Der Banking-Trojaner VENON – die erste Rust-basierte Malware, die auf lateinamerikanische Banken abzielt – greift 33 brasilianische Finanzinstitute an. Apple veröffentlicht Notfall-Patches für den Coruna-WebKit-Exploit auf älteren iOS-Versionen. Russische Hacker nehmen weltweit Signal- und WhatsApp-Konten von Regierungsbeamten und Journalisten ins Visier. Wiz warnt vor groß angelegtem Missbrauch von OAuth-Einwilligungen. Außerdem: Cisco-IOS-XR-Patches, Übernahme von n8n-Servern, mit Nordkorea in Verbindung gebrachter Polyfill-Lieferkettenangriff und Meta unterbindet 150.000 Betrugskonten.
Forscher von ZenoX haben VENON entdeckt, den ersten in Rust geschriebenen Banking-Trojaner, der auf lateinamerikanische Finanzinstitute abzielt. Er greift 33 brasilianische Banken mithilfe von DLL-Sideloading, Banking-Overlay-Angriffen und LNK-Hijacking an. Der Entwickler-Benutzername „byst4“ wurde offengelegt, und die Malware weist Anzeichen einer AI-gestützten Entwicklung auf.
Die lateinamerikanische Banking-Malware-Landschaft wird seit über einem Jahrzehnt von Delphi-basierten Trojanern dominiert – darunter Familien wie Grandoreiro, Casbaneiro und Mekotio. VENON stellt einen grundlegenden Paradigmenwechsel dar: einen vollständig in Rust geschriebenen Banking-Trojaner, der zeigt, dass Bedrohungsakteure ihre Toolkits mit speichersicheren, leistungsstarken Programmiersprachen modernisieren.
VENON wurde von Forschern bei ZenoX entdeckt und nutzt eine ausgefeilte, mehrstufige Angriffskette:
Der Wechsel zu Rust ist aus mehreren Gründen strategisch bedeutsam:
Die Offenlegung des Entwickler-Benutzernamens „byst4“ liefert einen möglichen Ansatzpunkt für die Zuordnung, deutet jedoch zugleich auf Mängel bei der operativen Sicherheit des Malware-Entwicklungsteams hin.
Apple hat iOS 16.7.15 und iOS 15.8.7 veröffentlicht, um WebKit-Schwachstellen zu schließen, die über den Coruna-Exploit aktiv ausgenutzt wurden. Ältere Geräte mit iOS 15 und 16, die nicht auf iOS 17/18 aktualisiert werden können, waren durch schädliche Webinhalte für die Ausführung von Schadcode aus der Ferne anfällig.
Apple hat Notfall-Sicherheitsupdates für ältere iOS-Geräte veröffentlicht – also für Geräte, die weiterhin iOS 15 oder iOS 16 ausführen, weil sie neuere Versionen nicht unterstützen. Die Patches beheben WebKit-Schwachstellen, die über eine von Forschern als Coruna-Exploit-Kette bezeichnete Angriffskette aktiv ausgenutzt wurden.
Dies ist besonders bedeutsam, weil Geräte betroffen sind, die viele Organisationen für „zu alt, um noch relevant zu sein“ halten. In der Praxis werden jedoch Millionen von iPhones und iPads in Unternehmensumgebungen weiterhin mit iOS 15 oder 16 betrieben, insbesondere im Bildungs-, Gesundheits- und Regierungssektor.
WebKit-Schwachstellen sind besonders gefährlich, weil für ihre Ausnutzung lediglich der Besuch einer schädlichen Webseite erforderlich ist. Keine App-Installation, keine weitere Benutzerinteraktion außer dem Anklicken eines Links. Der Coruna-Exploit nutzt dies aus, um auf ungepatchten Geräten Schadcode aus der Ferne auszuführen.
Die niederländischen Nachrichtendienste MIVD und AIVD haben öffentlich davor gewarnt, dass mit Russland verbundene Hacker weltweit aktiv Signal- und WhatsApp-Konten von Regierungsbeamten, Journalisten und Militärangehörigen ins Visier nehmen. Deutschland veröffentlichte im vergangenen Monat eine ähnliche Warnung.
