SparkOnSoft & OneBrowser: Wenn der "kostenlose PDF Editor" zum Sicherheitsvorfall wird

SparkOnSoft ist keine klassische Adware und kein plumper Verschlüsselungstrojaner. Es handelt sich um eine ganze Familie von Installern, die sich als nützliche PDF-Werkzeuge oder Browser ausgeben – unter Namen wie PDFSpark, PDFSparkOnSoft, PDFSparkWare, PDFSparkApp, OneBrowser und zuletzt Proton PDF.

Drei Eigenschaften machen diese Kampagne aus:

1. Verbreitung über reguläre Werbung, nicht über Phishing.

Der Download läuft über Suchmaschinenanzeigen und SEO-optimierte Landingpages. Die Download-URLs tragen dabei sogar Kampagnenparameter, die auf professionelle Ad-Kampagnen hindeuten, etwa in der Form `hxxps://sparkonsoft[.]com/PDFSparkOnSoft.exe?campaign_id=23160583132`. Wer nur Mail-Anhänge filtert, sieht diesen Vektor gar nicht.

2. Die Software funktioniert tatsächlich.

Das Opfer bekommt ein lauffähiges PDF-Werkzeug. Es gibt keinen Moment, in dem der Nutzer merkt, dass etwas schiefgelaufen ist und damit auch keine Meldung an die IT.

3. Ständiger Marken- und Firmenwechsel.

Die Betreiber bauen keine Kopien bekannter Produkte, sondern erfinden laufend neue Produktnamen, neue Herstellerfirmen und neue Domains. Beobachtet wurden unter anderem die Publisher-Angaben MAINSTAY CRYPTO LLC, CROWD SYNC LLC, WORK PRODUCT INC und Hawk Integrated Inc.

Einordnung in ein größeres Ökosystem

Trend Micro fasst ein verwandtes Set von Kampagnen unter dem Namen EvilAI zusammen: gefälschte Produktivitäts- und KI-Tools, die mit gültigen Code-Signing-Zertifikaten frisch gegründeter Briefkastenfirmen signiert werden. Dokumentiert sind dort unter anderem Tarnprodukte wie AppSuite, OneStart, Manual Finder, Recipe Lister, Epi Browser, PDF Editor und Tampered Chef – betroffen sind laut dieser Analyse Organisationen unter anderem in Deutschland, Frankreich, Großbritannien, Indien, Brasilien und den USA, mit Schwerpunkt in Fertigung, öffentlicher Verwaltung, Gesundheitswesen, Technologie und Handel.

Für die Praxis heißt das: Der konkrete Produktname ist austauschbar. Wer nur PDFSpark blockt, blockt eine Momentaufnahme.

Ab hier wird es technisch.

Schritt 1: Der Installer

Die klassischen Varianten nutzen Inno Setup als Verpackung, neuere Varianten (Proton PDF) NSIS. Beides sind völlig legitime, weit verbreitete Setup-Frameworks. Exakt das ist der Punkt: Der Installer bringt dieselbe Dateistruktur und dieselben Verhaltensmuster mit wie tausende harmlose Programme.

Beim Start entpackt sich der Installer in ein temporäres Verzeichnis im Benutzerprofil:

```

C:\Users\<Benutzer>\AppData\Local\Temp\is-####.tmp\PDFSparkOnSoft_####.tmp

```

Der Ordnername nach dem Muster `is-####.tmp` ist typisch für Inno Setup. Die `.tmp`-Datei ist dabei keine Temporärdatei im landläufigen Sinn, sondern eine vollwertige ausführbare Datei mit umbenannter Endung.

Bei der NSIS-Variante landen stattdessen Hilfsbibliotheken wie `nsis7z.dll` und `System.dll` in `%TEMP%`, und der Nachladevorgang läuft über `NScurl.dll` per HTTP GET.

