„Cruciferra“: Vertrieb eines neuen Crypter-Verschleierungsdienstes an Cyberkriminelle

Sogenannte Crypter wie „Cruciferra“ sind Werkzeuge, um Schadsoftware zu verschleiern, damit dann Sicherheitslösungen zu umgehen und die Erfolgsquote bei der Infektion mit Malware zu erhöhen

[datensicherheit.de, 22.07.2026] Proofpoint-Sicherheitsforscher haben am 20. Juli 2026 Erkenntnisse zu einem neuen Verschleierungsdienst veröffentlicht. Sie haben demnach einen hochentwickelten „Crypter“-Service identifiziert und „Cruciferra“ benannt. Dieser Service werde aktuell von mehreren Cyberkriminellen-Gruppen genutzt. Sogenannte Crypter wie „Cruciferra“ sind Werkzeuge, um Schadsoftware zu verschleiern, damit dann Sicherheitslösungen zu umgehen und die Erfolgsquote bei der Infektion mit Malware zu erhöhen. „Cruciferra“ werde nicht von einem einzigen Akteur eingesetzt, sondern habe sich als eigenständiger Dienst im cyberkriminellen Untergrund etabliert, welcher an verschiedene Cyberkriminelle verkauft werde.

Abbildung: Proofpoint

Verteilung der „Cruciferra“-Angriffe auf verschiedene Branchen

Der neue „Crypter“ weist außergewöhnlich hohen technischen Reifegrad aus

„Cruciferra“ zeichne sich durch einen außergewöhnlich hohen technischen Reifegrad aus. Dieser „Crypter“ sei in „Mono“ geschrieben und verfüge über eine breite Palette an Techniken zur Umgehung von Erkennung und forensischer Analyse.

• Dazu gehörten indirekte Systemaufrufe, das sogenannte API- und IAT-Unhooking, der Missbrauch verwundbarer Treiber zur Aushebelung von Endpoint-Schutzlösungen sowie eine angepasste Umsetzung der „Process-Ghosting“-Technik, welche es ermögliche, Schadcode auszuführen, ohne verräterische Spuren auf dem System zu hinterlassen.

Besonders bemerkenswert sei der Umfang der eingesetzten Verschlüsselungsmethoden: „Cruciferra“ verfüge über mehr als 90 unterschiedliche kryptographische Routinen, welche offenbar dynamisch aus Bausteinen etablierter Verschlüsselungsalgorithmen zusammengesetzt würden. Dadurch entstehe eine enorme Variation zwischen einzelnen Malware-Samples, was die Erkennung anhand klassischer Signaturen erheblich erschwere.

Erste „Crypter“-Angebote im Herbst 2025 auf einschlägigen Untergrundforen

Erste Angebote für „Cruciferra“ seien im Herbst 2025 auf einschlägigen Untergrundforen wie „exploit[.]in“ aufgetaucht, wo der Dienst selbstbewusst als „the underground’s most lethal crypter“ beworben werde. Proofpoint konnte im Rahmen der Analyse nach eigenen Angaben sowohl produktiv eingesetzte als auch offensichtliche Testversionen der Malware identifizieren, welche Debugging-Funktionen und experimentelle Features enthielten. Dies sei ein Hinweis darauf, dass der Dienst aktuell aktiv weiterentwickelt werde.

• In der Praxis sei „Cruciferra“ bereits in Dutzenden von E-Mail-Kampagnen beobachtet worden, bei denen verschiedenste Schadprogramme zum Einsatz gekommen seien – darunter die Remote-Access-Trojaner „AsyncRAT“, „XWorm“ und „Remcos“ sowie die sogenannten Infostealer „AgentTesla“, „XLoader“, „Phantom Stealer“, „Formbook“ und „zgRAT“.

Die Angriffe seien weitgehend opportunistisch erfolgt und hätten sich nicht gegen spezifische Einzelziele gerichtet, wobei Unternehmen aus den Bereichen Finanzdienstleistungen, Gesundheitswesen und dem öffentlichen Sektor überdurchschnittlich häufig betroffen gewesen seien. Die Kampagnen variierten stark in ihrem Umfang und reichten von einigen hundert bis zu mehreren tausend versendeten Nachrichten.

Weitere Informationen zum Thema:

proofpoint
What Sets Us Apart: Email, social media, and mobile devices are the tools of your trade—and for cyber criminals, the tools of attack. Proofpoint protects your people, data and brand against advanced threats and compliance risks.

proofpoint, Blog, Chris Wakelin & Georgi Mladenov & Kyle Cucci & Proofpoint Threat Research Team, 20.07.2026
Unpacking “Cruciferra”: An Analysis of a Sophisticated Crypter Service

datensicherheit.de, 02.08.2024
Verschleierungstechnik für Spionage: Ransomware mit cyber-kriminellem Mehrfachnutzen / Ransomware-Bedrohungsakteure könnten von „ChamelGang“-Aktivitäten Kenntnis nehmen und ein weiteres Geschäftsmodell entwickeln