RedLine Stealer 2026: Neue Variante umgeht EDR-Lösungen durch signierte Treiber

Eine neue RedLine-Variante nutzt gestohlene Code-Signing-Zertifikate, um Kernel-Treiber zu laden und damit gängige EDR-Lösungen zu umgehen. Die gestohlenen Daten werden über Telegram-Bots exfiltriert.

Neue Taktiken

Die neueste Variante des RedLine Stealers, die seit Februar 2026 im Umlauf ist, zeigt eine besorgniserregende Weiterentwicklung. Statt die üblichen User-Mode-Techniken zur Umgehung von Sicherheitslösungen zu verwenden, setzt die neue Variante auf signierte Kernel-Treiber.

Die Angreifer haben Code-Signing-Zertifikate von mindestens drei legitimen Softwareunternehmen gestohlen und nutzen diese, um einen bösartigen Kernel-Treiber zu signieren. Dieser Treiber kann:

• EDR-Agenten auf Kernel-Ebene deaktivieren
• Prozess-Monitoring umgehen
• Netzwerk-Traffic vor Sicherheitslösungen verbergen
• Persistenz-Mechanismen auf tiefster Systemebene installieren

Exfiltration über Telegram

Die gestohlenen Daten — Passwörter, Cookies, Krypto-Wallets — werden nicht mehr über traditionelle C2-Server exfiltriert, sondern über Telegram-Bots. Dies macht die Erkennung auf Netzwerkebene deutlich schwieriger, da Telegram-Traffic in den meisten Unternehmen als legitim eingestuft wird.

Gegenmaßnahmen

Unternehmen sollten ihre Treiber-Signaturrichtlinien überprüfen und HVCI (Hypervisor-Protected Code Integrity) aktivieren, um das Laden unsignierter oder manipulierter Treiber zu verhindern.