Schritt 2: Nachladen der eigentlichen Nutzlast

Der Installer verbindet sich zu Infrastruktur der Kampagne und lädt ein Archiv nach, beobachtet wurde unter anderem `CHROME.PACKED.7Z`. Ausgeliefert wird bevorzugt über legitime Cloud-Speicher, damit der Traffic im Firmennetz nicht auffällt:

```

pdfsparkcomponent[.]s3[.]us-east-2[.]amazonaws[.]com

pdfsparkcomponents[.]s3[.]us-east-2[.]amazonaws[.]com

internalcomponentspdf[.]s3[.]us-east-1[.]amazonaws[.]com

appsupport[.]getpdfproton[.]com

```

Ein Proxy-Regelwerk, das "AWS S3" pauschal als vertrauenswürdig einstuft, hilft hier nicht weiter.

Schritt 3: Installation im Benutzerkontext

Die Komponenten werden in einem eigenen Verzeichnis unterhalb des Benutzerprofils abgelegt – ohne jede Rechteerhöhung:

```

C:\Users\<Benutzer>\AppData\Local\OneBrowser\Update\OBUpdater.exe

C:\Users\<Benutzer>\AppData\Local\OneBrowser\Update\OBUpdateService.exe

C:\Users\<Benutzer>\AppData\Local\PDFProton\            (Proton-PDF-Variante, >145 MB)

```

Der Aufruf erfolgt mit Parametern wie `--install-archive=CHROME.PACKED.7Z /S`, wobei `/S` für "silent" steht.

Schritt 4: Persistenz

Eingerichtet wird ein geplanter Task mit dem Namen `OBUpdate`, ausgeführt über `setup.exe` beziehungsweise `OBUpdateService.exe`. Der Name ist bewusst so gewählt, dass er in einer langen Task-Liste wie ein gewöhnlicher Updater aussieht.

Schritt 5: Verschleierung

Mehrere Techniken greifen ineinander:

• Prozess-Tarnung: Ausführung im Kontext beziehungsweise unter den Namen vertrauenswürdig wirkender Systemprozesse wie `svchost.exe` und `taskhostw.exe`, kombiniert mit verschachtelten `cmd.exe`- und `conhost.exe`-Aufrufen.

• DLL-Sideloading: Mitgelieferte, an sich legitime Bibliotheken wie `d3dcompiler_47.dll` oder `turbojpeg.dll` dienen dazu, Code über einen vertrauenswürdigen Ladepfad auszuführen. In der Proton-Variante fiel zusätzlich eine unsignierte `ffmpeg.dll` auf.

• Sandbox-Erkennung: Samples prüfen, ob sie unter WINE laufen, indem sie in der `ntdll.dll` nach der Funktion `wine_get_version()` suchen. Diese existiert nur in WINE-Umgebungen – ein Treffer bedeutet für die Malware "ich werde gerade analysiert".

• Zeitverzögerte Selbstlöschung: Der Installer räumt seine eigenen Spuren ab, klassisch über einen Befehl der Form:

```cmd

choice /C Y /N /D Y /T 5 & del /Q "C:\Users\<Benutzer>\AppData\Local\OneBrowser\Update\OBUpdater.exe"

```

`choice` wird hier zweckentfremdet als Wartefunktion: fünf Sekunden Verzögerung, dann Löschen. Dass ein Prozess `choice.exe` mit `/T` aufruft und direkt danach `del` folgt, ist in einem Unternehmensnetz für sich genommen schon ein Alarmsignal.

• Manipulation der Ausführungshistorie: Windows protokolliert über den *Background Activity Moderator* (BAM), welche Programme wann gelaufen sind – ein zentrales forensisches Artefakt. Beobachtet wurde, dass `OBUpdater.exe` Einträge unterhalb von `HKLM\SYSTEM\ControlSet001\Services\bam\State\UserSettings\<SID>` direkt überschreibt.

• Blockierte Deinstallation: Der Uninstall-Eintrag wird mit gesetzten Flags `NoModify=1` und `NoRepair=1` angelegt, sodass die reguläre Softwareverwaltung dem Nutzer keine saubere Entfernung anbietet. Bei der Proton-Variante existiert zwar ein "Uninstaller", er entfernt aber nur Registry-Einträge und Verknüpfungen, nicht die aktiven Komponenten.

