Winos 4.0 Malware-Warnung: Schützen Sie Ihren PC vor gefälschten NSIS-Installern

Der Artikel beleuchtet die gefährliche Winos 4.0 Malware, die mithilfe gefälschter NSIS-Installer Angriffe startet. Er bietet umfassende Sicherheitsmaßnahmen zur Abwehr und Überwachung dieser Bedrohung.

Die hinterhältige Malware-Variante Winos 4.0 nutzt irreführende NSIS-Installer, um mehrstufige Angriffe zu entfesseln. Sie kann sogar die auf Windows Defender basierende Sicherheit anpassen, um eine Ausnahme zu schaffen, die ihr Raum zum Agieren gibt. Die Endergebnisse sind Datendiebstahl, Manipulation der Registrierung und PC-Überwachung. Entdecken Sie unsere verifizierten Lösungen, um diese hartnäckige Malware zu stoppen.

Warum Winos 4.0 Malware gefährlich ist

Winos 4.0 ist eine ausgeklügelte Malware-Familie, die ursprünglich von Gh0st RAT abgeleitet wurde. Die „4.0“ ist nur ein Name und stellt keine spezifische Version der Malware dar. Sie existiert seit über einem Jahr. Am 22. Mai 2025 kündigte Rapid 7 eine Winos 4.0-Variante an, die VPN- und Browser-Installer verwendet, um die Nutzlast einzuschleusen.

Die Malware wird als Kettenreaktion freigesetzt, beginnend mit einer gefälschten NSIS-Anwendung, die eine korrupte EXE-Datei ist. Die Namen der Installer sind harmlos, wie QQBrowser_Setup_x64.exe oder Lets.15.0.exe. Gefährlich macht diese Malware die ausgeklügelten Täuschungstaktiken, an denen viele Benutzer zweifeln werden.

Während Sie die gewünschte Anwendung installieren, werden zusätzliche Dateien abgelegt, wie ein VBScript-Launcher, ein PowerShell-Loader, eine bösartige DLL und Konfigurationsdateien. Rapid7 hat der mehrstufigen Nutzlast den Namen – Catena-Loader – gegeben. Um persistente Präsenz zu gewährleisten, fügt ein stiller PowerShell-Befehl Ausnahmen hinzu, um die Nutzlast zu schützen. Bemerkenswert ist, dass die Winos 4.0-Malware wochenlang im Leerlauf sein kann, bevor sie viel später aktiv wird.

Letztendlich erfasst die Winos 4.0-Malware Passwörter und Details zu Kryptowährungen, meldet Änderungen in der Registrierung und überwacht Screenshots, Webcam und Mikrofon. Da sie ausschließlich im Speicher arbeitet, hinterlässt sie, wie wir es bei Remcos RAT gesehen haben, keine Spur auf Ihrer Festplatte und umgeht so die Erkennung durch Antivirus-Programme.

Digitale Signaturen aller Installer überprüfen

Die Überprüfung der digitalen Signaturen jeder Anwendung, die Sie installieren möchten, sorgt dafür, dass Ihr PC sicher bleibt. Klicken Sie dazu mit der rechten Maustaste auf die Anwendung, gehen Sie zu Eigenschaften -> Digitale Signaturen. Klicken Sie auf Details -> Zertifikat anzeigen, um die Authentizität des Installers zu überprüfen.

Hier überprüfen wir die digitale Signatur von QQBrowser, dessen Malware-Varianten mit gefälschten NSIS-Installern verfügbar sind. Dieser hier hat jedoch eine gültige Signatur von Tencent Technology, dem Unternehmen hinter QQBrowser.

Windows-Sicherheits-App-Schutz aktivieren

Während die Winos 4.0-Malware Windows Defender täuscht, gibt es bestimmte Sicherheitsmaßnahmen, die Sie in der Windows-Sicherheits-App ergreifen können.

Sie können NSIS-Installer daran hindern, ausgeführt zu werden. Öffnen Sie dazu PowerShell im Administratormodus und führen Sie den folgenden Befehl aus, um die Angriffsfläche zu verringern (Attack Surface Reduction). Dies ist ein hervorragender Befehl, der kein pauschales Verbot verhängt, sondern nur die bösartigen Installer entfernt.

