Ende Juni 2026 haben die Sicherheitsforscher des Zscaler ThreatLabz eine neue Malware-Familie identifiziert, die den Namen Abyssos erhielt. Bei der in C++ geschriebenen Malware handelt es sich um ein modulares Remote Administration Tool (RAT). Die Malware besitzt umfangreiche Fähigkeiten für den Diebstahl von Anmeldeinformationen, die Exfiltration von Dateien sowie den direkten Fernzugriff via VNC. Zusätzlich legen die Entwickler Wert auf die Erschwerung der Erkennung und liefern dazu regelmäßige Versionssprünge und bauen sich wandelnde Verschleierungstechniken ein.

Verschleierung und Anti Analyse-Methoden

Abyssos setzt komplexe Methoden ein, um Sicherheitsanalysten und automatisierte Sandbox-Systeme in die Irre zu führen. In der untersuchten Version 2.4F prüft die Malware gezielt mittels CPUID-Instruktionen, ob sie sich in einer virtuellen Umgebung oder in einem Hypervisor wie VMware, KVM, Xen oder VirtualBox befindet. Zusätzlich sucht der Code nach spezifischen Prozessnamen bekannter Analysewerkzeuge. Wird eine entsprechende Umgebung erkannt, beendet sich die Malware umgehend selbst. Die Threatlabz-Analysten gehen davon aus, dass Open Source LLVM-basierte Obfuskatoren wie beispielsweise Pluto eingesetzt werden, um der Analyse zu entgehen. Eingesetzt werden Techniken wie Control Flow Flattening und konstante Integer Encryption, sowie Stack-based String Verschleierung. Dies macht das Reverse Engineering der Binärdateien äußerst ressourcenintensiv.

Kommunikation und modulare Architektur

Ein weiteres technisches Merkmal von Abyssos ist der stark modulare Aufbau. Für die Netzwerkkommunikation mit dem Command-and-Control-Server verwendet die Malware ein maßgeschneidertes TCP-Protokoll. Nach der initialen Infektion und einer erfolgreichen Initialisierungsphase ist Abyssos in der Lage, weitere spezialisierte Module vom Server nachzuladen und auszuführen. Durch diesen Mechanismus lassen sich die Kernfunktionen dynamisch erweitern und flexibel an das jeweilige Opfernetzwerk anpassen. Zu den Hauptfunktionen gehören neben dem Abgreifen sensibler Daten auch weitreichende Fernsteuerungsoptionen, mit denen Angreifer die vollständige administrative Kontrolle über kompromittierte Endpunkte erlangen können.

Die Entdeckung von Abyssos unterstreicht die rasante Professionalisierung moderner Malware-Entwicklung von Remote Administration Tools. Durch den modularen Aufbau und die ständige Weiterentwicklung mit immer neuen Verschleierungstechniken passen sich Angreifer flexibel an bestehende Verteidigungslinien an. Um derartige hochentwickelte Bedrohungen erfolgreich abzuwehren, benötigen Unternehmen heute eine ganzheitliche Sicherheitsarchitektur auf Basis von Zero Trust, die jeglichen Datenverkehr auf Anomalien untersucht. Nur durch die Kombination aus verhaltensbasierter Analyse, Zugriffskontrolle und dem Verhindern von lateralen Bewegungen im Netzwerk lassen sich derart dynamische Angriffe frühzeitig erkennen und isolieren, bevor ein kritischer Datenabfluss stattfinden kann.

Mehr lesen Sie hier: https://www.zscaler.com/blogs/security-research/abyssos-technical-analysis-new-modular-rat