Schritt 6: Was danach kommt

SparkOnSoft ist als Türöffner konzipiert, nicht als Endzustand. Beobachtet wurden je nach Variante:

• Proxyware-Funktionalität, also die Vermietung der Internetleitung des Opfers an Dritte

• Infostealer-Nachladung: bei der Proton-PDF-Variante wurde Lumma Stealer nachgeladen, der gezielt Zugangsdaten, Browser-Sitzungsdaten und Krypto-Wallets abgreift

• dauerhafte C2-Kanäle für Folgebefehle und weitere Nutzlasten

Ob im konkreten Kundenfall bereits Zugangsdaten abgeflossen sind, lässt sich nur durch vollständige forensische Analyse klären. Genau deshalb gilt in solchen Fällen: Zugangsdaten der betroffenen Benutzer werden als kompromittiert behandelt, bis das Gegenteil belegt ist.

Das ist der unangenehme Teil.

Alles, worauf klassische signaturbasierte Erkennung aufbaut, wird von dieser Kampagne systematisch entwertet:

• Der Hash ist neu. Die Binaries werden pro Kampagne, teils pro Download-Parameter neu gebaut. Eine Hash-Signatur trifft immer nur die gestrige Variante.

• Die Signatur ist gültig. Die Installer sind regulär signiert – ältere Samples auf "Mainstay Crypto LLC", die neuere Proton-PDF-Variante auf "Hawk Integrated Inc", letztere sogar mit Extended-Validation-Zertifikat. Dahinter steckt ein industrialisiertes Muster: Wegwerf-Firma gründen, Zertifikat regulär beantragen, Schadsoftware damit signieren und sobald es widerrufen ist, beginnt der Zyklus mit der nächsten Firma. Trend Micro dokumentiert im EvilAI-Umfeld allein für verwandte Kampagnen mindestens 26 solcher Zertifikate. Ein EV-Zertifikat ist damit kein Qualitätsmerkmal mehr, und ein Widerruf wirkt ohnehin nur dort, wo Sperrlisten tatsächlich geprüft werden.

• Der Herausgeber wechselt. Mainstay Crypto, Crowd Sync, Work Product, Hawk Integrated – jeder neue Name ist ein leeres Blatt für jede reputationsbasierte Bewertung.

• Die Software ist nicht offensichtlich bösartig. Ein PDF-Editor, der PDFs editiert und nebenbei einen Updater installiert, ist für eine generische Heuristik ein Grenzfall. Viele Engines stufen solche Familien zunächst als "PUA" (potenziell unerwünschte Anwendung) ein, eine Kategorie, die in vielen Unternehmen bewusst nicht blockierend konfiguriert ist.

Das Ergebnis kennen wir aus der Praxis: Samples dieser Familie werden zum Zeitpunkt des Erstauftretens von nur wenigen Engines beanstandet. Breit erkannt sind sie regelmäßig erst deutlich später – oft Wochen bis Monate. Bis dahin ist die Software längst installiert, der geplante Task angelegt und der C2-Kanal aufgebaut. Eine Erkennung, die zwei Monate nach der Installation greift, verhindert nichts mehr, sie eröffnet einen Forensikfall.

Was unser SOC an dieser Stelle leistet:

Wir überwachen bei unseren SOC-Kunden gezielt solche Softwarepakete und bewerten dabei Verhalten statt bekannter Merkmale. Dadurch melden wir Funde dieser Art um Größenordnungen schneller, als eine Signatur nachziehen kann – im geschilderten Fall innerhalb der ersten Betriebswoche.

Und trotzdem gilt: Erkennung ist Schadensbegrenzung, keine Verhinderung. Zwischen Ausführung und Alarm liegt immer ein Zeitfenster und in diesem Zeitfenster hat die Software bereits Persistenz aufgebaut und einen Kanal nach außen geöffnet. Der einzig wirklich sichere Weg ist, dass die Datei gar nicht erst startet und dafür braucht es Anwendungssteuerung, in der Windows-Welt am pragmatischsten mit AppLocker.

