Die LeakNet-Ransomware-Bande kombiniert ClickFix-Social-Engineering mit einem Deno-basierten In-Memory-Loader, um der Erkennung zu entgehen. Die ForceMemo-Kampagne von GlassWorm nutzt gestohlene GitHub-Tokens, um per Force-Push Schadsoftware in Hunderte Python-Repositories einzuschleusen. Das RondoDox-Botnet erreicht Spitzenwerte von 15.000 Ausnutzungsversuchen pro Tag über 174 Schwachstellen. Ein Pentera-Bericht enthüllt, dass 67 % der CISOs nur begrenzte Sichtbarkeit über die KI-Nutzung haben. Die Folgen des Oracle-EBS-Datenlecks halten an, vier Großkonzerne schweigen weiterhin. Tech-Giganten unterzeichnen einen Branchenpakt gegen Betrug.
Die LeakNet-Ransomware-Gruppe hat ihre Strategie für den initialen Zugang weiterentwickelt, indem sie die ClickFix-Social-Engineering-Technik mit einem neuartigen Schadsoftware-Loader kombiniert, der auf der Deno-JavaScript/TypeScript-Runtime aufbaut — so eine heute von ReliaQuest veröffentlichte Untersuchung.
LeakNet installiert die legitime, signierte Deno-Executable auf Opfersystemen und nutzt sie, um bösartiges JavaScript direkt im Arbeitsspeicher auszuführen. Da Deno ein vertrauenswürdiges Entwicklerwerkzeug ist, umgeht es die meisten Endpoint-Blocklisten und Application-Whitelisting-Kontrollen. ReliaQuest nennt dies einen „Bring Your Own Runtime" (BYOR)-Angriff.
Die vollständige Angriffssequenz entfaltet sich in mehreren Stufen:
Romeo*.ps1 und Juliet*.vbs) installieren Deno und führen die JavaScript-Payload im Arbeitsspeicher ausjli.dll, geladen durch Java in C:\ProgramData\USOSharedklist zur Credential-DiscoveryTrotz der Raffinesse bietet die Angriffskette klare Erkennungssignale:
misexec-Ausführung aus BrowsernNach NIS2 Artikel 21 müssen wesentliche und wichtige Einrichtungen Maßnahmen zur Lieferkettensicherheit und zum Vorfallmanagement umsetzen. Die BYOR-Technik, die legitime Runtimes ausnutzt, unterstreicht den Bedarf an verhaltensbasierter Erkennung jenseits einfacher Allowlists — eine Anforderung, die kontinuierliche Sicherheitsvalidierung durch automatisiertes Pentesting adressieren kann.
Die GlassWorm-Schadsoftware-Kampagne hat eine gefährliche neue Phase mit dem Namen ForceMemo hervorgebracht, die gestohlene GitHub-Tokens nutzt, um Schadsoftware in Hunderte Python-Repositories einzuschleusen — so StepSecurity.
setup.py, main.py oder app.py, wird ausgelöst, sobald jemand pip install ausführt oder geklonten Code ausführtDie Schadsoftware prüft, ob das Systemgebietsschema auf Russisch eingestellt ist — falls ja, überspringt sie die Ausführung. Dies ist eine gängige Taktik russisch-verbundener Bedrohungsakteure, um eine Kompromittierung inländischer Systeme zu vermeiden, was stark auf den Ursprung der Kampagne hindeutet.
Zu den anvisierten Projekten gehören Django-Apps, ML-Forschungscode, Streamlit-Dashboards und PyPI-Pakete. Die frühesten Einschleusungen reichen bis zum 8. März 2026 zurück, was bedeutet, dass potenziell Tausende Entwickler in den vergangenen neun Tagen bereits kompromittierten Code ausgeführt haben könnten.
git reflogsetup.py-, main.py- und app.py-Dateien auf angehängten base64-kodierten InhaltDas RondoDox-Botnet hat seine Aktivität erheblich eskaliert und Spitzenwerte von 15.000 Ausnutzungsversuchen pro Tag erreicht, während es ein erweitertes Arsenal von 174 bekannten Schwachstellen ins Visier nimmt — so SecurityWeek.
Anders als Spray-and-Pray-Botnets hat RondoDox einen gezielteren Ansatz gewählt und konzentriert Ausnutzungsversuche auf bestimmte Schwachstellenklassen und Gerätetypen, statt wahllos das Internet zu scannen.
