Falsche Software-Installateure: Deaktivierung von Windows Update und Schwächung von Defender vor dem Eindringen

The Hacker News dokumentiert eine Kampagne mit gefälschten Software-Installern, die zunächst Windows Update deaktivieren und den Schutz von Microsoft Defender herabsetzen. Es handelt sich nicht mehr um klassische Drive-by-Angriffe: Dies ist ein Vorspiel für eine nachhaltige Infiltration.

Die Fakten

The Hacker News berichtet am 2. September 2026 von einer aktiven Kampagne mit gefälschten Software-Installern – dem klassischen Vektor für Drive-by-Downloads, allerdings mit einem entscheidenden Twist. Sobald der gefälschte Installer ausgeführt wird, deaktiviert er nicht nur eine Payload, sondern schaltet Windows Update aus und schwächt die Schutzmechanismen von Microsoft Defender, bevor er weitere Aktionen ausführt.

Das dokumentierte Muster:

1. Der Nutzer lädt einen Installer herunter (über SEO, Werbung oder eine gefälschte offizielle Website).
2. Der Installer fordert Administratorrechte an – angeblich, um „die Software zu installieren“.
3. Sobald diese gewährt werden, ändert er die Windows-Update-Konfiguration (längere Pause, Deaktivierung von Komponenten) und reduziert die Fähigkeiten von Defender (Ausnahmen für Ordner, Deaktivierung von Echtzeitschutzfunktionen, Manipulation des Dienstes).
4. Erst danach wird die Haupt-Payload abgelegt – Malware, RAT oder ein Ankerpunkt für spätere Angriffe.

Wer ist betroffen

• Windows-Nutzer im privaten Umfeld und kleine Unternehmen, die Software über Suchmaschinen oder Werbung herunterladen (ohne den Microsoft Store oder einen verifizierten Katalog zu nutzen).
• Arbeitsplatzrechner ohne zentrale Verwaltung – kein MDM/AV im Unternehmen, der Nutzer hat Admin-Rechte.
• Private Geräte, die im Homeoffice mit der Unternehmens-IT verbunden sind (nicht verwaltetes BYOD).

Warum das bedeutend ist

Diese Entwicklung reiht sich in die „Sozialtechnik über die Kommandozeile“ ein, die wir verfolgen – Kampagnen, die das Vertrauen technisch versierter Nutzer ausnutzen (gefälschte CAPTCHAs, Browser-Prüfungen, ClickFix, TerminalFix). Hier ist der Vektor breiter zugänglich als bei ClickFix, aber die Logik ist dieselbe: aus einer freiwilligen Handlung des Nutzers wird eine dauerhafte Kompromittierung.

Drei Punkte sind besonders relevant:

1. Die Deaktivierung von Windows Update ist strategisch. Ohne Updates bleibt das Gerät anfällig für bekannte CVE – der Angreifer behält Hintertüren offen, selbst nach einer oberflächlichen Säuberung der Payload.
2. Die Schwächung von Defender sichert die Tarnung. Statt den Antivirus komplett abzuschalten (was Alarme auslösen würde), macht die Kampagne ihn blind – Ausnahmen für Ordner, Deaktivierung von Komponenten. Die grüne Anzeige bleibt.
3. Die Kette ist modular. Der gefälschte Installer enthält nicht die finale Payload; er bereitet nur den Boden. So können die Angreifer je nach Ziel unterschiedliche Nutzlasten liefern (Crypto-Miner für Privatpersonen, Ransomware für Unternehmen, Backdoors für hochwertige Ziele).

Was jetzt zu tun ist

• Laden Sie niemals Software über Werbung in Suchergebnissen herunter. Nutzen Sie immer die bekannte offizielle URL oder einen verifizierten Katalog (Microsoft Store, Paketmanager wie winget, offizielle Repos).
• Überprüfen Sie regelmäßig den Status von Windows Update (Einstellungen → Windows Update) und Defender (Windows-Sicherheit → Virenschutz). Ein Gerät, das „pausiert“ ist oder „Ausnahmen“ hat, die Sie nicht konfiguriert haben, ist ein Anzeichen für einen Angriff.
• Im Unternehmen: Setzen Sie EDR ein und deaktivieren Sie lokale Admin-Rechte – das ist die einzige zuverlässige Barriere gegen solche Kampagnen.
• Nach einem Vorfall: Bei einem verdächtigen Gerät reicht es nicht, nur die sichtbare Malware zu entfernen – aktivieren Sie Windows Update und Defender manuell neu, entfernen Sie alle unbekannten Ausnahmen und scannen Sie erneut.

Merken Sie sich: Wenn ein „Installer“ Admin-Rechte anfordert und mehr als zwei Sekunden braucht, um sein Fenster zu öffnen, tut er wahrscheinlich etwas anderes, als Sie denken. Windows Update und Defender sind Ihre beiden Standard-Schutzmechanismen – ein Nutzer, der sie ohne Grund deaktiviert vorfindet, wurde kompromittiert.