Die aus unserer Sicht belastbarsten Indikatoren, sortiert nach Aussagekraft:

Registry:

```

HKCU\Software\Microsoft\Windows\CurrentVersion\Uninstall\PDF_Spark_is1   (NoModify=1, NoRepair=1)

HKLM\SYSTEM\ControlSet001\Services\bam\State\UserSettings\<SID>          (überschriebene Einträge)

```

Dateisystem:

```

%LOCALAPPDATA%\Temp\is-####.tmp\

%LOCALAPPDATA%\OneBrowser\Update\OBUpdater.exe

%LOCALAPPDATA%\OneBrowser\Update\OBUpdateService.exe

%LOCALAPPDATA%\PDFProton\

CHROME.PACKED.7Z  (in Temp-Verzeichnissen)

nsis7z.dll, System.dll, NScurl.dll  (NSIS-Variante, in %TEMP%)

```

Persistenz:

```

Geplanter Task: "OBUpdate"

```

Netzwerk:

```

sparkonsoft[.]com

oneinternetbrowser[.]com/service/update2

crowdsourcesoftware[.]com

appsecuredata[.]com

getappsgroup[.]com

internationalcdn[.]com

supportcrc[.]com

pdfproton[.]com, *.getpdfproton[.]com

pdfsparkcomponent[.]s3[.]us-east-2[.]amazonaws[.]com

internalcomponentspdf[.]s3[.]us-east-1[.]amazonaws[.]com

```

Bekannte Datei-Hashes (SHA-256, Auswahl aus den unten verlinkten Analysen):

```

415b6d1bb78cb74a468b29e7af09e885999cfcabf2c413f3bf533c2191d4e626

4617e321a142d4ed35d71d3532be764deec63dafe8bdec010a8ace4ea5bba5b4

00f0338e7caa630d10347a5bebed83bb4c11ebce34f4470a213f93828a66addf

717c2728b957a7faecb7d1ac057bb03053f6397bbc369092c493daf6d45dc67c

c1f686082eb39db8cd58f36247e894b22c95d10672e9d50380b824ab9f2e2f46

686d018c86c03165925ebd3773c622f182c93f54b98db9616bae86f5e8684e4c

91e4f66fb2af51fa3b2e0463c8c140e628d5d057cadde3f7d4d4bcb991289a38

73dbd23bb38472c1a9a3b0fb6f3ed5c9c272204e01de4bd35fed6034bf3c463b

4fa777e1392037fde13b8e93b7d69427926fca5000b816f562e829c9246f46c9

```

Imphash einer Variante: `efd455830ba918de67076b7c65d86586`

Wichtiger Hinweis zur Anwendung: Hashes und Domains sind die kurzlebigsten Indikatoren dieser Kampagne. Sie taugen zum Blocklisting und zur retrospektiven Suche, nicht als primäre Erkennungslogik. Tragfähig ist das Verhaltensmuster: Installer aus Temp-Pfad → neues Verzeichnis in `AppData\Local` → geplanter Task → ausgehende Verbindung zu frisch registrierter Infrastruktur, in einem engen Zeitfenster, im selben Benutzerkontext.

Wie unser SOC solche Fälle erkennt

Entscheidend ist der Ansatz, nicht das einzelne Merkmal: Wir bewerten Verhalten und korrelieren Telemetrie aus mehreren Quellen, statt uns auf eine Signatur oder eine Liste bekannter Dateinamen zu verlassen.

Der Vorteil daran zeigt sich beim nächsten Mal: Erkannt wird auch die Folgevariante derselben Kampagne, die unter neuem Produktnamen, neuem Herausgeber und neuer Domain auftritt, solange sie dasselbe Verhaltensmuster zeigt. Genau deshalb war der Fund bei diesem Kunden schon in der ersten Betriebswoche möglich, obwohl zu diesem Zeitpunkt kaum eine Engine das Sample kannte.

Sofortmaßnahmen im akuten Fall:

1. Alle Profile des Systems prüfen, nicht nur das auffällige. Auf einem RDS gilt jede Session als potenziell betroffen.
2. Geplante Tasks und Autostart-Einträge bereinigen. Die sichtbare Anwendung zu deinstallieren, entfernt die Persistenz nicht. Bei manchen Varianten ist der mitgelieferte Uninstaller sogar bewusst wirkungslos.
3. Zugangsdaten der betroffenen Benutzer zurücksetzen, inklusive der in Browsern gespeicherten Anmeldedaten und aktiver Sitzungstoken. Bei Hinweisen auf Infostealer-Nachladung ohne weitere Diskussion.
4. Dokumentieren, welche Benutzer wann auf dem System aktiv waren: Grundlage für die Eingrenzung des Schadens und für eventuelle Meldepflichten.
5. Egress-Filter setzen auf die bekannten Domains und S3-Buckets, um Nachladeversuche während der Bereinigung zu unterbinden.