Niederländische Nachrichtendienste haben eine koordinierte Kampagne russischer, staatlich verbundener Akteure zur Kompromittierung sicherer Messenger-Konten offengelegt. Die Angreifer nutzen zwei Hauptmethoden:
Die Angreifer erstellen einen gefälschten Signal-Support-Chatbot, der Kontakt zu den Zielpersonen aufnimmt und vorgibt, ihr Konto überprüfen oder bei einem „Sicherheitsproblem“ helfen zu müssen. Der Chatbot fordert den Bestätigungscode oder die PIN des Opfers an. Diese Daten werden anschließend verwendet, um das Signal-Konto des Opfers auf dem Gerät des Angreifers zu registrieren. Nach der Registrierung hat der Angreifer vollständigen Zugriff auf alle eingehenden Nachrichten.
Die Signal-Funktion „Verknüpfte Geräte“, mit der Benutzer auf mehreren Geräten auf Signal zugreifen können, wird missbraucht. Angreifer bringen Opfer dazu, einen QR-Code zu scannen, durch den das Gerät des Angreifers mit dem Signal-Konto des Opfers verknüpft wird. Dadurch erhält der Angreifer in Echtzeit Zugriff auf alle Nachrichten, ohne dass das Opfer selbst den Zugang verliert. Dies erschwert die Erkennung erheblich.
Das deutsche BSI veröffentlichte im vergangenen Monat eine ähnliche Warnung und bestätigte damit, dass es sich um eine europaweite Kampagne mit globaler Reichweite handelt. Zu den Zielpersonen zählen Diplomaten, Verteidigungsbeamte, Journalisten und Mitarbeiter von Nichtregierungsorganisationen – also alle, deren Kommunikation für russische Nachrichtendienste von Interesse sein könnte.
Die Kampagne beschränkt sich nicht auf Signal, sondern zielt auch auf WhatsApp ab. Dabei werden ähnliche Social-Engineering-Techniken eingesetzt, um Bestätigungscodes zu stehlen und die Funktion für mehrere Geräte zu missbrauchen. Organisationen, die WhatsApp für ihre Geschäftskommunikation nutzen, sollten dieselben Schutzmaßnahmen ergreifen.
Das Cloud-Sicherheitsunternehmen Wiz hat eine groß angelegte Kampagne mit 19 verschiedenen schädlichen OAuth-Anwendungen identifiziert, die sich als Adobe, DocuSign und OneDrive ausgeben, um Zugriffstoken zu stehlen. Die Kampagne nutzt die „Einwilligungsmüdigkeit“ aus und ist seit Anfang 2025 aktiv.
Forscher von Wiz haben eine aktive und groß angelegte Kampagne zum Missbrauch von OAuth-Einwilligungen aufgedeckt, die eine grundlegende Schwäche von Cloud-Identitäten ausnutzt: Benutzer wurden darauf konditioniert, bei Einwilligungsabfragen auf „Akzeptieren“ zu klicken, ohne sie zu lesen.
Der Angriff läuft folgendermaßen ab:
Dieser Angriff ist besonders gefährlich, weil er MFA vollständig umgeht. Das Opfer authentifiziert sich mit seinen eigenen Zugangsdaten und MFA und erteilt der schädlichen App anschließend ein Zugriffstoken. Der Angreifer benötigt das Passwort zu keinem Zeitpunkt.
Cisco hat Patches für schwerwiegende Schwachstellen in IOS XR veröffentlicht, die zu Dienstverweigerung, Befehlsausführung oder einer vollständigen Geräteübernahme führen könnten. Betroffen ist die Routing- und Switching-Infrastruktur von Unternehmen.
Cisco hat Sicherheitshinweise zu mehreren schwerwiegenden Schwachstellen in IOS XR veröffentlicht, dem Betriebssystem für Carrier-Class- und Unternehmens-Routingplattformen von Cisco. Die Schwachstellen betreffen Geräte im Kern der Netzwerkinfrastruktur – Router und Switches, die kritische Datenströme verarbeiten.
Die Schwachstellen könnten Angreifern Folgendes ermöglichen:
IOS XR wird auf Cisco-Routern der Serien ASR, NCS und CRS eingesetzt – Geräte, die von Internetanbietern, Telekommunikationsunternehmen, Rechenzentren und Großunternehmen genutzt werden. Eine erfolgreiche Ausnutzung könnte die Backbone-Konnektivität unterbrechen und Tausende nachgelagerte Benutzer und Dienste beeinträchtigen.
Sowohl Splunk als auch Zoom haben Patches für kritische und schwerwiegende Schwachstellen veröffentlicht. Die Splunk-Schwachstellen ermöglichen die Ausführung beliebiger Shell-Befehle. Die Zoom-Schwachstellen ermöglichen eine Rechteausweitung.
Splunk – weltweit von Security Operations Centern für Protokollverwaltung und SIEM eingesetzt – hat Schwachstellen geschlossen, über die authentifizierte Angreifer beliebige Shell-Befehle auf dem Splunk-Server ausführen können. Da Splunk-Instanzen typischerweise Zugriff auf Protokolle der gesamten Infrastruktur haben, verschafft ein kompromittierter Splunk-Server Angreifern Einblick in die gesamte Sicherheitslage.
Zoom hat gleichzeitig Patches für Schwachstellen zur Rechteausweitung veröffentlicht. Da Zoom in praktisch jeder Organisation für Videokonferenzen eingesetzt wird, stellen diese Schwachstellen eine breite Angriffsfläche dar.
Kritische Schwachstellen in der Workflow-Automatisierungsplattform n8n ermöglichen nicht authentifizierten Angreifern, beliebigen Code auszuführen, Zugangsdaten zu stehlen und Server zu übernehmen. n8n-Instanzen verfügen häufig über umfassenden Zugriff auf interne Systeme, APIs und Datenbanken.
Die quelloffene Workflow-Automatisierungsplattform n8n, die für API-Integrationen, Datenpipelines und die Automatisierung von Geschäftsprozessen eingesetzt wird, weist kritische Schwachstellen auf, durch die nicht authentifizierte Angreifer n8n-Server vollständig kompromittieren können.
Dies ist besonders gefährlich, weil n8n-Instanzen üblicherweise mit Zugangsdaten für Dutzende verbundene Dienste konfiguriert sind – darunter Datenbanken, Cloud-APIs, E-Mail-Server, CRM-Systeme und weitere Dienste. Eine einzige kompromittierte n8n-Instanz kann zu Sicherheitsverletzungen in der gesamten verbundenen Infrastruktur führen.
Eine SQL-Injection-Schwachstelle im WordPress-Plugin Starter Templates by flavor (Starter Templates) setzt mehr als 200.000 Websites Angriffen zur Datenbankextraktion aus. Angreifer können vertrauliche Informationen wie Benutzerzugangsdaten, personenbezogene Daten und Konfigurationsdetails extrahieren.
In einem beliebten WordPress-Plugin, das auf mehr als 200.000 Websites installiert ist, wurde eine kritische SQL-Injection-Schwachstelle entdeckt. Die Schwachstelle ermöglicht Angreifern, schädliche SQL-Abfragen einzuschleusen und vertrauliche Datenbankinformationen zu extrahieren – darunter Administratorzugangsdaten, personenbezogene Benutzerdaten und Konfigurationsgeheimnisse.
WordPress-Plugins gehören weiterhin zu den am häufigsten ausgenutzten Angriffsvektoren im Web. Viele Organisationen behandeln ihre WordPress-Präsenzen als „bloße Websites“, ohne dieselben strengen Sicherheitsstandards wie für ihre Kerninfrastruktur anzuwenden. Dies ist ein gefährliches Versäumnis, da diese Websites häufig Kundendaten, Formulare zur Leadgenerierung und Zahlungsinformationen verarbeiten.
Der Polyfill.io-Lieferkettenangriff von 2024, durch den mehr als 100.000 Websites kompromittiert wurden, wurde zunächst chinesischen Bedrohungsakteuren zugeschrieben. Neue Beweise aus einer Infostealer-Infektion haben nun eine Beteiligung Nordkoreas an der Kampagne offengelegt.
