Das Botnet Qakbot könnte bald wieder aktiv werden. Wie Microsofts Threat Intelligence-Team auf X berichtet, versuchen seit rund einer Woche Cyberkriminelle mittels Phishing-Mails die PCs ihrer Opfer mit der Qakbot-Software zu infizieren und das Botnetz damit wieder aufzubauen.

Erst im August war es dem FBI in einer gemeinsamen Aktion mit europäischen Strafverfolgungs­behörden gelungen, das Botnetz mit der dazugehörigen Malware und Infrastruktur zu zerschlagen. Zumindest glaubte man das.

Die Phishing-Mails, mit denen das Qakbot-Netz reaktiviert werden soll, enthalten laut Microsoft ein manipuliertes PDF-Attachment. Als Absender wird ein Angestellter der US-Steuerbehörde IRS ausgegeben. Die ersten Empfänger stammten vorwiegend aus dem Gastgewerbe.

Laut dem Threat-Intelligence-Team enthalten die PDF-Dateien eine URL, die einen signierten Windows-Installer als .msi-Datei herunterlädt. Bei seiner Ausführung wird eine .dll-Bibliothek ausgeführt, die den Qakbot-Code enthält. Zeitstempel im Schadcode deuten darauf hin, dass die Schadsoftware am 11. Dezember erstellt wurde und somit zu Beginn der Kampagne noch taufrisch und für Antiviren-Software nicht identifizierbar war.