Trojaner im Anwaltsmantel: Urheberrechts-Falle per E-Mail

Hinter der angeblichen Urheberrechtsverletzung steckt in Wahrheit ein Trojaner

Im August 2025 erhielt ein Nutzer eine scheinbar offizielle E-Mail von einer angeblichen Anwaltskanzlei „Andersen“, die im Namen von „AmRest“ auf eine Urheberrechtsverletzung hinwies.

Der Ton der Nachricht ist förmlich, der Inhalt dramatisch: Angeblich seien urheberrechtlich geschützte Inhalte (Audio und Video) auf einer Facebook-Seite ohne Genehmigung veröffentlicht worden.

In der E-Mail wird zur sofortigen Reaktion aufgefordert, da angeblich „rechtliche Schritte drohen“. Besonders auffällig ist der Hinweis auf „Beweise“ – in Form einer PDF-Datei, die heruntergeladen und geöffnet werden soll. Genau hier beginnt die Falle: Diese Datei ist kein Beweismaterial, sondern ein gefährlicher Trojaner.

Was wirklich hinter der Nachricht steckt

Was auf den ersten Blick nach einer ernst gemeinten juristischen Mitteilung aussieht, ist in Wahrheit ein perfides Social-Engineering-Manöver. Die Absenderadresse (AmRest-Urheberrechts-Team <[email protected]>) stammt von einer vietnamesischen Universität und hat keinerlei Verbindung zur angeblichen Kanzlei oder zu „AmRest“.

Hinweis: Bei „AmRest“ selbst wiederum. handelt es sich um eine bekannte spanische Gastronomie-Holding, die unter anderem Marken wie KFC, Starbucks oder Pizza Hut in verschiedenen Ländern betreibt. Dieses Unternehmen steht jedoch in keinerlei Zusammenhang mit der versendeten E-Mail.

Cyberkriminelle verwenden bewusst reale Firmennamen, um Vertrauen zu erwecken und den Eindruck einer legitimen Abmahnung zu erzeugen. Das ist Teil der Täuschungstaktik – und ein weiterer Beweis für die kriminelle Absicht hinter dieser Nachricht.

Die Täuschung ist professionell gestaltet: Mit echten Namen, strukturierter Aufmachung und juristischer Sprache. Doch das Ziel ist nicht rechtliche Aufklärung, sondern Schadsoftware. Die ZIP-Datei enthält den Trojaner Trojan:Win32/Kepavll!rfn, der laut Windows-Sicherheitsmeldung gefährlich ist, weil er Befehle eines Angreifers ausführen kann. Heißt konkret: Wer diese Datei öffnet, verliert die Kontrolle über sein System.

Die Methode ist nicht neu, aber effektiv

Cyberkriminelle setzen gezielt auf Panik und Einschüchterung. Der Vorwurf einer Urheberrechtsverletzung löst bei vielen Menschen Alarm aus – niemand will verklagt oder öffentlich bloßgestellt werden. Die Drohung mit rechtlichen Konsequenzen innerhalb von 48 Stunden soll zum unüberlegten Handeln drängen.

Der Trick mit angeblichen Beweisen im Anhang ist dabei längst bekannt, aber immer wieder erfolgreich. Dass in der ZIP-Datei kein PDF steckt, sondern Malware, bemerken viele erst, wenn es zu spät ist. Genau deshalb wird hier auf emotionale Reaktion statt auf rationale Prüfung gesetzt – mit beunruhigendem Erfolg.

Die technischen Fakten und die konkreten Folgen

Windows Defender hat die Bedrohung klar erkannt und blockiert: Der Trojaner Kepavll!rfn wurde entfernt, bevor Schaden entstehen konnte. Die ZIP-Datei „28.08.2025 Dokument zur Überprüfung von Untersuchungsbeweisen.zip“ enthielt nicht etwa eine PDF-Datei mit Beweisen, sondern ausführbare Schadsoftware.

Die Webadresse, über die die Datei bereitgestellt wurde, stammt nicht von einem seriösen Anwalt oder Unternehmen, sondern von einer dubiosen Domain mit Entertainment-Bezug.

Ziel des Trojaners ist es, Kontrolle über das betroffene System zu erlangen – etwa um Daten zu stehlen, weitere Malware zu installieren oder es Teil eines Botnetzes zu machen. Wer die Datei öffnet, riskiert nicht nur seine eigenen Daten, sondern auch die Sicherheit von Geschäftskonten, Kontakten und Passwörtern.

Trojan:Win32/Kepavll!rfn

Was der Trojaner wirklich tut – und warum du jetzt handeln musst

Die Datei im Anhang der angeblichen Urheberrechtsabmahnung enthält laut Microsoft Defender den Trojaner „Trojan:Win32/Kepavll!rfn“. Was auf den ersten Blick kryptisch klingt, ist in Wahrheit hochgefährlich. Denn es handelt sich nicht um einen benennbaren Einzelvirus, sondern um eine heuristische Erkennung – Windows Defender hat verdächtiges Verhalten analysiert und eindeutig als schädlich eingestuft. Das bedeutet: Die Datei verhält sich wie ein klassischer Trojaner, selbst wenn keine bekannte Signatur dahintersteckt. Genau das macht diese Bedrohung so tückisch – und so ernst.

In harmlosen Fällen (wie bei Spiel-Mods oder Entwicklertools) kann es bei dieser Erkennung zu Fehlalarmen kommen. Doch das hier ist ein anderer Fall. Der Trojaner wurde gezielt über eine Phishing-Mail verteilt, verpackt in einer ZIP-Datei mit dem Titel „Dokument zur Überprüfung von Untersuchungsbeweisen“. Wer sie öffnet, riskiert massive Schäden: Fernzugriff auf das System, Passwortdiebstahl, Manipulation der Browser-Einstellungen, Änderungen an DNS- und Netzwerkeinstellungen. Es können weitere Schadprogramme nachgeladen oder das System Teil eines Botnetzes werden.

Microsoft nennt diese Erkennung „verhaltensbasiert“ – aber im Kontext einer manipulierten Datei aus einer gefälschten Absenderadresse ist klar:

Hier handelt es sich nicht um einen Fehlalarm, sondern um einen echten Angriff. Wer betroffen ist, sollte umgehend das System vom Netz nehmen, eine Tiefenanalyse mit professioneller Antivirensoftware durchführen, Passwörter ändern und im Zweifelsfall das System komplett neu aufsetzen. Jede Verzögerung erhöht das Risiko von Datenverlust, Erpressung oder Kontenübernahme.

Fazit: Wer auf „Beweise“ klickt, öffnet dem Angreifer die Tür

Diese E-Mail ist keine juristische Mitteilung, sondern ein gefährlicher Betrugsversuch mit kriminellem Hintergrund. Weder „Andersen“ noch „AmRest“ existieren in diesem Kontext, und jede angebliche Forderung ist frei erfunden. Wer auf die Datei klickt, lädt sich ein digitales Einfallstor für Hacker auf den Rechner.

Lass dich nicht täuschen von professionellem Design und juristischem Vokabular. Solche Mails gehören sofort gelöscht – oder an eine Meldestelle für Phishing weitergeleitet. Und klar ist: Kein echter Anwalt verschickt ZIP-Dateien mit angeblichen Beweisen.