NjRAT ist ein Fernzugriffswerkzeug, dessen Quellcode online ver\u00f6ffentlicht wurde und das Bedrohungsakteure deshalb an eigene Zwecke anpassen k\u00f6nnen. Ein RAT erlaubt es einem Angreifer au\u00dferdem, auf dem kompromittierten Computer verschiedene Aktionen auszuf\u00fchren. Weil der Quellcode online geleakt wurde, gilt NjRAT als sogenanntes Commodity-RAT, und Bedrohungsakteure im Nahen Osten haben die Malware eingesetzt. Die Malware wird zudem als Bladabindi und LV gef\u00fchrt; Njw0rm wird in einigen Quellen als sp\u00e4tere Variante beschrieben, die sich zus\u00e4tzlich selbstst\u00e4ndig \u00fcber USB-Laufwerke weiterverbreiten kann. Zu den Funktionen z\u00e4hlen Keylogging, Zugriff auf Mikrofon und Webcam<\/strong>, der Diebstahl von Zugangsdaten und die Dateiverwaltung. Auch Kryptow\u00e4hrungen k\u00f6nnen damit gestohlen werden.<\/p>\n Gelangt NjRAT auf einen Windows-Rechner eines Versicherers, kann der Angreifer das System fernsteuern, Tastatureingaben aufzeichnen, Zugangsdaten stehlen, Dateien \u00fcbertragen und Webcam oder Mikrofon aktivieren. Die Verbreitung kann \u00fcber Phishing-E-Mails, Drive-by-Downloads und USB-Autorun-Exploits<\/strong> erfolgen. Gestohlene Informationen, Screenshots und weitere Systemdaten gehen dabei \u00fcber die Command-and-Control-Infrastruktur an den Angreifer. Eine dokumentierte Kampagne verwendete NjRAT als letzte Nutzlast, mit der Angreifer unter anderem Screenshots erstellen, eine Reverse Shell \u00f6ffnen sowie Prozesse, Registry und Dateien manipulieren konnten.<\/p>\n NjRAT tarnt sich nach der Infektion auf dem Windows-Rechner und stellt dem Angreifer Funktionen f\u00fcr die Fernsteuerung zur Verf\u00fcgung. Die Malware kann die Namen echter Windows-Dateien<\/strong> kopieren, um unentdeckt zu bleiben, und Code in regul\u00e4re Windows-Prozesse wie svchost.exe einschleusen. Zus\u00e4tzlich kann sie die Windows-Firewall so \u00e4ndern, dass sie selbst kommunizieren darf. Verteilt wurde die Malware unter anderem \u00fcber Spam-E-Mails mit gef\u00e4lschten Zahlungsbelegen, Rechnungen und Angebotsanfragen; der Zugriff kann auch \u00fcber eine Sicherheitsl\u00fccke oder Wechselmedien wie USB-Laufwerke erfolgen.<\/p>\n Anschlie\u00dfend f\u00fchrt die Malware Befehle auf dem infizierten Rechner aus, zeichnet Tastatureingaben auf und kann in Webbrowsern gespeicherte Passw\u00f6rter auslesen. \u00dcber ein Dateiverwaltungsmodul l\u00e4sst sich das Dateisystem durchsuchen; Screenshots und weitere Systeminformationen werden an die Infrastruktur des Angreifers \u00fcbertragen. Je nach Kampagne unterscheidet sich der Weg: In einer dokumentierten Kampagne lud ein verschleiertes VBS-Skript die Malware von einem kompromittierten oder gef\u00e4lschten Host<\/strong> nach.<\/p>\n KI-generiert<\/em><\/p>\n","protected":false},"featured_media":0,"template":"","glossary_intl_topic":[393,396,400],"class_list":["post-33728","glossary_intl","type-glossary_intl","status-publish","hentry","glossary_intl_topic-cybersecurity","glossary_intl_topic-angriffe-bedrohungen","glossary_intl_topic-malware-apt"],"acf":{"card_description":"Als Remote Access Trojaner kann NjRAT infizierte Windows-Rechner fernsteuern, Tastatureingaben aufzeichnen und Passw\u00f6rter auslesen.","nav_theme":"Angriffe & Bedrohungen","nav_subtheme":"Malware & APT","dataset_version":"","term_inline":"","term_plural":false,"heading_overrides":null,"synonyms":null,"lead_definition":"NjRAT ist ein f\u00fcr Windows entwickelter Remote Access Trojaner (RAT), also ein Schadprogramm, mit dem ein Angreifer einen kompromittierten Rechner aus der Ferne steuern und darauf Befehle ausf\u00fchren kann.","at_a_glance":[{"bullet":"Weil der Quellcode online geleakt wurde, k\u00f6nnen Bedrohungsakteure die Malware an eigene Zwecke anpassen."},{"bullet":"Die Verbreitung kann \u00fcber Phishing-E-Mails, Drive-by-Downloads und USB-Autorun-Exploits erfolgen."