House of the Dragon: Fake-Folge lockt Fantasy-Fans in die Falle

Eine manipulierte "Bonus-Episode" von House of the Dragon verbreitet sich derzeit in Filesharing-Kreisen - mit fatalen Folgen. Statt TV-Fantasy erwartet die Nutzer ein Trojaner. Wer also eine Folge namens "House of the Dragon S02E09" sieht: Finger weg!

House of the Dragon: Staffel 2 hat nur acht Folgen!

Die zweite Staffel der beliebten Fantasy-Serie "House of the Dragon" endete Anfang August offiziell nach acht Episoden. Doch in Pirateriekreisen macht plötzlich eine angebliche neunte Folge die Runde - mit bösen Überraschungen für unvorsichtige Fans. Wie TorrentFreak berichtet, verbreitet sich über Torrent-Seiten eine gefälschte Datei mit dem Namen "House.of.the.Dragon.S02E09.1080p.WEB.h264-ETHEL.mkv".

Auf den ersten Blick wirkt der Download unverdächtig bzw. ist er charakteristisch für einschlägige Netzwerke und Portale: Die Dateigröße passt zu einer typischen Serien-Episode und auch die Quelle scheint seriös. Doch wer die vermeintliche Bonusfolge herunterlädt und öffnet, installiert unwissentlich Schadsoftware auf seinem System.

Trojaner via LNK-Datei

Das Herzstück des Angriffs ist eine sogenannte LNK-Datei. Diese Windows-Verknüpfungen dienen normalerweise als Verweis auf Programme oder Ordner. Kriminelle nutzen sie jedoch zunehmend, um Malware einzuschleusen. Im Fall der gefälschten House of the Dragon-Folge löst die LNK-Datei einen als "Fragtor" klassifizierten Trojaner aus.


Laut einer Analyse des Sicherheitsunternehmens McAfee steigt die Zahl solcher LNK-basierten Angriffe seit 2022 stark an. Die Methode erlaubt es Hackern, andere Programme im Hintergrund zu starten und so Schadsoftware auf dem Zielsystem zu installieren - mit den erwartetet gravierenden Konsequenzen.

Komplexe Angriffskette nutzt Windows-Funktionen aus

Die Angriffskette der gefälschten House of the Dragon-Folge ist komplex und nutzt mehrere Windows-Funktionen aus. Zunächst aktiviert die LNK-Datei den Windows-Befehlsprozessor (cmd.exe) mit einem langen, verschleierten Befehl. Dieser Befehl nutzt das Windows-Tool "findstr", um versteckte Inhalte aus der LNK-Datei zu extrahieren und in einer temporären VBS-Datei zu speichern.

Anschließend wird diese VBS-Datei ausgeführt, um den eigentlichen Trojaner herunterzuladen. Ähnliche Techniken wurden laut McAfee auch bei anderen Malware-Kampagnen wie Emotet, Qakbot und IcedID beobachtet. Die Angreifer nutzen dabei die Tatsache aus, dass Windows-Verknüpfungen bis zu 4096 Zeichen lange Befehle ausführen können, während in den Eigenschaften der Datei nur 255 Zeichen sichtbar sind.

Der Angriff über die Fake-Folge von House of the Dragon ist kein Einzelfall. TorrentFreak berichtet von zahlreichen ähnlichen Fällen in den vergangenen Wochen, die auch andere populäre Serien betreffen. Nutzer illegaler Streaming- und Download-Portale sind generell ein beliebtes Ziel für Malware-Kampagnen. Während erfahrene Nutzer meist vorsichtig agieren, tappen Gelegenheits-Downloader leicht in solche Fallen. Die Kombination aus der Beliebtheit illegaler Episoden und der oft mangelnden technischen Expertise der Nutzer macht die Szene attraktiv für Cyberkriminelle.

Seiten und HBO reagieren

Einige Torrent-Portale haben inzwischen auf die Gefahr reagiert. So hat TorrentGalaxy, eine der Quellen der gefälschten House of the Dragon-Folge, LNK-Dateien komplett von der Plattform verbannt. Damit soll dieser spezielle Angriffsvektor künftig unterbunden werden.

Kurios: Auch HBO selbst wurde auf die nicht-existente neunte Folge aufmerksam. Über seinen Anti-Piraterie-Partner Marketly reichte der Sender eine Löschanfrage bei Google ein. Allerdings zielte diese vermutlich nicht auf den Malware-Aspekt ab, sondern wurde durch den Dateinamen automatisch ausgelöst.


Siehe auch: