Microsoft Defender Experts verfolgt eine aktive Kampagne, bei der Angreifer gefälschte Software-Downloadseiten nutzen, um Schadsoftware über scheinbar legitime Installer zu verteilen. Für kleinere und mittlere Unternehmen ist das relevant, weil der Einstieg wie ein normaler Download aussieht: ein Browser, ein ZIP-Archiv, ein Installationsprogramm. Microsoft beschreibt aber eine Kette mit Persistenz, Manipulation von Microsoft Defender, deaktivierten Windows-Update-Komponenten und Command-and-Control-Verbindungen. Der Beitrag zeigt, welche Signale Administratoren in Microsoft Defender XDR jetzt prüfen sollten.
Was Microsoft am 1. September 2026 gemeldet hat
Die Analyse stammt aus dem Microsoft Security Blog. Microsoft beobachtet gefälschte Downloadseiten, die bekannte Anbieter nachahmen und Benutzer zu manipulierten Installer-Archiven führen. Genannt werden unter anderem nachgebaute Seiten für Razer, Microsoft Edge, Kaspersky, Sejda PDF, DiskGenius, Baidu Netdisk, draw.io und weitere Werkzeuge. Die Köderdomains nutzen vor allem .com.cn, .hl.cn und .cn. Microsoft schreibt, dass betroffene Geräte überwiegend mit China-Standorten multinationaler Organisationen und chinesischsprachigen Benutzern verbunden waren; bestätigte Fälle gab es in mehreren Branchen, darunter Gesundheitswesen, Fertigung, Technologie, Logistik, Regierung und Bildung.
Nach der Ausführung richtet die Schadsoftware laut Microsoft Persistenz ein, versucht Schutzfunktionen zu schwächen und kommuniziert mit Angreifer-Infrastruktur. Microsoft bewertet die Aktivität mit mittlerer Sicherheit als konsistent mit der öffentlich beschriebenen Silver-Fox-Kampagne, ordnet sie aber keinem staatlichen Akteur zu.
Warum das für KMU spürbar ist
Auch wenn Microsoft die meisten beobachteten Opfer in einem bestimmten regionalen Kontext sieht, ist das Muster für Unternehmen mit 10 bis 250 Arbeitsplätzen praxisnah. Downloads von Treibern, PDF-Werkzeugen oder Browser-Komponenten gehören zum Alltag. Genau diese Normalität macht die Erkennung schwierig: Der Angriff beginnt nicht mit einer auffälligen Exploit-Meldung, sondern mit einer täuschend echten Website und einem Archiv, dessen Dateiname harmlos wirkt.
- Der Einstieg erfolgt über nachgebaute Herstellerseiten statt über klassische E-Mail-Anhänge.
- Die Archive behalten ähnliche Namen, während Hashwerte und Nutzlasten wechseln können.
- Payloads laufen aus ungewöhnlichen Pfaden wie
C:\Users\Public,C:\ProgramDataoderC:\Program Files (x86). - Geplante Aufgaben sorgen für erneute Ausführung und erschweren eine reine Dateibereinigung.
Dringlichkeit: aktive Kampagne, keine Migrationsfrist
Microsoft nennt keinen späteren Stichtag, sondern beschreibt eine aktive Bedrohung. Deshalb ist das Thema kein Migrationsprojekt, sondern eine Kontrollrunde für vorhandene Schutzfunktionen. Besonders wichtig ist Microsofts Hinweis, dass Attack Disruption betroffene Geräte und Konten enthalten konnte, die vollständige Entfernung der Persistenz aber weiterhin Reaktion durch Administratoren erforderte. Ein automatisches Containment ersetzt also keine Nacharbeit.
Für Microsoft Defender-Umgebungen heißt das: Warnungen zu Installer-Downloads, Tamper-Versuchen, geplanten Aufgaben und Netzwerkverbindungen müssen zusammen betrachtet werden. Einzelne Treffer sollten nicht nur als blockierte Malware gezählt werden, wenn gleichzeitig Hinweise auf geänderte Defender-Ausschlüsse oder deaktivierte Update-Dienste auftauchen.
Technische Signale aus der Microsoft-Analyse
Microsoft beschreibt mehrere wiederkehrende Muster. Dazu gehören dynamisch erzeugte Installer-Archive, Ausführung über Wrapper oder msiexec.exe, zufällige EXE-Namen in beschreibbaren Systempfaden, getarnte geplante Aufgaben und ein etwa minütlicher Wiederanlauf auf betroffenen Geräten. Die Malware versucht außerdem, Microsoft Defender über breite Ausschlüsse zu schwächen, Schattenkopien mit vssadmin delete shadows /all /quiet zu löschen und Windows-Update-Dienste wie wuauserv, UsoSvc, uhssvc und WaaSMedicSvc zu deaktivieren.
Microsoft nennt passende Defender-XDR-Erkennungen, darunter Änderungen an Defender-Ausschlusslisten, verdächtige Task-Scheduler-Aktivität, Prozessinjektion, mögliches C2-Verhalten, blockierte laterale SMB-Bewegung und kompromittierte Geräte oder Konten. Für Microsoft Defender for Endpoint veröffentlicht Microsoft zudem Advanced-Hunting-Abfragen, die nicht nur auf Dateinamen setzen, sondern auf Pfadmuster, Prozessketten, Defender-Tampering, Update-Neutralisierung, geplante Aufgaben und bekannte C2-Ziele.
Konkrete nächste Schritte für Administratoren
- Tamper Protection, SmartScreen, Netzwerkschutz, Webinhaltsfilterung und Cloud-Delivered Protection auf den relevanten Geräten prüfen.
- Die Microsoft-Hunting-Abfragen für zufällige Payload-Pfade, Defender-Ausschlüsse,
msiexec-Ausführung und Task-Scheduler-Persistenz ausführen. - Downloads von Look-alike-Domains und verdächtigen ZIP-Mustern wie
app_setup.*,zinst.*oderinnstll.*im Web- und Mailfluss bewerten. - Bei Treffern nicht nur Dateien löschen, sondern geplante Aufgaben, Defender-Ausschlüsse, Update-Dienste, Schattenkopien und mögliche laterale Bewegung prüfen.
- Für Security Copilot oder Threat Analytics nur die Microsoft-gestützten Informationen als Ausgangspunkt nutzen und Ergebnisse nachvollziehbar im Incident-Prozess dokumentieren.
In einem Microsoft Security Assessment lässt sich daraus ein klarer Prüfpunkt ableiten: Erkennt die Umgebung gefälschte Installer nicht nur beim Download, sondern auch bei Persistenz, Tampering und nachgelagerter Bewegung?
Offizielle Microsoft-Quellen
- Microsoft Security Blog: Counterfeit installers to system compromise
- Microsoft Learn: Threat analytics in Microsoft Defender XDR
Wenn Sie prüfen möchten, ob Ihre Microsoft-365-Umgebung diese Signale zuverlässig sichtbar macht und ob die empfohlenen Schutzfunktionen sauber greifen, unterstützen wir bei einem kompakten Review Ihrer Sicherheitskonfiguration – sprechen Sie uns an.
Was bedeutet das für Ihre Umgebung?
Ordnen Sie das Thema im Kontext Ihrer Microsoft-365-Umgebung ein und legen Sie einen sinnvollen nächsten Schritt fest.
Sie sprechen direkt mit Sebastian Kerssen – seit 2014 im Microsoft-Umfeld, mit persönlicher Beratung und direktem Ansprechpartner.