Set-MpPreference -AttackSurfaceReductionRules_Ids 3B576869-A4EC-4529-8536-B80A7769E899 -AttackSurfaceReductionRules_Actions Enabled

Öffnen Sie dann die Windows-Sicherheits-App. Gehen Sie zu Virenschutz und Bedrohungsschutz -> Einstellungen für Virenschutz und Bedrohungsschutz -> Einstellungen verwalten. Überprüfen Sie, ob Echtzeitschutz aktiviert ist.

Scrollen Sie auch unter Virenschutz und Bedrohungsschutz nach unten und wählen Sie Ransomware-Schutz verwalten. Wenn Kontrollierter Ordnerschutz deaktiviert ist, aktivieren Sie ihn wieder. Sie können auch Eine App durch kontrollierten Ordnerschutz zulassen klicken, um vertrauenswürdige Apps zur Whitelist hinzuzufügen.

Diese minimalen Windows-Sicherheitsschutzmaßnahmen sind ausreichend. Erfahrene Windows-Benutzer können auch die Firewall so konfigurieren, dass sie die Winos 4.0-Malware blockiert.

Winos 4.0-Malware daran hindern, Ausnahmen für Windows Defender hinzuzufügen

Eine hinterhältige Methode, wie die Winos 4.0-Malware im System gedeiht, besteht darin, eine Ausnahme von der Windows Defender-Überprüfung hinzuzufügen. Sie können dies im Voraus verhindern.

Öffnen Sie PowerShell im Administratormodus. Verwenden Sie den folgenden Befehl, um die Ausführungsrichtlinie für schädliche Skripte festzulegen. Klicken Sie auf A, um zu bestätigen.

Set-ExecutionPolicy -Scope CurrentUser -ExecutionPolicy Restricted

Sie können auch alles verhindern.

Unbefugte Ausnahmen vom Ausführen in PowerShell. Dies geschieht mit dem folgenden Befehl, der alle Laufwerksbuchstaben abdeckt.

Remove-MpPreference -ExclusionPath C:\,D:\,E:\,F:\,G:\,H:\,I:\,J:\,K:\,L:\,M:\,N:\,O:\,P:\,Q:\,R:\,S:\,T:\,U:\,V:\,W:\,X:\,Y:\,Z:\

Autoruns verwenden, um gefälschte NSIS-Einträge zu erkennen

Ein Microsoft-Programm namens Autoruns kann verwendet werden, um schlechte Startup-Programme, einschließlich gefälschter NSIS-Einträge, im Blick zu behalten. Dies ist eine der einfachsten Möglichkeiten, Winos 4.0-Malware und deren Varianten abzufangen, bevor sie ihre Payloads ausführen können.

Laden Sie die Autoruns-ZIP-Datei von der Sysinternals-Webseite herunter. Es ist keine Installation erforderlich. Entpacken Sie einfach die Datei und doppelklicken Sie auf die Autoruns64 Datei (für Windows 64-Systeme). Hier erhalten Sie einen Überblick über alle aktiven Anmeldungen, geplante Aufgaben und Prozesse. Sie könnten Einträge finden, die rot markiert sind. Achten Sie auf alle NSIS-bezogenen Einträge, die entsprechend gekennzeichnet werden.

Wir verdächtigen selten legitime Windows-App-Installer. Sobald sie den SmartScreen-Test (den Sie nicht deaktivieren sollten) und die Windows-Sicherheitsprüfungen bestehen, nehmen wir oft an, dass die App sicher ist, egal, ob es sich um ein VPN oder einen Browser handelt. Das ist der Punkt, an dem die Autoren der Winos 4.0-Malware einfachen Zugang fanden.

Deshalb empfehlen wir, die Glaubwürdigkeit Ihres Installationsprogramms mit den oben genannten Methoden zu überprüfen. Den PowerShell-Fenster vor Skriptausführungen zu schützen, sorgt für eine große Sicherheit. Sie können VirusTotal und andere Webseiten verwenden, um Malware in Installationspaketen zu scannen.