--- adresse: "https://qvestcon.com/dora-update-markus-junge/lunex-stealer-schaltet-sicherheits-callbacks_1483b692/" titel: "Lunex-Stealer schaltet…" beschreibung: "Das Ontinue Cyber Defence Centre hat die Malware-as-a-Service-Plattform Lunex analysiert, der Security-Insider…" sprache: "de-DE" stand: "2026-11-02" --- Qvestcon News # Lunex-Stealer schaltet Sicherheits-Callbacks aus: Bereinigung muss mehr umfassen Das Ontinue Cyber Defence Centre hat die Malware-as-a-Service-Plattform Lunex analysiert, der Security-Insider berichtet am 28.10.2026. Die vierstufige Angriffskette beginnt mit einer gefälschten CAPTCHA-Seite, die Opfer zu einem „msiexec“-Befehl verleitet. Ein Loader nutzt dann den verwundbaren, signierten AMD-Treiber „PDFWKRNL.sys“ (Schwachstelle CVE-2023-20598, laut Bericht von AMD in aktua­li­sier­ten Trei­ber­ver­sio­nen behoben), um Kernel-Callbacks von 20 erfassten Sicher­heits­trei­bern auf null zu setzen. Erst danach läuft der Stealer. Er greift Zugangsdaten, Cookies, Kre­dit­kar­ten­da­ten und Formulardaten aus sieben Chromium-Browsern ab und sucht Kryp­to­wäh­rungs-Wallets. Ontinue fand 28 Lunex-Panels in 13 Ländern. Für die Abwehr gibt der Bericht konkrete Hinweise. Die Erkennung muss vor der Manipulation der Überwachung ansetzen, zum Beispiel bei PDB-Downloads durch Prozesse außerhalb von Ent­wick­lungs­um­ge­bun­gen, bei Treibern in temporären Ver­zeich­nis­sen und bei Diensten für Treiber aus unge­wöhn­li­chen Pfaden. Bei der Bereinigung reicht das Entfernen der Stealer-Datei nicht. Registry-Run-Key, geplante Aufgabe und die Native-Messaging-Registrierung (Eintrag „Nati­ve­Mes­sa­ging­Hosts\com.lunex.explorer“) gehören dazu, sonst bleibt ein Zugriff über den Browser bestehen. Die beobachtete Kampagne richtete sich laut Bericht gegen ukrai­nisch­spra­chige Nutzer. Für SOC-Teams in Banken und Versicherern liefert sie eine Prüfliste für die Erken­nungs­re­geln. [Cyber](https://qvestcon.com/news/cyber/)28.10.2026 Das Ontinue Cyber Defence Centre hat die Malware-as-a-Service-Plattform Lunex analysiert, der Security-Insider berichtet am 28.10.2026. Die vierstufige Angriffskette beginnt mit einer gefälschten CAPTCHA-Seite, die Opfer zu einem „msiexec“-Befehl verleitet. Ein Loader nutzt dann den verwundbaren, signierten AMD-Treiber „PDFWKRNL.sys“ (Schwachstelle CVE-2023-20598, laut Bericht von AMD in aktua­li­sier­ten Trei­ber­ver­sio­nen behoben), um Kernel-Callbacks von 20 erfassten Sicher­heits­trei­bern auf null zu setzen. Erst danach läuft der Stealer. Er greift Zugangsdaten, Cookies, Kre­dit­kar­ten­da­ten und Formulardaten aus sieben Chromium-Browsern ab und sucht Kryp­to­wäh­rungs-Wallets. Ontinue fand 28 Lunex-Panels in 13 Ländern. Für die Abwehr gibt der Bericht konkrete Hinweise. Die Erkennung muss vor der Manipulation der Überwachung ansetzen, zum Beispiel bei PDB-Downloads durch Prozesse außerhalb von Ent­wick­lungs­um­ge­bun­gen, bei Treibern in temporären Ver­zeich­nis­sen und bei Diensten für Treiber aus unge­wöhn­li­chen Pfaden. Bei der Bereinigung reicht das Entfernen der Stealer-Datei nicht. Registry-Run-Key, geplante Aufgabe und die Native-Messaging-Registrierung (Eintrag „Nati­ve­Mes­sa­ging­Hosts\com.lunex.explorer“) gehören dazu, sonst bleibt ein Zugriff über den Browser bestehen. Die beobachtete Kampagne richtete sich laut Bericht gegen ukrai­nisch­spra­chige Nutzer. Für SOC-Teams in Banken und Versicherern liefert sie eine Prüfliste für die Erken­nungs­re­geln. - [#Banken](https://qvestcon.com/stichwoerter/b/#banken) - [#Versicherer](https://qvestcon.com/stichwoerter/v-z/#versicherer) - [#Finanz­dienst­leis­ter](https://qvestcon.com/stichwoerter/f-h/#finanzdienstleister) - [#Prü­fungs­pla­nung](https://qvestcon.com/stichwoerter/p-r/#pruefungsplanung) - [#Qvestcon](https://qvestcon.com/stichwoerter/p-r/#qvestcon) - [#MarkusJunge](https://qvestcon.com/stichwoerter/m-o/#markusjunge) - [#ITSicherheit](https://qvestcon.com/stichwoerter/i-j/#itsicherheit) - [#Malware](https://qvestcon.com/stichwoerter/m-o/#malware) [Ori­gi­nal­quelle: Security-Insider →](https://www.security-insider.de/lunex-stealer-byovd-amd-treiber-pdfwkrnl-a-f6a0acbeeb0a3b427da5ff44c09b6246/?cmp=nl-1ee4fad4-1104-402c-b7af-718b657df63f&uuid=A3B680B6-862E-4C0F-9B9B-F6448A5D7486) Diese Einordnung bezieht sich auf die verlinkte Ori­gi­nal­quelle. Sie ist keine Rechts­be­ra­tung im Einzelfall. [Kostenloses Erstgespräch anfragen →](https://qvestcon.com/kontakt/?von=News%3A%20Lunex-Stealer%20schaltet%20Sicherheits-Callbacks%20aus%3A%20Bereinigung%20muss%20mehr%20umfassen#erstgespraech) [Weitere Meldungen in Cyber](https://qvestcon.com/news/cyber/) · [alle Qvestcon-News](https://qvestcon.com/news/)