Die Desktop-App, die es nie gab

Drei der größten Lohn- und Personalplattformen der Vereinigten Staaten haben eines gemeinsam: Keine von ihnen bietet eine Windows-Desktop-App an. Jemand hat für jede eine gebaut.

Allure Security veröffentlichte die Ergebnisse am 24. September. Die Köderseiten entstanden mit Lovable, einem KI-Werkzeug, das aus einem Satz eine Webseite macht, lagen auf Vercel hinter einem Bot-Prüfbildschirm, und der Download-Knopf zeigte auf eine Release-Datei in einem GitHub-Repository. Ein Konto, ein Repository pro Marke, derselbe 64 MB große Installer dreimal unter drei verschiedenen Namen veröffentlicht. Führt man ihn aus, erscheint ein echter Microsoft .NET Runtime Installer auf dem Bildschirm, während darunter ConnectWise ScreenConnect als Windows-Dienst eingerichtet wird, mit allen sichtbaren Anzeichen abgeschaltet: kein Banner, kein Symbol im Infobereich, kein Hinweis, wenn sich jemand verbindet. Er übersteht einen Neustart, startet vor jeder Anmeldung und läuft im abgesicherten Modus.

ScreenConnect ist ein legitimes Produkt, das echte IT-Abteilungen täglich einsetzen, und genau deshalb fiel die Wahl darauf. GitHub zählte rund 291 Downloads, Forscher eingerechnet, und nur 32 von 70 Prüf-Engines schlugen anfangs an. Alles meldete sich bei einem einzigen Relais in Deutschland. Allure hat die Seiten, die Domain und die Repositories inzwischen entfernen lassen.

Der Test, der das auffliegen lässt, braucht keinerlei technisches Wissen. Wenn ein Dienst, den Sie immer nur im Browser genutzt haben, Ihnen plötzlich eine Desktop-Version anbietet, gehen Sie auf die eigene Website des Anbieters und prüfen Sie, ob es diese Version überhaupt gibt. Meistens nicht. Wie die Forscher es formulieren: Ein Download, den der Hersteller nicht anbietet, ist kein Update, sondern der Angriff. Der Sicherheitscheck von Tendvane sieht durch, was auf Ihrem PC installiert ist und läuft, und meldet Fernzugriffswerkzeuge, die Sie nicht selbst dort hingesetzt haben.