Die beobachteten Techniken nach MITRE ATT&CK:

| Technik | ATT&CK-ID |

|---|---|

| Acquire Infrastructure: Malvertising | T1583.008 |

| Obtain Capabilities: Code Signing Certificates | T1588.003 |

| User Execution: Malicious File | T1204.002 |

| Subvert Trust Controls: Code Signing | T1553.002 |

| Masquerading | T1036 |

| Hijack Execution Flow: DLL Side-Loading | T1574.002 |

| Scheduled Task/Job: Scheduled Task | T1053.005 |

| Virtualization/Sandbox Evasion | T1497 |

| Indicator Removal: File Deletion | T1070.004 |

| Credentials from Password Stores: Credentials from Web Browsers | T1555.003 |

Compliance-seitig ordnet sich der Vorfall unter ISO/IEC 27001:2022, Anhang A, Control 8.7 ("Schutz vor Malware") und 8.19 ("Installation von Software auf Systemen im Betrieb") ein. Für Terminalserver-Umgebungen ist der BSI-IT-Grundschutz-Baustein SYS.1.9 (Terminalserver) einschlägig, der explizit Anforderungen an Mehrbenutzer-Serverumgebungen formuliert. Unternehmen im NIS2-Anwendungsbereich fällt dieser Themenkomplex unter die geforderten Maßnahmen der grundlegenden Cyberhygiene.

Die wirksamste Maßnahme in diesem Fall wäre nicht die Erkennung gewesen, sondern die Verhinderung der Ausführung:

• Anwendungssteuerung (AppLocker oder App Control for Business). Wenn nur freigegebene Anwendungen überhaupt starten dürfen, scheitert die Kette im allerersten Schritt beim Start des Installers aus dem Temp-Verzeichnis. Unabhängig davon, ob die Datei signiert ist, ob der Virenschutz sie kennt und ob der Benutzer Administratorrechte hat. Wichtig dabei: Ein Regelwerk nach dem Motto "alles Signierte darf laufen" lässt diese Kampagne durch. Herausgeberregeln müssen auf konkrete Softwarelieferanten lauten.

• Keine Ausführung aus Benutzer-Schreibpfaden. Praktisch keine legitime Unternehmenssoftware muss dauerhaft aus `%LOCALAPPDATA%\Temp` oder dem Download-Ordner heraus starten.

• Härtung von RDS-Umgebungen, insbesondere Einschränkung des freien Internetzugriffs zu Downloadzwecken auf Systemen, auf denen mehrere Mitarbeitende gleichzeitig arbeiten.

• Awareness mit dem richtigen Fokus: Der Angriffsvektor ist hier nicht der dubiose Mail-Anhang, sondern das erste Suchergebnis. Genau das muss in Schulungen ankommen.

Dieser Fall zeigt exemplarisch, warum "unsere Mitarbeiter haben doch keine Adminrechte" als Schutzlinie nicht ausreicht: Download, Installation, Persistenz und der Aufbau eines dauerhaften Kanals nach außen liefen vollständig im Benutzerkontext ab, mit gültig signierten Dateien, ohne eine einzige Warnmeldung. Für alles, was diese Kampagne tut, braucht es keine einzige erhöhte Berechtigung.

Erkannt haben wir den Fall in der ersten Woche. Verhindert hätte ihn eine einzige Konfigurationsentscheidung, die dem Angriff mehrere Wochen vorausgeht: dass Programme aus Benutzer-Schreibpfaden schlicht nicht starten dürfen.

Wenn Sie prüfen möchten, ob eine Anwendungssteuerung in Ihrer Umgebung umsetzbar ist oder ob Ihre RDS-Systeme ein vergleichbares Muster zeigen, sprechen Sie uns gerne an.