So werden Sie PackClient RAT los

Welche Art von Malware ist PackClient RAT?

PackClient ist ein Remote Access Trojan (RAT), der über Telegram-Kanäle vermarktet und von einer chinesischsprachigen Cyberkriminellen-Gruppe eingesetzt wird, die als TA4922 verfolgt wird. Er verschafft Angreifern die vollständige Fernsteuerung über kompromittierte Computer und unterstützt über 60 Fernbefehle.

Laut Untersuchungen, die von Proofpoint veröffentlicht wurden, führt TA4922 gezielte Kampagnen gegen Organisationen in China und Indien durch. Die Gruppe verwendet überzeugende E-Mails, die sich als Steuerbehörden ausgeben, um Opfer dazu zu bringen, bösartige Anhänge zu öffnen, die den RAT unbemerkt installieren.

PackClient RAT - Übersicht

PackClient basiert auf einer modularen, Plugin-basierten Architektur. Es verbindet sich über ein benutzerdefiniertes TCP-basiertes Protokoll mit dem Server des Angreifers und kann Anweisungen empfangen, gestohlene Daten übermitteln und bei Bedarf zusätzliche Plugin-Module herunterladen.

Der RAT kann Screenshots aufnehmen, Tastatureingaben protokollieren, Inhalte der Zwischenablage abfangen, Webcam-Videos streamen, Dateien auf dem Datenträger verwalten, Shell-Befehle ausführen und den Datenverkehr des Angreifers über die Verbindung des Opfers tunneln. Zudem verfügt er über spezielle Fähigkeiten zur Überwachung von Telegram Desktop auf infizierten Rechnern.

Die Infektionskette von PackClient RAT

PackClient erreicht das Opfer über einen vierstufigen Infektionsprozess. Die erste Stufe ist ein anfänglicher Downloader, der die Berechtigungsstufe des Systems überprüft, unterstützende Dateien ablegt und mithilfe von HTTP eine verschlüsselte Payload von einem entfernten Staging-Server herunterlädt. Sie entschlüsselt die Payload und richtet einen Registrierungseintrag ein, damit die Malware beim nächsten Start ausgeführt wird.

Die zweite Stufe, genannt PackClientLauncher, fungiert als Kernlader. Sie liest die Command-and-Control-Einstellungen (C2), lädt das Haupt-RAT-Modul herunter und lädt es direkt in den Speicher. Außerdem startet sie einen Wächterprozess, der den RAT überwacht und automatisch neu startet, wenn er geschlossen oder beendet wird.

Die dritte Stufe ist PackClientCore - das eigentliche RAT-Modul mit Unterstützung für über 60 C2-Befehle. Die vierte Stufe ist ein Plugin-System, das optionale Funktionen bei Bedarf lädt: Remotedesktopzugriff, einen Datei-Manager, Webcam-Streaming, ein SOCKS5-Proxy-Modul und Werkzeuge zur Überwachung von Telegram Desktop.

Die Fähigkeiten von PackClient RAT

Die Fernsteuerung ist die Hauptfunktion des RAT. Die Betreiber können den Bildschirm des Opfers in Echtzeit betrachten, Screenshots aufnehmen, Tastatur und Maus steuern sowie Shell-Befehle ausführen. Sie können Dateien auf dem infizierten Computer durchsuchen und verwalten, einschließlich Hochladen, Herunterladen und Löschen.

Ein integrierter Keylogger zeichnet alles auf, was der Benutzer eingibt, selbst wenn die Verbindung zum C2-Server vorübergehend nicht verfügbar ist. Das SOCKS5-Proxy-Modul ermöglicht es Angreifern, ihren eigenen Netzwerkverkehr über die Internetverbindung des Opfers zu leiten und so den tatsächlichen Standort des Angreifers zu verschleiern.

PackClient kann außerdem ein Plugin einsetzen, das in der Lage ist, die Kommunikation von Telegram Desktop abzufangen, wodurch der Angreifer möglicherweise Zugriff auf Nachrichten aus einer Anwendung erhält, die normalerweise als verschlüsselte Messaging-Anwendung gilt.

Persistenz und Umgehung von Abwehrmechanismen

Um Systemneustarts zu überstehen, fügt PackClient einen Autostart-Eintrag in der Windows-Registrierung unter dem Namen RuntimeBroker hinzu und übernimmt dabei den Namen eines legitimen Windows-Prozesses, um Aufmerksamkeit zu vermeiden. Konfigurationsdaten - einschließlich C2-Adressen, Ports und Geräteidentifikatoren - werden in einem separaten Registrierungspfad gespeichert, der mit PackClientConsole verknüpft ist.

