CPUID gehackt: CPU-Z und HWMonitor lieferten STX RAT aus
Die Webseite von CPUID war vom 9. bis zum 10. April 2026 kompromittiert. Manipulierte Download-Links von CPU-Z und HWMonitor lieferten den Remote-Access-Trojaner STX RAT aus. Insgesamt sind bislang rund 150 Nutzer betroffen.
CPUID hat den Vorfall auf X bestätigt und führt ihn nach eigenen Angaben auf eine kompromittierte Zusatzfunktion der Webseite zurück. Die signierten Originaldateien auf den CPUID-Servern blieben unberührt. Betroffen waren ausschließlich die manipulierten Download-Links, die während des 19-Stunden-Fensters ausgespielt wurden. Wer außerhalb dieses Zeitraums oder über andere Kanäle wie Paketmanager oder Spiegelserver den Download bezogen hat, ist nicht betroffen. Die Angreifer hatten zusätzlich HWMonitor Pro und PerfMonitor im Visier.
Here is the small statement I sent to everyone… 😓
Hi,
Investigations are still ongoing, but it appears that a secondary feature (basically a side API) was compromised for approximately six hours between April 9 and April 10, causing the main website to randomly display… https://t.co/ZfHRoWwkOM— Doc TB (@d0cTB) April 10, 2026Anzeige
Technisch setzten die Täter auf DLL-Side-Loading. DLL-Side-Loading ist eine Technik, bei der Angreifer eine manipulierte DLL-Datei neben eine legitime, signierte Anwendung platzieren. Windows lädt die gefälschte DLL automatisch, wenn das eigentliche Programm startet. Im CPUID-Fall trug die Schad-DLL den Namen CRYPTBASE.dll. Sie lag in manipulierten ZIP-Archiven und Installern direkt neben dem echten signierten Tool.
Die DLL führt zunächst Anti-Sandbox-Checks durch und lädt anschließend den STX RAT nach. eSentire beschreibt STX als Remote-Access-Trojaner mit Fernsteuerung, Infostealer-Funktionen, versteckter Desktop-Kontrolle (HVNC) und Tunneling.
Kaspersky hat bislang mehr als 150 Opfer identifiziert, überwiegend Privatanwender. Laut Kaspersky sind auch Unternehmen betroffen. Die gekaperten Systeme konzentrieren sich nach Kaspersky-Angaben auf Brasilien, Russland und China. Die Angreifer nutzten dieselben Command-and-Control-Adressen, die zuvor in einer Fake-FileZilla-Kampagne im März eingesetzt wurden. Kaspersky stuft die operative Sicherheit der Täter als eher gering ein.
Der Vorfall reiht sich in eine wachsende Liste von Supply-Chain-Angriffen auf Entwickler- und Admin-Werkzeuge ein. Wir haben ähnliche Muster bei Cline und OpenClaw sowie beim Supply-Chain-Angriff auf LiteLLM dokumentiert. Die Angriffsfläche verschiebt sich systematisch zu Werkzeugen.
Wer CPU-Z, HWMonitor, HWMonitor Pro oder PerfMonitor im betroffenen Zeitraum geladen hat, sollte das eigene System intensiv prüfen.
Server, KI-Modelle und Recherche kosten Geld. ClawNews ist unabhängig — hilf mit, dass das so bleibt.
