Cyberkriminelle werben in der Weihnachtszeit für Santastealer

Cyberkriminelle werben für einen neuen Informationsdieb, den sie als Malware-as-a-Service (MaaS) anbieten. Santastealer soll vollständig aus dem Arbeitsspeicher agieren und vor dateibasierter Erkennung versteckt bleiben, wie Rapid7 in einem Blog schreibt. Der Datendieb sei auf sensible Dokumente, Anmeldedaten, Wallets und viele andere Anwendungen ausgerichtet. Gestohlene Daten werden laut dem Cybersicherheitsanbieter komprimiert, in 10 Megabyte-Blöcke aufgeteilt und dann über unverschlüsselte HTTP an einen C2-Server gesendet.

Der Infostealer soll noch vor Ende 2025 veröffentlicht werden, wie die Entwickler laut Rapid7 auf Telegram und in Untergrund-Hackerforen schreiben. Open-Source-Informationen deuten darauf hin, dass der Infostealer bis vor kurzem noch "Bluelinestealer" heissen sollte, wie der Cybersicherheitsanbieter mitteilt.

Rapid7 hat laut Mitteilung Anfang Dezember 2025 eine Windows-Ausführungsdatei entdeckt, die sich als Santastealer entpuppte. Demnach ist es dem Unternehmen gelungen, darin unverhüllte und unverschlüsselte Beispiele zu finden, an denen sich analysieren liess, wie Santastealer funktioniert. Die gefundenen Samples hätten eindeutig auf Funktionen zum Stehlen von Anmeldedaten hingewiesen, schreibt der Cybersicherheitsanbieter weiter.

Auf dem derzeitigen Entwicklungsstand sei Santastealer aber keineswegs unauffindbar oder schwer zu analysieren. Rapid7 geht zwar davon aus, dass die Cyberkriminellen das Programm noch nicht fertig entwickelt haben, dass das Programm durchgesickert ist, sei jedoch "ein grober Fehler, der wahrscheinlich einen Grossteil der in die Entwicklung gesteckten Mühen zunichte macht und auf eine schlechte operative Sicherheit der Angreifer hindeutet".

Über den Telegram-Kanal konnten die Forschenden von Rapid7 laut Blog das Affiliate-Webpanel beobachten und ein Konto registrieren, um an weitere Informationen zu gelangen. So erfuhren sie von einer Liste von Funktionen, dem Preismodell und Build-Konfigurationsoptionen. Zusammen mit den aus dem Sample gesammelten Informationen konnten sich die Forschenden demnach ein Bild der Entwicklung des Stealers machen. Geplant seien Funktionen wie etwa Anti-Analyse-Techniken oder Umgehung von Antivirensoftware - für einen Preis für 175 US-Dollar pro Monat, oder ein Premium-Modell für 300 US-Dollar pro Monat.

Über Google-Suchanzeigen versuchen Cyberkriminelle MacOS-Nutzende über öffentlich geteilte ChatGPT- oder Grok-Chats zur Installation des Infostealers "Amos" zu verleiten. Über diese Betrugsmasche können Sie hier mehr lesen.

Wenn Sie mehr zu Cybercrime und Cybersecurity lesen möchten, melden Sie sich hier für den Newsletter von Swisscybersecurity.net an. Auf dem Portal lesen sie täglich News über aktuelle Bedrohungen und neue Abwehrstrategien.