Der RAT tarnt seine Hauptausführungsdatei als svchost.exe, einen weiteren häufigen Windows-Systemprozess, und führt sie aus dem Verzeichnis %TEMP% aus. Der Wächterprozess überwacht kontinuierlich den Haupt-RAT und startet ihn neu, wenn er beendet wird, was die manuelle Entfernung erheblich erschwert.

PackClient setzt außerdem auf DLL-Sideloading, um das System des Opfers zu erreichen. Bei dieser Technik wird eine legitime Anwendung dazu gebracht, eine bösartige DLL-Datei zu laden, was der Malware helfen kann, Sicherheitssoftware zu umgehen, die der hostenden Anwendung vertraut.

Fazit

PackClient RAT verschafft Angreifern die vollständige Fernsteuerung über infizierte Geräte, sodass sie Benutzer ausspionieren, sensible Daten stehlen, zusätzliche Malware einsetzen und weitere Angriffe durchführen können. Seine mehrstufige Architektur, der Wächterprozess und die Tarnung als Systemdatei machen ihn schwer erkennbar und manuell schwer entfernbar.

Die Malware wird aktiv in gezielten Kampagnen gegen Unternehmen und Regierungsorganisationen eingesetzt. Jeder Computer, bei dem eine Infektion vermutet wird, sollte umgehend mit einem seriösen Sicherheitstool gescannt und bereinigt werden.

Weitere Beispiele für RATs sind E4del, PINHOLE und Golden Gh0st.

Wie ist PackClient RAT in meinen Computer eingedrungen?

Wie von Proofpoint dokumentiert, verbreitet TA4922 PackClient über Spear-Phishing-E-Mails, die sich als Steuerbehörden ausgeben. Frühe Kampagnen versendeten auf Chinesisch verfasste E-Mails an Organisationen auf dem chinesischen Festland, gaben sich als das Steueramt der Provinz Shandong aus und behaupteten, der Empfänger sei einer Compliance-Prüfung zur Stempelsteuer unterworfen.

Spätere Kampagnen richteten sich mit auf Hindi verfassten E-Mails gegen Organisationen in Indien, die sich als die Einkommensteuerbehörde der indischen Regierung ausgaben. Diese E-Mails drohten mit Strafen und Haft, falls die Empfänger nicht innerhalb von 72 Stunden reagierten, und setzten sie so unter Druck, ein angehängtes ZIP-Archiv oder Datenträgerabbild zu öffnen. Das Ausführen der beigefügten Datei löst die vierstufige Infektionskette aus.

Über diese gezielten Kampagnen hinaus verbreiten sich Trojaner und RATs häufig über raubkopierte Software, gefälschte Download-Seiten, bösartige Werbeanzeigen und infizierte Wechseldatenträger. Das Vermeiden von Dateien aus inoffiziellen Quellen und das Aktuellhalten von Software reduziert das Risiko erheblich.

Wie vermeidet man die Installation von Malware?

Öffnen Sie niemals Anhänge und klicken Sie niemals auf Links in unerwarteten E-Mails, selbst wenn diese von einer Regierungsbehörde oder Steuerbehörde zu stammen scheinen. Cyberkriminelle geben sich routinemäßig als offizielle Institutionen aus, um ein Gefühl der Dringlichkeit zu erzeugen. Laden Sie Software nur von offiziellen Websites herunter und vermeiden Sie raubkopierte Inhalte und Cracks, die häufige Vehikel für die Verbreitung von Malware sind.

Halten Sie Ihr Betriebssystem und alle installierten Anwendungen auf dem neuesten Stand, da Angreifer häufig bekannte Schwachstellen in veralteter Software ausnutzen. Verwenden Sie ein seriöses Sicherheitsprogramm und führen Sie regelmäßige Scans durch. Wenn Sie glauben, dass Ihr Computer bereits infiziert ist, empfehlen wir, einen Scan mit Combo Cleaner Antivirus für Windows durchzuführen, um eingedrungene Malware automatisch zu beseitigen.

Phishing-E-Mails, die zur Verbreitung von PackClient RAT verwendet werden (Quelle: proofpoint.com):

Umgehende automatische Entfernung von Malware:

Die manuelle Entfernung einer Bedrohung kann ein langer und komplizierter Prozess sein, der fortgeschrittene Computerkenntnisse voraussetzt. Combo Cleaner ist ein professionelles, automatisches Malware-Entfernungstool, das zur Entfernung von Malware empfohlen wird. Laden Sie es durch Anklicken der untenstehenden Schaltfläche herunter:

Indem Sie Software, die auf dieser Internetseite aufgeführt ist, herunterladen, stimmen Sie unseren Datenschutzbestimmungen und Nutzungsbedingungen zu. Der kostenlose Scanner überprüft, ob Ihr Computer infiziert ist. Um das Produkt mit vollem Funktionsumfang nutzen zu können, müssen Sie eine Lizenz für Combo Cleaner erwerben. Auf 7 Tage beschränkte kostenlose Testversion verfügbar. Eigentümer und Betreiber von Combo Cleaner ist RCS LT, die Muttergesellschaft von PCRisk.

