Gefälschte Ren'Py-Spiele verstecken Amatera Stealer via EtherHiding

So funktioniert die Fake-Game-Kampagne: RenPy Loader, MSBuild und EtherHiding erklärt

Sicherheitsforscher von Malwarebytes haben eine Malware-Kampagne aufgedeckt, die sich hinter etwas verbirgt, dem viele Gamer ohne zu zögern vertrauen: ein Indie-Spiel, das mit der Ren'Py-Engine erstellt wurde. Ren'Py ist ein legitimes, weit verbreitetes Tool zur Erstellung von Visual-Novel-Spielen, genau deshalb bietet es so eine überzeugende Tarnung. Angreifer packen einen Loader namens RenPy Loader in Spieledateien, die wie ein normaler herunterladbarer Titel aussehen und sich auch so verhalten.

Sobald ein Opfer das gefälschte Spiel startet, missbraucht der Loader still und leise MSBuild, ein legitimes Microsoft-Entwicklungstool, das auf vielen Windows-Rechnern bereits installiert ist, um Code zu kompilieren. Da MSBuild eine vertrauenswürdige, signierte Windows-Komponente ist, ist es weniger wahrscheinlich, dass Sicherheitstools Aktivitäten, die darüber laufen, melden, sodass die Schadsoftware mit weniger Kontrolle ausgeführt wird als eine eigenständige ausführbare Datei.

Die Kampagne nutzt außerdem eine Technik namens EtherHiding, bei der schädlicher Code oder Konfigurationsdaten in Blockchain-Transaktionen oder Smart Contracts versteckt werden. Anstatt Anweisungen auf einem Server zu hosten, der abgeschaltet oder auf eine Blacklist gesetzt werden kann, können Angreifer Befehle aus einer dezentralen Infrastruktur abrufen, die für Verteidiger viel schwerer zu stören ist. Die Verkettung einer vertrauenswürdigen Spiel-Engine, eines vertrauenswürdigen Build-Tools und Blockchain-basiertem Verstecken macht diese Kampagne bemerkenswert: Jedes Teil für sich sieht unscheinbar aus, aber zusammen bilden sie eine Lieferpipeline für den Amatera Stealer.

Was Amatera Stealer tatsächlich von infizierten Geräten stiehlt

Amatera Stealer ist die endgültige Nutzlast in dieser Kette, und seine Aufgabe ist klar: alles Wertvolle vom infizierten Gerät zu ernten. Stealer-Malware dieser Art ist in der Regel darauf ausgelegt, gespeicherte Browser-Passwörter, Autofill-Daten, Dateien von Kryptowährungs-Wallets, Sitzungscookies sowie Anmeldedaten für Gaming-, E-Mail- oder Social-Media-Konten zu stehlen. Einmal gesammelt, werden diese Daten an den Angreifer zurückgesendet, der sie verkaufen, für Kontoübernahmen nutzen oder in weitere Kampagnen einfließen lassen kann.

Was Stealer wie Amatera so gefährlich macht, ist nicht die aufsehenerregende Zerstörung nach Ransomware-Art, sondern der stille, unbemerkte Diebstahl. Ein Opfer kann das gefälschte Spiel tagelang weiterspielen, ohne sichtbare Anzeichen, dass etwas nicht stimmt, während Anmeldedaten und Wallet-Informationen bereits in fremden Händen sind. Wenn unbefugte Anmeldungen oder geleerte Konten auffallen, hat die Malware ihre Arbeit meist schon erledigt und ist weitergezogen.

Warum ein VPN Sie nicht schützt, sobald die Malware ausgeführt wird

Es lohnt sich, eines klarzustellen, was viele Gamer falsch verstehen: Ein VPN ist kein Antivirus und kann diese Art von Infektion nicht stoppen. Ein VPN verschlüsselt Ihren Internetverkehr und maskiert Ihre IP-Adresse, was für die Privatsphäre, das Umgehen regionaler Sperren und den Schutz in öffentlichen WLANs durchaus nützlich ist. Aber all das spielt keine Rolle, sobald Sie eine schädliche Datei freiwillig heruntergeladen und ausgeführt haben. Die Malware wird lokal auf Ihrem Gerät ausgeführt, liest gespeicherte Passwörter und Dateien direkt vom Gerät und kontaktiert das Netzwerk erst, wenn sie bereit ist, die gestohlenen Daten zu exfiltrieren – und dann verschlüsselt das VPN lediglich den Diebstahl während der Übertragung, anstatt ihn zu verhindern.