Der Polyfill.io-Vorfall war einer der bedeutendsten Angriffe auf die Software-Lieferkette des Jahres 2024. Das Polyfill.io-CDN, das von mehr als 100.000 Websites zur Bereitstellung von JavaScript-Polyfills für die Browserkompatibilität genutzt wurde, wurde von böswilligen Akteuren übernommen. Diese schleusten schädlichen Code in das an Besucher ausgelieferte JavaScript ein.
Der Angriff wurde zunächst chinesischen Akteuren zugeschrieben, nachdem die Domain Polyfill.io von einem chinesischen Unternehmen übernommen worden war. Neue Erkenntnisse aus einer Infostealer-Infektion auf einem mit der Operation verbundenen Gerät haben jedoch eine Beteiligung Nordkoreas offengelegt. Dies deutet darauf hin, dass die Kampagne möglicherweise in Zusammenarbeit durchgeführt wurde oder nordkoreanische Akteure hinter dem chinesischen Tarnunternehmen standen.
Meta hat die Deaktivierung von mehr als 150.000 Konten bekannt gegeben, die vorwiegend von Südostasien aus operierende Betrugszentren unterstützten. Diese Konten standen mit „Pig-Butchering“-Betrug, Liebesbetrug und Anlagebetrug in Verbindung, die weltweit Schäden in Milliardenhöhe verursacht haben.
Parallel zur Deaktivierung der Konten führt Meta neue Schutzfunktionen ein, die potenziell betrügerische Interaktionen in Echtzeit erkennen und Benutzer davor warnen sollen. Die Funktionen nutzen AI, um für Betrugsoperationen typische Muster zu erkennen, darunter ungewöhnliche Nachrichtenmuster und finanzielle Aufforderungen.
Bell Ambulance hat eine Datenschutzverletzung offengelegt, von der etwa 238.000 Personen betroffen sind. Zu den gestohlenen Daten gehören Sozialversicherungsnummern, Führerscheindaten und persönliche Gesundheitsinformationen.
Bell Ambulance, ein Anbieter medizinischer Notfalldienste, hat eine schwerwiegende Datenschutzverletzung bestätigt, bei der vertrauliche personenbezogene Daten von 238.000 Personen offengelegt wurden. Zu den kompromittierten Daten gehören:
Diese Datenschutzverletzung verdeutlicht die anhaltende Anfälligkeit von Organisationen im Gesundheitswesen für Cyberangriffe. Rettungsdienste und Anbieter medizinischer Notfallversorgung arbeiten häufig mit veralteten IT-Systemen, begrenzten Cybersicherheitsbudgets und unter hohem operativem Druck, bei dem Verfügbarkeit Vorrang vor Sicherheit hat.
Der US-Senat hat Joshua Rudd als neuen Leiter sowohl der National Security Agency (NSA) als auch des U.S. Cyber Command bestätigt – die sogenannte „Doppelrolle“, die Fernmeldeaufklärung und militärische Cyberoperationen vereint. Rudd übernimmt das Kommando zu einem kritischen Zeitpunkt, an dem Cyberbedrohungen durch staatliche Akteure zunehmen.
Die Bestätigung erfolgt vor dem Hintergrund wachsender Besorgnis über:
Für europäische Organisationen ist der Führungswechsel im US-Cyberbereich relevant, weil der Informationsaustausch der NSA und des Cyber Command mit verbündeten Staaten über Five Eyes und die NATO direkte Auswirkungen auf die Bedrohungsdaten-Feeds und Verteidigungsfähigkeiten hat, die europäischen CERTs und Sicherheitsteams zur Verfügung stehen.
KENSAI überwacht Ihre Infrastruktur kontinuierlich auf die neuesten Schwachstellen, ordnet diese den Compliance-Anforderungen von NIS2, DORA und GDPR zu und erstellt prüfungsfertige Berichte – alles auf Basis von AI-gestützten Bedrohungsdaten.
Kostenlosen Sicherheitsscan starten →Bleiben Sie wachsam und patchen Sie proaktiv,
das KENSAI Threat Intelligence Team
Tägliches Sicherheitsbriefing auf Basis AI-gestützter Bedrohungsdaten. Jeden Tag um 06:00 Uhr CET veröffentlicht.
🛡️ Ist Ihre Website sicher?
Entdecken Sie Schwachstellen, bevor Angreifer es tun.
Website kostenlos scannen →