliotheken erkennt, die von Emulatoren verwendet werden, beendet sie sich sofort. Sie verwendet außerdem eine Technik namens Halo's Gate, um direkte Kernel-Aufrufe durchzuführen und so Hooks zu umgehen, die Sicherheitssoftware in Windows-Systemdateien platziert.

Die finale RAT-Payload wird mittels Asynchronous Procedure Call-Injection (APC) in einen legitimen Windows-Prozess injiziert, bevor der Zielprozess vollständig gestartet ist. Dies macht die Injektion für Sicherheitstools deutlich schwerer erkennbar.

Konfigurationsdaten - einschließlich der verschlüsselten Speicherorte der Dead Drop Resolvers - werden in versteckten NTFS Alternate Data Streams gespeichert, die an gewöhnliche desktop.ini-Dateien angehängt sind. Die Payload selbst kommt in sechs Ebenen von Verschlüsselung und Kodierung eingehüllt an, wobei gefälschte JPEG- und Zertifikats-Header hinzugefügt werden, um die Daten während der Übertragung zu tarnen.

Fazit

PINHOLE RAT verschafft Angreifern die vollständige Fernsteuerung eines infizierten Computers. Je nach den vom Betreiber eingesetzten Modulen kann es verwendet werden, um Browser-Anmeldedaten zu stehlen, Dateien zu durchsuchen und zu exfiltrieren, Screenshots zu erstellen oder jederzeit beliebige Befehle auszuführen.

Seine ausgefeilten Umgehungstechniken, darunter Sandbox-Erkennung, Umgehungen auf Kernel-Ebene, Prozessinjektion und versteckte Konfigurationsspeicherung, machen es zu einer hartnäckigen und schwer zu erkennenden Bedrohung. Jedes System, bei dem der Verdacht auf eine Infektion besteht, sollte sofort gescannt und bereinigt werden.

Weitere Beispiele für RATs sind Golden Gh0st, Heisenberg und TONResolver.

Wie ist PINHOLE RAT in meinen Computer eingedrungen?

Laut von SOCRadar veröffentlichten Untersuchungen wird PINHOLE RAT über Phishing-E-Mails verbreitet, die bösartige LNK-Verknüpfungsdateien enthalten. Wenn ein Opfer die Verknüpfung öffnet, verbindet sie sich unbemerkt mit einem betrügerischen FTP-Server und liest Befehle aus dem Willkommensbanner des Servers.

Diese Befehle laden ein Skript herunter, das eine kodierte Payload in den temporären Windows-Ordner schreibt, getarnt als Zertifikatsdatei. Das Skript dekodiert und führt die Payload aus und löscht dann innerhalb weniger Sekunden alle temporären Dateien, um die Spuren der Infektion zu minimieren.

Spanischsprachige Köder, wie etwa gefälschte Gutscheineinlösungen, wurden in freier Wildbahn beobachtet. Die Forscher von SOCRadar weisen darauf hin, dass die FTP-Banner-Technik auch für Social-Engineering-Seiten im Stil von ClickFix angepasst werden könnte, bei denen die Opfer dazu verleitet werden, selbst einen bösartigen Befehl auszuführen. Allgemeiner betrachtet erreichen Bedrohungen wie PINHOLE RAT ihre Opfer auch über Drive-by-Downloads und kompromittierte Websites.

Wie kann man die Installation von Malware vermeiden?

Seien Sie vorsichtig bei unerwarteten E-Mails und den darin enthaltenen Dateien. Öffnen Sie keine Verknüpfungs- oder Archivdateien von unbekannten Absendern und klicken Sie niemals auf Links in unaufgeforderten Nachrichten. Halten Sie Windows und alle installierten Anwendungen auf dem neuesten Stand, da Sicherheitspatches Schwachstellen schließen, die von Malware häufig ausgenutzt werden.

Laden Sie Software nur von offiziellen Entwickler-Websites oder verifizierten App-Stores herunter. Vermeiden Sie raubkopierte Software, Schlüsselgeneratoren und inoffizielle Download-Quellen. Verwenden Sie eine renommierte Antiviruslösung und führen Sie regelmäßige Scans durch. Wenn Sie glauben, dass Ihr Computer bereits infiziert ist, empfehlen wir, einen Scan mit Combo Cleaner Antivirus für Windows durchzuführen, um eingedrungene Malware automatisch zu beseitigen.

