Das FBI legt die Handala-Hacktivisten-Infrastruktur lahm, nachdem die Gruppe rund 80.000 Geräte beim Medizintechnik-Giganten Stryker gelöscht hat. Eine neu offengelegte PolyShell-Schwachstelle ermöglicht unauthentifizierte Remote-Code-Ausführung auf jeder Magento- und Adobe-Commerce-Installation. Navia Benefit Solutions bestätigt ein Datenleck, das 2,7 Millionen Personen betrifft. Russische Militärhacker von APT28 nutzen eine Zimbra-Schwachstelle in aktiven Angriffen auf ukrainische Regierungsstellen aus. Außerdem: CISA gibt Intune-Notfallrichtlinien heraus, Ubiquiti patcht eine UniFi-Schwachstelle maximaler Schwere, Bitrefill schreibt einen Angriff Lazarus zu, und Irans vorpositionierte Cyber-Fähigkeiten werden enthüllt.
Die Hacktivisten-Gruppe Handala löschte rund 80.000 Geräte beim Medizintechnik-Giganten Stryker in einem der zerstörerischsten Cyberangriffe auf den Gesundheitssektor in diesem Jahr. Das FBI hat nun die Datenleck-Infrastruktur der Gruppe beschlagnahmt.
Das FBI hat zwei von der Handala-Hacktivisten-Gruppe betriebene Websites beschlagnahmt, nachdem ein verheerender Cyberangriff auf Stryker, eines der weltgrößten Medizintechnikunternehmen, erfolgt war. Der Angriff führte zur Löschung von rund 80.000 Geräten über Strykers Infrastruktur hinweg — ein Ausmaß an Zerstörung, das außerhalb von Nation-State-Operationen selten zu sehen ist.
Stryker, das chirurgische Ausrüstung, orthopädische Implantate und in Krankenhäusern weltweit genutzte Medizingeräte herstellt, sah sich einer katastrophalen Betriebsstörung gegenüber. Der Wiper-Angriff verschlüsselte Daten nicht bloß gegen Lösegeld — er zerstörte sie vollständig und nahm Endpunkte, Server und verbundene Systeme in der gesamten Organisation ins Visier.
Eine neu offengelegte Schwachstelle namens PolyShell betrifft ALLE stabilen Installationen von Magento Open Source und Adobe Commerce Version 2 und ermöglicht unauthentifizierte Remote-Code-Ausführung und vollständige Kontoübernahme.
Eine verheerende Schwachstelle mit dem Namen PolyShell wurde offengelegt, die jede Installation von Magento Open Source und Adobe Commerce Version 2 betrifft. Der Mangel erlaubt es völlig unauthentifizierten Angreifern, Remote-Code-Ausführung auf dem Webserver zu erreichen, was zur vollständigen Shop-Kompromittierung führt, einschließlich Zahlungsdatendiebstahl, Kundendaten-Exfiltration und Webshell-Installation.
Dies ist besonders alarmierend, weil Magento/Adobe Commerce einen erheblichen Prozentsatz der weltweiten E-Commerce-Shops antreibt. Da die Schwachstelle keine Authentifizierung erfordert und alle stabilen v2-Releases betrifft, ist das Potenzial für Massenausnutzung enorm.
Fast 2,7 Millionen Menschen werden benachrichtigt, nachdem Angreifer auf die Systeme von Navia Benefit Solutions zugegriffen und personenbezogene Informationen einschließlich Benefit-Enrollment-Daten exfiltriert haben.
Navia Benefit Solutions, ein Unternehmen, das Mitarbeiter-Benefit-Pläne einschließlich FSAs, HSAs und Pendler-Benefits verwaltet, hat ein Datenleck offengelegt, das 2,7 Millionen Personen betrifft. Das Datenleck legte sensible personenbezogene Informationen offen, die Arbeitgeber Navia zur Benefit-Verwaltung anvertrauen.
Das Ausmaß dieses Datenlecks ist erheblich — 2,7 Millionen Menschen stellen einen großen Teil von Navias Kundenbasis dar, und die betroffenen Daten (Benefit-Enrollment, persönliche Identifikatoren, potenziell gesundheitsbezogene Informationen) sind nach HIPAA und bundesstaatlichen Datenschutzvorschriften besonders sensibel.
Russlands APT28 (GRU) nutzt aktiv eine Schwachstelle der Zimbra Collaboration Suite aus, um ukrainische Regierungs-E-Mail-Systeme über gestaltete HTML-E-Mails zu kompromittieren.
Russlands militärische Nachrichtendienst-Hacking-Einheit APT28 (auch bekannt als Fancy Bear, mit dem GRU verbunden) nutzt aktiv eine Schwachstelle in der Zimbra Collaboration Suite (ZCS) aus, um ukrainische Regierungsstellen ins Visier zu nehmen. Der Angriff nutzt unzureichende Bereinigung von CSS-Inhalten in HTML-E-Mails aus — wenn das Opfer die bösartige E-Mail in einem browserbasierten Mail-Client öffnet, werden Inline-Skripte automatisch ausgeführt.
