Fernwartung als trojanisches Pferd: Wenn ein Admin-Tool in Wirklichkeit Malware ist

Proofpoint warnt vor einer neuen Malware-as-a-Service mit dem Namen „TrustConnect“. Auf den ersten Blick wirkt TrustConnect wie ein gewöhnliches Remote-Monitoring-and-Management-Tool (RMM). Tatsächlich steckt dahinter jedoch ein Remote-Access-Trojaner (RAT), der Angreifern weitreichenden Fernzugriff auf kompromittierte Systeme verschafft. Für IT-Admins ist das besonders heikel, weil die Kampagne gezielt das Vertrauen in bekannte Fernwartungs- und Support-Tools ausnutzt.

Professioneller Auftritt, kriminelles Geschäftsmodell

Laut Proofpoint wurde die Domain „trustconnectsoftware.com“ im Januar 2026 registriert. Die dazugehörige Website war professionell gestaltet, inklusive Produktinfos, Dokumentation und angeblicher Kennzahlen zu Kunden und Nutzung. Genau diese Seriosität sollte Vertrauen schaffen und den Dienst wie ein legitimes Softwareangebot wirken lassen.

Die Registrierung auf der Plattform richtete sich jedoch nicht an Administratoren, sondern an Cyberkriminelle: Für 300 US-Dollar pro Monat – bezahlt in Kryptowährungen – erhielten Käufer Zugriff auf ein webbasiertes Command-and-Control-Dashboard, mit dem sich Angriffe und infizierte Systeme steuern ließen.

Signierte Malware und täuschend echte Lockdateien

Besonders perfide: Die Betreiber setzten auf ein Extended-Validation-Zertifikat, ausgestellt auf „TrustConnect Software PTY LTD“, und signierten damit ihre Schadsoftware. Das kann dabei helfen, Misstrauen zu reduzieren und Sicherheitsmechanismen oder Warnhinweise zumindest teilweise zu umgehen.

Die Verbreitung erfolgt nach Beobachtungen von Proofpoint über Dateien, die bewusst wie bekannte Programme benannt sind – etwa „MsTeams.exe“ oder „AdobeReader.exe“. Als Köder dienen unter anderem Meeting-Einladungen oder Themen rund um Steuern. Auffällig ist außerdem, dass TrustConnect häufig zusammen mit legitimen, aber missbrauchten RMM-Werkzeugen wie ScreenConnect oder LogMeIn auftaucht. Das spricht dafür, dass die Malware in bereits etablierte Vorgehensweisen und Toolchains aus dem Cybercrime-Umfeld eingebettet ist.

Was Angreifer mit TrustConnect auf kompromittierten Systemen tun können

Technisch bietet TrustConnect typische RAT-Funktionen mit großem Schadpotenzial. Angreifer können unter anderem:

– Dateien übertragen
– Systeminformationen auslesen
– Befehle ausführen
– per Remote-Desktop Maus und Tastatur übernehmen und so ein System vollständig fernsteuern

Das zugehörige Dashboard unterstützt zudem die Verwaltung von Gerätegruppen und protokolliert Aktionen mit Zeitstempeln. Eine Funktion zum Löschen dieser Protokolle soll allerdings fehlen.

Abschaltung, Umzug – und eine neue Variante namens „DocConnect“

Nach einer koordinierten Abschaltung der Infrastruktur im Februar 2026 reagierte die Gruppe laut Proofpoint schnell: Sie zog auf neue Server um und präsentierte mit „DocConnect“ eine weiterentwickelte Variante, die auf einer React-Single-Page-Anwendung basiert.

Weitere technische Details und Screenshots hat Proofpoint in einer ausführlichen Analyse im eigenen Threat-Blog veröffentlicht.