Schnellmenü:

• Was ist PackClient RAT?
• SCHRITT 1. Manuelle Entfernung der PackClient-RAT-Malware.
• SCHRITT 2. Überprüfen, ob Ihr Computer sauber ist.

Wie entfernt man Malware manuell?

Die manuelle Entfernung von Malware ist eine komplizierte Aufgabe - in der Regel ist es am besten, Antiviren- oder Anti-Malware-Programme dies automatisch erledigen zu lassen. Zur Entfernung dieser Malware empfehlen wir die Verwendung von Combo Cleaner Antivirus für Windows.

Wenn Sie Malware manuell entfernen möchten, besteht der erste Schritt darin, den Namen der Malware zu identifizieren, die Sie entfernen möchten. Hier ist ein Beispiel für ein verdächtiges Programm, das auf dem Computer eines Benutzers ausgeführt wird:

Wenn Sie die Liste der auf Ihrem Computer ausgeführten Programme überprüft haben, zum Beispiel mit dem Task-Manager, und ein Programm identifiziert haben, das verdächtig aussieht, sollten Sie mit diesen Schritten fortfahren:

Laden Sie ein Programm namens Autoruns herunter. Dieses Programm zeigt Autostart-Anwendungen sowie Speicherorte in der Registrierung und im Dateisystem an:

Starten Sie Ihren Computer im abgesicherten Modus neu:

Windows XP- und Windows 7-Benutzer: Starten Sie Ihren Computer im abgesicherten Modus. Klicken Sie auf Start, klicken Sie auf Herunterfahren, klicken Sie auf Neu starten, klicken Sie auf OK. Drücken Sie während des Startvorgangs Ihres Computers mehrmals die Taste F8 auf Ihrer Tastatur, bis das Menü Erweiterte Windows-Optionen erscheint, und wählen Sie dann Abgesicherter Modus mit Netzwerktreibern aus der Liste.

Video, das zeigt, wie man Windows 7 im „Abgesicherten Modus mit Netzwerktreibern" startet:

Windows 8-Benutzer: Starten Sie Windows 8 im abgesicherten Modus mit Netzwerktreibern - Gehen Sie zum Windows 8-Startbildschirm, geben Sie Erweitert ein und wählen Sie in den Suchergebnissen Einstellungen. Klicken Sie auf Erweiterte Startoptionen und wählen Sie im geöffneten Fenster „Allgemeine PC-Einstellungen" die Option Erweiterter Start.

Klicken Sie auf die Schaltfläche „Jetzt neu starten". Ihr Computer startet nun in das „Menü Erweiterte Startoptionen" neu. Klicken Sie auf die Schaltfläche „Problembehandlung" und dann auf die Schaltfläche „Erweiterte Optionen". Klicken Sie im Bildschirm mit den erweiterten Optionen auf „Starteinstellungen".

Klicken Sie auf die Schaltfläche „Neu starten". Ihr PC startet in den Bildschirm Starteinstellungen neu. Drücken Sie F5, um im abgesicherten Modus mit Netzwerktreibern zu starten.

Video, das zeigt, wie man Windows 8 im „Abgesicherten Modus mit Netzwerktreibern" startet:

Windows 10-Benutzer: Klicken Sie auf das Windows-Logo und wählen Sie das Ein/Aus-Symbol. Klicken Sie im geöffneten Menü auf „Neu starten", während Sie die „Umschalttaste" auf Ihrer Tastatur gedrückt halten. Klicken Sie im Fenster „Option auswählen" auf „Problembehandlung" und wählen Sie anschließend „Erweiterte Optionen".

Wählen Sie im Menü Erweiterte Optionen „Starteinstellungen" und klicken Sie auf die Schaltfläche „Neu starten". Im folgenden Fenster sollten Sie die Taste „F5" auf Ihrer Tastatur drücken. Dadurch wird Ihr Betriebssystem im abgesicherten Modus mit Netzwerktreibern neu gestartet.

Video, das zeigt, wie man Windows 10 im „Abgesicherten Modus mit Netzwerktreibern" startet:

Extrahieren Sie das heruntergeladene Archiv und führen Sie die Datei Autoruns.exe aus.