174 anvisierte CVEs · 15.000 Ausnutzungsversuche/Tag im Spitzenwert · Fokus auf IoT-Geräte, Netzwerk-Appliances und ungepatchte Webanwendungen · Mehrere Exploit-Ketten, die initialen Zugang mit Privilegieneskalation kombinieren
Die Expansion des Botnets unterstreicht die kritische Bedeutung von zeitnahem Patch-Management und kontinuierlichem Schwachstellen-Scanning — insbesondere für internetzugewandte Infrastruktur, bei der schon eine kurze Patching-Verzögerung zur Kompromittierung führen kann.
Ein neuer AI and Adversarial Testing Benchmark Report 2026 von Pentera, der 300 US-CISOs und leitende Sicherheitsverantwortliche befragte, offenbart eine deutliche Kluft zwischen dem Tempo der KI-Einführung und der Sicherheitsbereitschaft.
Der Bericht hebt hervor, dass KI-Systeme neuartige Risikovektoren einführen — autonome Entscheidungsfindung, indirekte Zugriffspfade und privilegierte Interaktionen zwischen Systemen —, die traditionelle Endpoint-, Anwendungs- und API-Sicherheitswerkzeuge nie erkennen oder kontrollieren sollten. Die Qualifikationslücke, nicht das Budget, ist der Hauptengpass.
Während die Folgen des Oracle-E-Business-Suite-Datenlecks anhalten, berichtet SecurityWeek, dass Broadcom, Bechtel, Estée Lauder und Abbott Technologies die einzigen Großunternehmen bleiben, die keine öffentlichen Stellungnahmen zu möglichen Auswirkungen abgegeben haben.
Das Schweigen ist bemerkenswert, da andere betroffene Organisationen bereits Details offengelegt und Prozesse zur Kundenbenachrichtigung eingeleitet haben. Sowohl nach den SEC-Regeln zur Offenlegung von Cyber-Vorfällen als auch nach den EU-NIS2-Anforderungen müssen wesentliche Cybersicherheitsvorfälle innerhalb definierter Fristen gemeldet werden — 4 Werktage bei der SEC und 24 Stunden für die NIS2-Frühwarnung.
Mehrere große Technologie- und Einzelhandelsunternehmen, darunter Google, Meta und Microsoft, haben ein Branchenabkommen zur Bekämpfung von Online-Betrug und Betrug unterzeichnet. Die Vereinbarung schafft gemeinsame Rahmenwerke für:
Auch wenn Branchen-Selbstregulierung historisch gemischte Ergebnisse gezeigt hat, signalisiert die Beteiligung der größten Plattformbetreiber wachsenden Druck — sowohl regulatorisch als auch reputationsbezogen —, die Explosion KI-generierter Betrugsinhalte anzugehen.
Tracebit hat 20 Millionen US-Dollar an Finanzierung eingesammelt, um seine Cloud-native Täuschungstechnologie-Plattform zu skalieren. Das Unternehmen plant, in neue Märkte zu expandieren und seine Marketing- und Engineering-Teams auszubauen. Täuschungstechnologie — das Ausbringen von Honeytokens, Köder-Ressourcen und Stolperdrähten über Cloud-Umgebungen hinweg — hat an Zugkraft gewonnen, da Organisationen Erkennungsmethoden suchen, die nicht auf Signaturen oder bekannten Angriffsmustern beruhen.
CISA hat CVE-2025-47813, eine ein Jahr alte Wing-FTP-Server-Schwachstelle, in ihren Katalog bekannter ausgenutzter Schwachstellen (KEV) aufgenommen, nachdem aktive Ausnutzung in freier Wildbahn bestätigt wurde. Der Mangel führt zur Offenlegung des vollständigen lokalen Installationspfads der Anwendung, den Angreifer für weitere Ausnutzung nutzen können.
Bundesbehörden müssen innerhalb der von CISA vorgegebenen Frist patchen. Alle Organisationen, die Wing FTP Server einsetzen, sollten sofort aktualisieren und Zugriffsprotokolle auf Anzeichen von Ausnutzung prüfen.
Von Ransomware, die legitime Runtimes nutzt, bis zu Lieferkettenangriffen, die Ihre Abhängigkeiten kapern — die Angriffsfläche wächst stetig. Die autonome Sicherheitsplattform von KENSAI validiert Ihre Abwehr kontinuierlich gegen reale Bedrohungen.
Kostenlosen Sicherheitsscan starten →Veröffentlicht vom KENSAI Security Research Team · 17. März 2026
Quellen: ReliaQuest, StepSecurity, SecurityWeek, BleepingComputer, The Hacker News, Pentera
🛡️ Ist Ihre Website sicher?
Entdecken Sie Schwachstellen, bevor Angreifer es tun.
Scannen Sie Ihre Website kostenlos →