Phishing-Kampagne: Google Docs schleusen Fake-Zertifikat in Windows ein
Veröffentlicht am: 21.08.2026 um 22:41 Uhr | Redaktion boerse-global.de
Das Sicherheitsunternehmen Huntress hat eine Phishing-Kampagne aufgedeckt, bei der Angreifer über Google Docs eine selbstsignierte, betrügerische Zertifizierungsstelle mit dem Namen „Google Trust Services" in den Root-Zertifikatsspeicher von Windows-Systemen einschleusen. Huntress veröffentlichte seinen Bericht dazu am 20. August 2026.
Konferenzteilnehmer als Zielscheibe
Die Angriffe richten sich gezielt gegen Teilnehmer von Cybersicherheitskonferenzen wie Black Hat und DEF CON. Auf Windows-Systemen erfolgt die Infektion über eine ClickOnce-Datei mit dem Namen „GapiUpdate.application".
Laut Huntress kontaktierten die Angreifer Sicherheitsforscher im Vorfeld über die Plattform X und gaben sich dabei als Mitarbeiter des Krypto-Nachrichtenportals CoinDesk aus. Ein Konto mit dem Namen @HartmansDoeke habe sich demnach als CoinDesk-Vizepräsident ausgegeben und ab dem 9. August 2026 Kontakt zu Forschern aufgenommen.
Als Köder dient laut den Erkenntnissen von Huntress ein Google Doc mit einer eingebetteten Apps-Script-Seitenleiste sowie einem vermeintlichen Entschlüsselungsschlüssel. Ergänzend nutzten die Angreifer eine Dropbox-DocSend-Variante, die mit einem gestohlenen Discord-Zertifikat versehen war.
Während raffinierte Phishing-Methoden selbst Experten täuschen können, nutzen Hacker oft auch psychologische Schwachstellen der Zielpersonen aus. Dieser kostenlose Report enthüllt die aktuellen Manipulationstaktiken der Cyberkriminellen und zeigt, wie man sie frühzeitig entlarvt. Anti-Phishing-Paket jetzt gratis herunterladen
Manipulation des Root-Zertifikatsspeichers
Der Kern der Kampagne liegt in der Installation der gefälschten Root-Zertifizierungsstelle. Diese leitet Aufrufe des Virenscan-Dienstes VirusTotal auf localhost um, wodurch Sicherheitsprüfungen unterlaufen werden können. Die Zertifizierungsstelle selbst, die vorgenommene Änderung der Hosts-Datei sowie eine zusätzlich eingerichtete Firewall-Regel überstehen laut Huntress auch einen Neustart des betroffenen Systems.
Auf Windows-Rechnern setzen die Angreifer neben dem beschriebenen Mechanismus auch den Fernzugriffstrojaner NetSupport RAT sowie einen gefälschten Installer für die Hardware-Wallet Ledger ein. Für macOS-Systeme kommt laut Huntress der Infostealer AMOS zum Einsatz. Die Kampagne umfasst zudem Fingerprinting der Zielsysteme sowie eine Datenexfiltration über Telegram.
Angesichts der zunehmenden Komplexität von Cyberangriffen im geschäftlichen Umfeld ist proaktive Aufklärung über aktuelle Bedrohungen und rechtliche Pflichten unerlässlich. Erfahren Sie im kostenlosen Experten-E-Book, wie Sie Sicherheitslücken effektiv schließen und Ihr Unternehmen langfristig absichern. Gratis-E-Book zur Cyber Security sichern
Glaubwürdigkeit durch legitime Google-Dienste
Ein zentrales Element der Kampagne ist laut Huntress die Ausnutzung tatsächlich legitimer Google-Dienste, was die Glaubwürdigkeit der Phishing-Versuche gegenüber technisch versierten Zielpersonen erheblich erhöht. Huntress verweist zudem auf Parallelen zu einer ähnlichen Kampagne der mit Nordkorea in Verbindung gebrachten Gruppe Lazarus aus dem Jahr 2021.
Google hat sich nach Angaben vom 20. August 2026 bislang nicht zu der Kampagne geäußert.