Dies ist ein besonders heimtückischer Angriffsvektor, weil er keine Klicks über das Öffnen der E-Mail hinaus erfordert. Bereits das Betrachten der Nachricht in Zimbras Weboberfläche löst den Exploit aus, was ihn für die Massenanvisierung von Regierungsmitarbeitern hochwirksam macht.
Im Anschluss an das verheerende Stryker-Datenleck hat CISA (Cybersecurity and Infrastructure Security Agency) ein dringendes Advisory herausgegeben, das US-Organisationen warnt, Microsofts Richtlinien zur Härtung von Intune-Endpoint-Management-Deployments zu befolgen. Das Advisory kam, nachdem Ermittler feststellten, dass die Handala-Angreifer Schwächen in Strykers Microsoft-Intune-Konfiguration ausnutzten, um die Massengeräte-Löschung auszuführen.
Microsoft Intune, das mobile Geräte und PCs über Unternehmen hinweg verwaltet, wurde zur gegen Stryker eingesetzten Waffe. Angreifer, die die Intune-Admin-Konsole kompromittierten, konnten zerstörerische Löschbefehle an jeden verwalteten Endpunkt gleichzeitig senden.
Ubiquiti hat zwei Schwachstellen in der UniFi Network Application gepatcht, darunter einen Mangel maximaler Schwere (CVSS 10.0), der es Angreifern erlauben könnte, Nutzerkonten zu übernehmen. UniFi ist in Unternehmens- und KMU-Netzen weit verbreitet, um Access Points, Switches und Security-Gateways zu verwalten.
Ein maximaler CVSS-Wert bedeutet, dass die Schwachstelle trivial ausnutzbar ist, keine Authentifizierung erfordert und zur vollständigen Kompromittierung führt. Angesichts der weiten Verbreitung von UniFi — besonders in KMU, die möglicherweise keine dedizierten Sicherheitsteams haben — ist dies ein Patch mit hoher Priorität.
Die Kryptowährungs-Geschenkkarten-Plattform Bitrefill hat ihren jüngsten Cyberangriff Bluenoroff zugeschrieben, einer Untergruppe der berüchtigten Lazarus-Hacking-Operation Nordkoreas. Der Angriff, der Anfang dieses Monats erfolgte, nahm die krypto-bezogene Infrastruktur des Unternehmens ins Visier.
Lazarus/Bluenoroff bleibt einer der produktivsten finanziell motivierten Bedrohungsakteure weltweit, mit einem besonderen Fokus auf Kryptowährungsplattformen. Ihre Operationen finanzieren Nordkoreas Waffenprogramme, was sie sowohl zu einem Cybersecurity- als auch zu einem geopolitischen Anliegen macht.
Eine detaillierte Analyse hat einen sechsmonatigen Aufbau Iran-verbundener Cyber-Infrastruktur enthüllt, einschließlich US-basierter Briefkastenfirmen, die darauf ausgelegt sind, kinetische Angriffe zu überstehen und die Widerstandsfähigkeit von Irans globalen Hacking-Operationen sicherzustellen. Die Infrastruktur wurde positioniert, um rasche Cyber-Vergeltungsfähigkeiten als Reaktion auf militärische Eskalation zu ermöglichen.
Diese Vorpositionierungsstrategie stellt eine bedeutende Evolution in der Nation-State-Cyber-Doktrin dar — statt Offensivfähigkeiten als Reaktion auf Ereignisse aufzubauen, hat Iran eine persistente, widerstandsfähige Infrastruktur geschaffen, die in der Lage ist, Angriffe kurzfristig von geografisch verteilten Punkten aus zu starten, auch innerhalb der Vereinigten Staaten.
| Bedrohung | Schweregrad | Typ | Erforderliche Maßnahme |
|---|---|---|---|
| Handala / Stryker 80K-Löschung | KRITISCH | Zerstörerischer Angriff | Backup- & Endpoint-Strategien überprüfen |
| PolyShell-Magento-RCE | KRITISCH | Schwachstelle | Alle Magento-Shops sofort patchen |
| Navia-Datenleck mit 2,7 Mio. | HOCH | Datenleck | Kreditsperre, falls betroffen |
| APT28-Zimbra-Ausnutzung | HOCH | Nation-State | Zimbra patchen, MFA aktivieren |
| CISA-Intune-Advisory | HOCH | Advisory | Intune-Konfigurationen härten |
| Ubiquiti UniFi CVSS 10.0 | KRITISCH | Schwachstelle | UniFi Network Application aktualisieren |
| Lazarus / Bitrefill-Angriff | HOCH | Nation-State | Sicherheit von Krypto-Plattformen überprüfen |
| Iran-Cyber-Vorpositionierung | MITTEL | Intelligence | Threat-Intelligence-Feeds überwachen |
KENSAI überwacht Ihre Infrastruktur kontinuierlich auf Schwachstellen wie PolyShell, Zimbra-Mängel und UniFi-Fehlkonfigurationen — bevor Angreifer sie finden.
Kostenlosen Sicherheitsscan starten →Veröffentlicht vom KENSAI Threat Intelligence Team
Tägliches Sicherheits-Briefing — 20. März 2026
Weitere Briefings lesen →
🛡️ Ist Ihre Website sicher?
Entdecken Sie Schwachstellen, bevor Angreifer es tun.
Scannen Sie Ihre Website kostenlos →