ArmorSteal-Malware stiehlt Passwörter und Krypto-Wallet-Daten und versteckt Mining, sobald der Task-Manager geöffnet wird

Was passiert ist

Der Miner wird beendet, sobald ein Nutzer den Task-Manager oder ein anderes Überwachungstool öffnet. Das Kit bringt eine eigene Python-3.11-Laufzeitumgebung mit.

Drei geplante Tasks halten es am Laufen: SysCheck2, SysCheckX und das neu beobachtete SysHeal. Es stiehlt Zugangsdaten und Krypto-Wallets, kapert Wallet-Adressen in der Zwischenablage und betreibt einen versteckten Miner im Stil von Monero.

Zscaler ThreatLabz hat die Malware-Familie am 22. Oktober 2026 dokumentiert.

cyber security Cyber Security News Malware 3 min.

Das Seqrite-Sample ist neuer als dieser Bericht und als ein früherer Build vom Juni 2026. Opfer, die nach Chocolatey oder den Microsoft Activation Scripts suchen, landen auf typosquatting-Seiten.

Diese Seiten zeigen einen PowerShell-Befehl, der das echte Tool installiert und das Kit unbemerkt nach C:\Windows\SystemHealth\Update ablegt. Jedes Skript ist mit der Testversion von PyArmor 9.1.7 geschützt.