Umgehende automatische Entfernung von Malware:

Die manuelle Entfernung einer Bedrohung kann ein langer und komplizierter Prozess sein, der fortgeschrittene Computerkenntnisse voraussetzt. Combo Cleaner ist ein professionelles, automatisches Malware-Entfernungstool, das zur Entfernung von Malware empfohlen wird. Laden Sie es durch Anklicken der untenstehenden Schaltfläche herunter:

Indem Sie Software, die auf dieser Internetseite aufgeführt ist, herunterladen, stimmen Sie unseren Datenschutzbestimmungen und Nutzungsbedingungen zu. Der kostenlose Scanner überprüft, ob Ihr Computer infiziert ist. Um das Produkt mit vollem Funktionsumfang nutzen zu können, müssen Sie eine Lizenz für Combo Cleaner erwerben. Auf 7 Tage beschränkte kostenlose Testversion verfügbar. Eigentümer und Betreiber von Combo Cleaner ist RCS LT, die Muttergesellschaft von PCRisk.

Schnellmenü:

• Was ist PINHOLE RAT?
• SCHRITT 1. Manuelle Entfernung der PINHOLE RAT-Malware.
• SCHRITT 2. Prüfen Sie, ob Ihr Computer sauber ist.

Wie entfernt man Malware manuell?

Die manuelle Entfernung von Malware ist eine komplizierte Aufgabe - in der Regel ist es am besten, Antiviren- oder Anti-Malware-Programme dies automatisch erledigen zu lassen. Um diese Malware zu entfernen, empfehlen wir die Verwendung von Combo Cleaner Antivirus für Windows.

Wenn Sie Malware manuell entfernen möchten, besteht der erste Schritt darin, den Namen der Malware zu ermitteln, die Sie zu entfernen versuchen. Hier ist ein Beispiel für ein verdächtiges Programm, das auf dem Computer eines Benutzers läuft:

Wenn Sie die Liste der auf Ihrem Computer laufenden Programme überprüft haben, zum Beispiel mit dem Task-Manager, und ein Programm identifiziert haben, das verdächtig aussieht, sollten Sie mit diesen Schritten fortfahren:

Laden Sie ein Programm namens Autoruns herunter. Dieses Programm zeigt Autostart-Anwendungen sowie Registry- und Dateisystem-Speicherorte an:

Starten Sie Ihren Computer im abgesicherten Modus neu:

Windows XP- und Windows 7-Benutzer: Starten Sie Ihren Computer im abgesicherten Modus. Klicken Sie auf Start, klicken Sie auf Herunterfahren, klicken Sie auf Neu starten, klicken Sie auf OK. Drücken Sie während des Startvorgangs Ihres Computers mehrmals die F8-Taste auf Ihrer Tastatur, bis das Menü Erweiterte Windows-Optionen erscheint, und wählen Sie dann Abgesicherter Modus mit Netzwerktreibern aus der Liste.

Video, das zeigt, wie man Windows 7 im „Abgesicherten Modus mit Netzwerktreibern" startet:

Windows 8-Benutzer: Starten Sie Windows 8 im abgesicherten Modus mit Netzwerktreibern - Gehen Sie zum Windows 8-Startbildschirm, geben Sie Erweitert ein, wählen Sie in den Suchergebnissen Einstellungen. Klicken Sie auf Erweiterte Startoptionen, wählen Sie im geöffneten Fenster „Allgemeine PC-Einstellungen" den Punkt Erweiterter Start.

Klicken Sie auf die Schaltfläche „Jetzt neu starten". Ihr Computer wird nun in das „Menü Erweiterte Startoptionen" neu gestartet. Klicken Sie auf die Schaltfläche „Problembehandlung" und dann auf die Schaltfläche „Erweiterte Optionen". Klicken Sie im Bildschirm für erweiterte Optionen auf „Starteinstellungen".

Klicken Sie auf die Schaltfläche „Neu starten". Ihr PC wird in den Bildschirm Starteinstellungen neu gestartet. Drücken Sie F5, um im abgesicherten Modus mit Netzwerktreibern zu starten.

Video, das zeigt, wie man Windows 8 im „Abgesicherten Modus mit Netzwerktreibern" startet:

Windows 10-Benutzer: Klicken Sie auf das Windows-Logo und wählen Sie das Ein/Aus-Symbol. Klicken Sie im geöffneten Menü auf „Neu starten", während Sie die „Umschalttaste" auf Ihrer Tastatur gedrückt halten. Klicken Sie im Fenster „Option auswählen" auf „Problembehandlung" und wählen Sie anschließend „Erweiterte Optionen".

Wählen Sie im Menü der erweiterten Optionen „Starteinstellungen" und klicken Sie auf die Schaltfläche „Neu starten". Im folgenden Fenster sollten Sie die Taste „F5" auf Ihrer Tastatur drücken. Dadurch wird Ihr Betriebssystem im abgesicherten Modus mit Netzwerktreibern neu gestartet.

Video, das zeigt, wie man Windows 10 im „Abgesicherten Modus mit Netzwerktreibern" startet:

Entpacken Sie das heruntergeladene Archiv und führen Sie die Datei Autoruns.exe aus.

