Neue Malware-as-a-Service tarnt sich als RMM-Tool Malware für 300 Dollar im Monat mieten

Anbieter zum Thema

Proofpoint GmbH

Fsas Technologies GmbH

TrustConnect, ein neuer Remote Access Trojaner tarnt sich als legitimes Remote-Management-Tool. Für 300 US-Dollar monatlich erhalten Cyber­kriminelle Zugriff auf diese moderne Malware-as-a-Service inklusive pro­fes­si­o­nellem C2-Dashboard mit vorkonfigurierten Installern. Die Be­trei­ber investierten in ein EV-Zertifikat zur Verschleierung ihrer Aktivitäten.

Kürzlich ist eine Malware as a Service (MaaS) namens „TrustConnect“ aufgetaucht. Das berichten Sicherheitsexperten von Proofpoint. Die Malware tarnt sich als legitimes Remote Monitoring and Management (RMM) Tool, ist aber tatsächlich ein Remote Access Trojan (RAT). Die MaaS-Anbieter betreiben einen erheblichen technischen und finanziellen Aufwand bis hin zum Erwerb eines Extended Validation (EV) Zertifikats und erweisen sich als sehr widerstandsfähig gegen Maßnahmen, ihren Service zu beeinträchtigen.

Eine überzeugende Fassade

Die Betreiber von TrustConnect haben am 12. Januar 2026 die Domain trustconnectsoftware.com registriert und präsentieren sich als scheinbar seriöse Softwarefirma. Die Website erweckt den Eindruck, dass sie mit KI erstellt wurde. Das ist eine der gängigsten Weisen, wie Cyberkriminelle KI nutzen, wenn sie Seriosität vortäuschen oder die Identität einer bekannten Marke annehmen wollen. Aufgrund der Website-Artefakte und -Funktionalitäten gehen die Forscher von Proofpoint zudem davon aus, dass auch die TrustConnect-Agenten mithilfe von KI programmiert wurden.

Malware und Phishing

Vertrauenswürdige Subdomains lassen Cyberangriffe seriös erscheinen

Haste mal 300 Dollar?

Die Website fungiert zugleich als Registrierungs­plattform für Kriminelle, die die MaaS nutzen möchten. Um den seriösen Eindruck der Website weiter zu verstärken, präsentiert sie Kundenstatistiken und technische Dokumentationen, die den Eindruck eines legitimen Remote-Monitoring-Tools vermitteln sollen. Die Nutzung der MaaS kostet 300 US-Dollar monatlich und kann ausschließlich in Kryptowährungen bezahlt werden. Nach Abschluss der Registrierung erhalten Nutzer Zugriff auf ein Command-and-Control-Dashboard, über das sie ihre Malware-Kampagnen steuern können. Die Betreiber haben zudem ein Extended Validation (EV) Zertifikat auf den Namen „TrustConnect Software PTY LTD“ aus Südafrika erworben – eine Investition von mehreren Tausend Dollar, die für weitere Glaubwürdigkeit sorgen soll. Mit diesem Zertifikat wurde die Schadsoftware digital signiert, um IT-Sicherheitsprogramme zu täuschen.

MaaS im Einsatz

Der Service erfreut sich bei Cyberkriminellen großer Beliebtheit, die bereits eine Vielzahl von Kampagnen realisiert haben. Dabei setzen sie Lockmittel wie Veranstaltungseinladungen, Vorschläge für Treffen, Steuer- und Regierungsthemen ein. Häufig imitieren sie dabei bekannte Marken und benennen die eingesetzte Malware entsprechend, beispielsweise als "MsTeams.exe", "AdobeReader.exe" oder "Proposal.exe". Dafür stellt die Plattform vor­kon­fi­gu­rier­te Installer mit verschiedenen Branding-Optionen bereit.

Die Umsetzung ihrer Kampagnen wird den Kriminellen durch die Leistungsfähigkeit von TrustConnect erleichtert. Ein Web-basiertes C2-Dashboard ermöglicht es ihnen, vordefinierte Befehle auszuführen oder benutzerdefinierte Kommandos direkt auf den infizierten Geräten zu starten. Sie können Dateien auf die Zielcomputer übertragen, Systeminformationen ausspähen und sich über eine Remote-Desktop-Funktion mit vollständiger Maus- und Tastaturkontrolle mit den kompromittierten Systemen verbinden. Die MaaS ermöglicht zudem Bild­schirm­auf­zeich­nung­en, UAC-Umgehung und die Möglichkeit, Aktivitäten vor den Opfern zu tarnen. Umso erstaunlicher ist es, dass es keine Funktion zum Löschen dieser Audit-Logs gibt, die Echtzeit-Übersichtlisten mit Zeitstempeln aller durchgeführten Aktionen beinhalten. Das erschwert es Angreifern erheblich, ihre Spuren zu verwischen.

Domain-Takedowns

So stoppen IT-Security-Experten Cyberkriminelle

Schwer zu stoppen

In der Praxis erweisen sich die Betreiber von TrustConnect als sehr flexibel und wi­der­stands­fä­hig. So gelang es den Fors zusammen mit The Cert Graveyard bereits am 6. Februar 2026, das von TrustConnect verwendete EV-Zertifikat zu widerrufen. Darüber hinaus hat das Unternehmen mit weiteren Partnern am 17. Februar 2026 einen koordinierten Einsatz gegen die TrustConnect-Infrastruktur abgeschlossen. Kurz zuvor waren die Betreiber allerdings bereits mit dem Umzug auf eine neue Infrastruktur mit einer neuen Malware namens „DocConnect“ begonnen. Die neue Version ist technisch noch ausgefeilter und basiert auf einer React Single Page Application mit Supabase-Backend.

(ID:50773449)