},{"bullet":"Zur Tarnung kann die Malware Namen echter Windows-Dateien kopieren und Code in Prozesse wie svchost.exe einschleusen."}],"intro_answer":"","steps_answer":"","steps":null,"examples":[{"example":"Eine Kampagne, die seit mindestens Mitte 2022 aktiv war, verteilte NjRAT mit K\u00f6dern zu geopolitischen Themen des Nahen Ostens an Opfer im Nahen Osten und in Nordafrika."},{"example":"Die Variante Njw0rm, die einige Quellen als sp\u00e4tere Variante von NjRAT beschreiben, kann sich zus\u00e4tzlich selbstst\u00e4ndig \u00fcber Wechseldatentr\u00e4ger wie USB-Laufwerke weiterverbreiten."},{"example":"Eine Anpassung des NjRAT-Quellcodes in .NET diente in Brasilien als Grundlage eines Banking-Trojaners, der in gezielten Kampagnen gegen Unternehmensnutzer eingesetzt wurde."},{"example":"Auf dem Windows-Rechner eines Versicherers kann NjRAT dem Angreifer Fernsteuerung, Keylogging, Dateizugriff sowie den Zugriff auf Webcam und Mikrofon er\u00f6ffnen."}],"misconception":null,"faq":null,"compare_answer":"","compare":null,"variants":null,"signals_answer":"","signals":null,"protect_answer":"","prevent":null,"incident":null,"related_terms":[33703,33704,33708,33652,33637],"pillar_link":null,"sources":[{"publisher":"","name":"Trojan:MSIL\/NjRat.PSA!MTB threat description","url":"https:\/\/www.microsoft.com\/en-us\/wdsi\/threats\/malware-encyclopedia-description?Name=Trojan:MSIL\/NjRat.PSA!MTB&threatId=-2147068017","doc_type":"2025","group":"used"},{"publisher":"","name":"BLADABINDI","url":"https:\/\/www.trendmicro.com\/vinfo\/us\/threat-encyclopedia\/malware\/bladabindi","doc_type":"","group":"used"},{"publisher":"","name":"njRAT, Software S0385 | MITRE ATT&CK\u00ae","url":"https:\/\/attack.mitre.org\/software\/S0385\/","doc_type":"2026","group":"used"},{"publisher":"","name":"Earth Bogle: Campaigns Target the Middle East with Geopolitical Lures","url":"https:\/\/www.trendmicro.com\/en_us\/research\/23\/a\/earth-bogle-campaigns-target-middle-east-with-geopolitical-lures.html","doc_type":"2023","group":"used"},{"publisher":"","name":"njRAT: um trojan de acesso remoto bastante utilizado por v\u00e1rios cibercriminosos","url":"https:\/\/www.welivesecurity.com\/br\/2021\/09\/30\/njrat-um-trojan-de-acesso-remoto-bastante-utilizado-por-varios-cibercriminosos\/","doc_type":"2021","group":"used"}],"reviewer":{"name":"Jakub Nov\u00e1k","qualification":"System Engineer \u2013 Endpoint Security & Infrastruktur, msg life Slovakia","date":"2026-10-07"},"disclaimer":"Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechts- oder Sicherheitsberatung. Genannte Vorschriften und Empfehlungen geben den Stand zum Zeitpunkt der Ver\u00f6ffentlichung wieder."},"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\tWie funktioniert NjRAT?<\/h2>\n
Woran erkenne ich NjRAT?<\/h2>\n
\n\n
\n \nSignal<\/th>\n Woran erkennbar<\/th>\n<\/tr>\n<\/thead>\n \n Hohe CPU- oder Speicherauslastung<\/td>\n Bei der als Trojan:MSIL\/NjRat.PSA!MTB erkannten Variante belastet ein Hintergrundprozess mit nachgemachtem Systemdateinamen wie svchos.exe CPU und Arbeitsspeicher.<\/td>\n<\/tr>\n \n Fehlschlagende Windows-Updates<\/td>\n Bei der als Trojan:MSIL\/NjRat.PSA!MTB erkannten Variante scheitern Windows-Updates, weil update.microsoft.com auf 127.0.0.1 umgeleitet wird.<\/td>\n<\/tr>\n \n Webcam-Aktivierung oder gef\u00e4lschte Anmeldefenster<\/td>\n Die Webcam kann ohne Anlass aktiviert werden; bei der als Trojan:MSIL\/NjRat.PSA!MTB erkannten Variante k\u00f6nnen zudem gef\u00e4lschte Anmeldefenster erscheinen, die Bankseiten nachahmen.<\/td>\n<\/tr>\n \n Detektionsname der Schutzsoftware<\/td>\n Schutzprogramme melden die Malware unter Namen wie MSIL\/Bladabindi; das Suffix !MTB kennzeichnet bei Microsoft Defender eine Verhaltenserkennung.<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n Schutz im Ernstfall<\/h2>\n
Vorbeugen<\/h3>\n
\n
Was tun im Ernstfall<\/h3>\n
\n