Dieser Unterschied ist selbst für Gamer wichtig, die bereits aus legitimen Gründen ein VPN nutzen, etwa um die Latenz zu verringern oder auf regional gesperrte Inhalte zuzugreifen. Wenn Sie Optionen für ein bestimmtes Spiel recherchieren, kann eine Ressource wie der Beste VPN für Roblox-Leitfaden bei der Verbindungsqualität und Entsperrung helfen, aber das ist eine andere Entscheidung als der Schutz vor Credential-stehlender Malware. Die beiden Probleme erfordern unterschiedliche Werkzeuge: ein VPN für Datenschutz auf Netzwerkebene und sichere Download-Gewohnheiten plus Endgerätesicherheit gegen Malware.

Sichere Download-Praktiken für Gamer, um Credential-stehlende Malware zu vermeiden

Da diese Kampagne darauf beruht, Spieler dazu zu verleiten, eine Datei auszuführen, ist die stärkste Verteidigung verhaltensbasiert, nicht technisch. Ein paar Gewohnheiten machen einen großen Unterschied:

• Laden Sie Spiele nur von offiziellen Stores oder der verifizierten Website des Entwicklers herunter und seien Sie skeptisch bei Links, die in Discord-Servern, Forenbeiträgen oder unerwünschten Direktnachrichten geteilt werden, in denen Sie aufgefordert werden, ein Spiel auszuprobieren.
• Überprüfen Sie Dateieigenschaften und digitale Signaturen, bevor Sie unbekannte ausführbare Dateien starten, insbesondere solche, die mit einer Spiel-Engine wie Ren'Py gebündelt sind, bei der Sie normalerweise keine separaten Build-Tools erwarten würden.
• Halten Sie Antivirus- und Endgeräteschutz aktiv und aktuell, da diese bekannte Stealer-Signaturen erkennen können, selbst wenn die Zustellmethode neuartig ist.
• Seien Sie vorsichtig bei Spielen, die ungewöhnliche Berechtigungen anfordern oder unerwartete Hintergrundprozesse auslösen, einschließlich allem, was MSBuild oder ähnliche Entwicklungstools aufruft, die Sie nicht selbst installiert haben.
• Verwenden Sie einzigartige, starke Passwörter, die in einem seriösen Passwort-Manager gespeichert sind, anstatt sie im Browser zu speichern, damit eine einzelne Stealer-Infektion nicht jedes Ihrer Konten entsperren kann.

Was das für Sie bedeutet

Die hier beschriebene Fake-Games-Malware-Stealer-Kampagne erinnert daran, dass das Vertrauen in ein vertrautes Werkzeug – sei es eine Spiel-Engine, ein Build-Utility oder eine Blockchain – von Angreifern ausgenutzt werden kann, die verstehen, wie Verteidiger nach Bedrohungen suchen. Gamer müssen nicht in Panik verfallen, aber sie sollten inoffizielle Downloads mit derselben Vorsicht behandeln wie E-Mail-Anhänge von Fremden.

Fazit

Bleiben Sie bei verifizierten Quellen für Spieledownloads, halten Sie Ihre Sicherheitssoftware aktuell und denken Sie daran, dass ein VPN Ihre Verbindung schützt, nicht Ihr Gerät. Wenn etwas Sie auffordert, einen Installer von einem unbekannten Link auszuführen, halten Sie inne und überprüfen Sie es, bevor Sie klicken. Diese eine Angewohnheit ist gegen Kampagnen wie diese wirksamer als jedes einzelne Sicherheitsprogramm.