Klicken Sie in der Autoruns-Anwendung oben auf „Options" und deaktivieren Sie die Optionen „Hide Empty Locations" und „Hide Windows Entries". Klicken Sie nach diesem Vorgang auf das Symbol „Refresh".

Überprüfen Sie die von der Autoruns-Anwendung bereitgestellte Liste und lokalisieren Sie die Malware-Datei, die Sie beseitigen möchten.

Sie sollten den vollständigen Pfad und Namen notieren. Beachten Sie, dass einige Malware Prozessnamen unter legitimen Windows-Prozessnamen verbirgt. In diesem Stadium ist es sehr wichtig, das Entfernen von Systemdateien zu vermeiden. Nachdem Sie das verdächtige Programm gefunden haben, das Sie entfernen möchten, klicken Sie mit der rechten Maustaste auf dessen Namen und wählen Sie „Delete".

Nachdem Sie die Malware über die Autoruns-Anwendung entfernt haben (dies stellt sicher, dass die Malware beim nächsten Systemstart nicht automatisch ausgeführt wird), sollten Sie auf Ihrem Computer nach dem Malware-Namen suchen. Stellen Sie sicher, dass Sie versteckte Dateien und Ordner anzeigen, bevor Sie fortfahren. Wenn Sie den Dateinamen der Malware finden, stellen Sie sicher, dass Sie ihn entfernen.

Starten Sie Ihren Computer im normalen Modus neu. Das Befolgen dieser Schritte sollte jegliche Malware von Ihrem Computer entfernen. Beachten Sie, dass die manuelle Entfernung von Bedrohungen fortgeschrittene Computerkenntnisse erfordert. Wenn Sie nicht über diese Kenntnisse verfügen, überlassen Sie die Malware-Entfernung Antiviren- und Anti-Malware-Programmen.

Diese Schritte funktionieren möglicherweise nicht bei fortgeschrittenen Malware-Infektionen. Wie immer ist es am besten, eine Infektion zu verhindern, anstatt zu versuchen, Malware später zu entfernen. Um Ihren Computer sicher zu halten, installieren Sie die neuesten Betriebssystem-Updates und verwenden Sie Antivirensoftware. Um sicherzustellen, dass Ihr Computer frei von Malware-Infektionen ist, empfehlen wir, ihn mit Combo Cleaner Antivirus für Windows zu scannen.

Häufig gestellte Fragen (FAQ)

Mein Computer ist mit der PackClient-RAT-Malware infiziert, sollte ich mein Speichergerät formatieren, um sie loszuwerden?

Das Formatieren des Speichergeräts entfernt PackClient RAT, löscht aber auch jede Datei auf dem Laufwerk. Ein seriöses Sicherheitstool wie Combo Cleaner sollte zuerst ausprobiert werden; eine Neuformatierung ist ein letztes Mittel für Fälle, in denen die Infektion auf keine andere Weise vollständig beseitigt werden kann.

Was sind die größten Probleme, die die PackClient-RAT-Malware verursachen kann?

PackClient RAT kann Angreifern die vollständige Fernsteuerung über das infizierte Gerät geben, sodass sie persönliche und finanzielle Daten stehlen, die Kommunikation überwachen, zusätzliche Malware einsetzen und Konten übernehmen können. Dies kann zu Identitätsdiebstahl, Finanzbetrug und dem Verlust des Zugriffs auf wichtige Dateien und Dienste führen.

Was ist der Zweck der PackClient-RAT-Malware?

Der Zweck von PackClient RAT besteht darin, Angreifern die Fernsteuerung über infizierte Computer zu ermöglichen, damit sie Benutzer ausspionieren, sensible Daten stehlen und Befehle ausführen können, während sie verborgen bleiben. Es wird über Telegram als einsatzbereites Werkzeug vermarktet, das Cyberkriminelle kaufen und betreiben können.

Wie ist die PackClient-RAT-Malware in meinen Computer eingedrungen?

PackClient RAT wurde über Phishing-E-Mails verbreitet, die sich als staatliche Steuerbehörden in China und Indien ausgeben. Die E-Mails enthalten bösartige ZIP-Archive oder Datenträgerabbilder, die beim Öffnen und Ausführen einen mehrstufigen Infektionsprozess auslösen, der den RAT im Verborgenen installiert.

Wird Combo Cleaner mich vor Malware schützen?

Ja. Combo Cleaner kann die meisten bekannten Malware-Bedrohungen erkennen und entfernen. Da PackClient RAT mehrere Stufen und einen Wächterprozess nutzt und sich als legitime Systemdateien tarnt, ist das Durchführen eines vollständigen Systemscans wichtig, um sicherzustellen, dass die Infektion vollständig beseitigt wird.