Sicherheitsanalysten haben zwei neue Schadprogramme identifiziert, die gezielt Windows-Rechner angreifen und in der Programmiersprache Rust geschrieben sind. Die Malwares tragen die Namen LabubaRAT und MODBEACON. Die Erkenntnisse stammen aus aktuellen Untersuchungen von Sicherheitsfirmen, die die Programme technisch analysierten und Verbreitungswege sowie Funktionen dokumentierten.
Wie die Trojaner vorgehen
LabubaRAT tarnt sich demnach als legitime NVIDIA‑Anwendung unter dem Dateinamen nvidia-sysruntime.exe. Laut Analyse wurde eine Kompilierung Mitte Juni 2026 festgestellt. Das Programm bezieht seine Konfiguration über Befehlszeilenargumente und legt Betriebsdaten in einer lokalen SQLite‑Datenbank ab. Auf infizierten Rechnern durchsucht LabubaRAT gezielt nach installierten Browsern und gängigen Sicherheitslösungen wie Microsoft Defender, CrowdStrike und SentinelOne, was darauf hindeutet, dass es auf Umgehung und Ausspähung ausgerichtet ist.
Funktionen von LabubaRAT umfassen unter anderem:
- Ausführung von Befehlen via PowerShell und JavaScript
- Dateiübertragung und Bildschirmaufnahmen
- Unterstützung für SOCKS5‑Proxying
- Kommunikation über HTTPS, WebView2 und DNS‑Tunneling
MODBEACON: Spezifischer Fokus auf Glücksspielbranche
Parallel dazu entdeckte das chinesische Sicherheitsunternehmen QiAnXin eine zweite, ebenfalls in Rust geschriebene Bedrohung: MODBEACON. Dieser Trojaner wird der Gruppe Silver Fox zugeschrieben und soll besonders im asiatischen Glücksspielsektor aktiv sein, mit gehäuften Aktivitäten in Kambodscha. Technisch nutzt MODBEACON komplexe Anti‑Zensur‑Frameworks wie Xray und V2Ray, gRPC‑Tunnel‑Streaming sowie Content‑Delivery‑Netzwerke von Amazon und Cloudflare, um die Kommunikation mit seinen Kontrollservern zu verschleiern.
| Merkmal | LabubaRAT | MODBEACON |
|---|---|---|
| Programmiersprache | Rust | Rust |
| Tarnung / Ziel | Als NVIDIA‑Datei; breites Ausspähen | Zielgerichtet: Glücksspielbranche (Asien) |
| Kommunikationswege | HTTPS, WebView2, DNS‑Tunneling | Xray, V2Ray, gRPC, CDN (Amazon/Cloudflare) |
Was das für Nutzer in Rust bedeutet
Die Entdeckung zeigt einen Trend: Angreifer greifen zunehmend auf Rust zurück, weil die Sprache kompakte, effiziente und schwerer zu analysierende Binärdateien ermöglichen kann. Für Anwender in der Stadt und im Bezirk Rust ergeben sich daraus konkrete Konsequenzen:
- Prüfen Sie heruntergeladene Programme kritisch: Ein Dateiname wie nvidia-sysruntime.exe kann täuschen. Offizielle Treiber und Software sollten nur von Herstellerwebseiten oder vertrauenswürdigen Quellen stammen.
- Halten Sie Betriebssystem und Sicherheitssoftware aktuell: Updates schließen bekannte Lücken und verbessern die Erkennung neuer Bedrohungen.
- Sichern Sie regelmäßige Backups wichtiger Daten auf externen, nicht dauerhaft verbundenen Medien.
Unternehmen, die kritische Systeme betreiben, sollten zusätzlich Netzwerkverkehr auf verdächtige Muster überwachen und nach Anzeichen für Proxy‑ oder DNS‑Tunneling suchen. IT‑Verantwortliche können darüber hinaus die Konfiguration von Endpunktschutzlösungen auf bekannte IoCs (Indicators of Compromise) überprüfen und ungewöhnliche Prozesse wie unbekannte nvidia‑*-Executables einer sofortigen Prüfung unterziehen.
Die Sicherheitsforscher vermuten, dass LabubaRAT möglicherweise über ein Malware‑as‑a‑Service-Modell verbreitet wird, während MODBEACON gezielt für sektorale Angriffe angepasst wurde. Beide Fälle unterstreichen die Bedeutung wachsender Cyber‑Hygiene: Awareness, gepflegte Software‑Updates und kontrollierte Benutzerrechte bleiben die wirksamsten Abwehrmaßnahmen im lokalen Umfeld.
Betroffene oder unsichere Vorfälle sollen an die zuständigen IT‑Dienstleister oder die nationalen CERT‑Stellen gemeldet werden. Konkrete Indicators of Compromise, wie in den Analysen genannte Domains oder Muster, liefern die Hersteller der Sicherheitslösungen in ihren jeweiligen Berichten und sollten dort geprüft werden.