Klicken Sie in der Autoruns-Anwendung oben auf „Options" und deaktivieren Sie die Optionen „Hide Empty Locations" und „Hide Windows Entries". Klicken Sie nach diesem Vorgang auf das Symbol „Refresh".

Überprüfen Sie die von der Autoruns-Anwendung bereitgestellte Liste und finden Sie die Malware-Datei, die Sie beseitigen möchten.

Sie sollten den vollständigen Pfad und Namen notieren. Beachten Sie, dass einige Malware Prozessnamen unter legitimen Windows-Prozessnamen verbirgt. In diesem Stadium ist es sehr wichtig, das Entfernen von Systemdateien zu vermeiden. Nachdem Sie das verdächtige Programm gefunden haben, das Sie entfernen möchten, klicken Sie mit der rechten Maustaste auf seinen Namen und wählen Sie „Delete".

Nachdem Sie die Malware über die Autoruns-Anwendung entfernt haben (dies stellt sicher, dass die Malware beim nächsten Systemstart nicht automatisch ausgeführt wird), sollten Sie auf Ihrem Computer nach dem Malware-Namen suchen. Stellen Sie sicher, dass Sie versteckte Dateien und Ordner aktivieren, bevor Sie fortfahren. Wenn Sie den Dateinamen der Malware finden, stellen Sie sicher, dass Sie ihn entfernen.

Starten Sie Ihren Computer im normalen Modus neu. Das Befolgen dieser Schritte sollte jegliche Malware von Ihrem Computer entfernen. Beachten Sie, dass die manuelle Entfernung von Bedrohungen fortgeschrittene Computerkenntnisse erfordert. Wenn Sie diese Kenntnisse nicht besitzen, überlassen Sie die Entfernung von Malware den Antiviren- und Anti-Malware-Programmen.

Diese Schritte funktionieren möglicherweise nicht bei fortgeschrittenen Malware-Infektionen. Wie immer ist es am besten, eine Infektion zu verhindern, als zu versuchen, Malware später zu entfernen. Um Ihren Computer sicher zu halten, installieren Sie die neuesten Betriebssystem-Updates und verwenden Sie Antivirensoftware. Um sicherzustellen, dass Ihr Computer frei von Malware-Infektionen ist, empfehlen wir, ihn mit Combo Cleaner Antivirus für Windows zu scannen.

Häufig gestellte Fragen (FAQ)

Mein Computer ist mit der PINHOLE RAT-Malware infiziert, sollte ich mein Speichergerät formatieren, um sie loszuwerden?

Das Formatieren entfernt PINHOLE RAT, löscht aber auch alle Ihre Daten. Eine renommierte Sicherheitslösung wie Combo Cleaner sollte zuerst ausprobiert werden, da sie die Bedrohung entfernen kann, ohne Ihre Dateien zu löschen.

Was sind die größten Probleme, die die PINHOLE RAT-Malware verursachen kann?

PINHOLE RAT kann Angreifern die vollständige Fernsteuerung eines infizierten Computers verschaffen und so Dateidiebstahl, das Sammeln von Browser-Anmeldedaten, die Erstellung von Screenshots und die Bereitstellung zusätzlicher Malware ermöglichen.

Zu den nachgelagerten Folgen gehören Identitätsdiebstahl, Finanzbetrug, Kontoübernahme und der Verlust sensibler persönlicher und geschäftlicher Daten.

Was ist der Zweck der PINHOLE RAT-Malware?

Der Zweck von PINHOLE RAT besteht darin, Angreifern die Fernsteuerung über infizierte Windows-Computer zu verschaffen. Die Betreiber können Befehle ausführen, Dateien und Browser-Anmeldedaten stehlen, Screenshots erstellen und bei Bedarf zusätzliche bösartige Module laden.

Wie ist die PINHOLE RAT-Malware in meinen Computer eingedrungen?

PINHOLE RAT wird über Phishing-E-Mails verbreitet, die bösartige LNK-Verknüpfungsdateien enthalten. Das Öffnen der Verknüpfung löst eine versteckte Kette aus, die sich mit einem betrügerischen FTP-Server verbindet, eine verschlüsselte Payload herunterlädt und die RAT unbemerkt installiert.

Wird Combo Cleaner mich vor Malware schützen?

Ja. Combo Cleaner kann die meisten bekannten Malware-Arten erkennen und entfernen, einschließlich RATs. Da Bedrohungen wie PINHOLE RAT fortschrittliche Umgehungstechniken verwenden und sich in legitime Prozesse injizieren, ist das Durchführen eines vollständigen Systemscans wichtig, um sicherzustellen, dass das System vollständig sauber ist.