Der Lieferkettenangriff auf den Trivy-Schwachstellen-Scanner hat sich auf Docker-Images und GitHub-Repositories ausgeweitet. Die Phishing-as-a-Service-Plattform Tycoon2FA ist nur Wochen nach der Europol-Störung zu voller Aktivität zurückgekehrt. Crunchyroll untersucht ein Datenleck, das potenziell 6,8 Millionen Nutzer betrifft. TeamPCP setzt einen zerstörerischen Wiper gegen iranische Kubernetes-Cluster ein.
Die TeamPCP-Hacker, die zunächst den beliebten Open-Source-Schwachstellen-Scanner Trivy mit einer Hintertür versahen, haben ihren Angriff ausgeweitet, bösartige Docker-Images veröffentlicht und die GitHub-Organisation von Aqua Security gekapert, um Dutzende Repositories zu manipulieren.
Dies ist einer der bedeutendsten Lieferkettenangriffe des Jahres 2026 bisher. Trivy, gepflegt von Aqua Security, ist einer der weltweit am weitesten verbreiteten Open-Source-Schwachstellen-Scanner — integriert in Tausende CI/CD-Pipelines, Kubernetes-Deployments und DevSecOps-Workflows. Trivy zu kompromittieren bedeutet, das Sicherheitswerkzeug zu kompromittieren, auf das sich Organisationen verlassen, um Schwachstellen zu finden.
Die TeamPCP-Hacker haben den Angriff nun auf zwei kritische Weisen ausgeweitet:
Organisationen, die Trivy nutzen, vertrauten darauf, ihre Sicherheitslage zu verbessern. Stattdessen untergraben kompromittierte Versionen sie aktiv — sie senden Schwachstellendaten an Angreifer (geben ihnen im Grunde eine Landkarte ausnutzbarer Schwächen), während sie Organisationen eine falsche Sicherheit vermitteln, dass ihre Systeme gescannt wurden. Dies ist das Albtraumszenario der Sicherheitswerkzeug-Lieferkette.
Die Phishing-as-a-Service-(PhaaS-)Plattform Tycoon2FA, die Europol und Partner am 4. März störten, ist bereits zu zuvor beobachteten Aktivitätsniveaus zurückgekehrt — nur drei Wochen nach der Zerschlagung.
Tycoon2FA ist eine der gefährlichsten Phishing-Plattformen im Betrieb, weil sie gezielt Multi-Faktor-Authentifizierung (MFA) umgeht. Mit Adversary-in-the-Middle-(AiTM-)Proxy-Techniken fängt Tycoon2FA sowohl die Zugangsdaten des Nutzers als auch dessen MFA-Tokens in Echtzeit ab und verschafft Angreifern vollen Zugriff auf Konten, die durch SMS-, TOTP- oder Push-basierte MFA geschützt sind.
Die rasche Erholung der Plattform nach der Europol-Störung am 4. März demonstriert die Widerstandsfähigkeit moderner Cybercrime-Infrastruktur. Zentrale Beobachtungen:
Für Organisationen im NIS2-Anwendungsbereich hebt das Wiederaufleben von Tycoon2FA eine kritische Lücke hervor: Standard-MFA ist als alleinstehende Kontrolle nicht mehr ausreichend. NIS2 Artikel 21(2)(j) verlangt Multi-Faktor-Authentifizierung, doch die Verordnung spezifiziert nicht den Typ. Organisationen sollten proaktiv zu phishing-resistenter MFA (FIDO2/WebAuthn) wechseln, bevor Prüfer und Regulierer beginnen, diese Unterscheidung zu treffen.
Die Anime-Streaming-Plattform Crunchyroll untersucht einen Sicherheitsvorfall, nachdem ein Bedrohungsakteur behauptete, personenbezogene Daten von etwa 6,8 Millionen Nutzern gestohlen zu haben.
Crunchyroll, im Besitz von Sony, ist eine der weltgrößten Anime-Streaming-Plattformen. Ein Bedrohungsakteur hat Behauptungen veröffentlicht, Nutzerdaten exfiltriert zu haben, darunter E-Mail-Adressen, Benutzernamen, Abonnementdetails, Wiedergabeverlauf und potenziell gehashte Passwörter. Crunchyroll hat bestätigt, die Behauptungen zu untersuchen, hat aber Umfang oder Authentizität der Daten noch nicht bestätigt.
Sofern bestätigt, wäre dies eines der größeren Datenlecks im Unterhaltungssektor 2026. Die Daten sind besonders wertvoll für:
Die Hackergruppe TeamPCP nimmt Kubernetes-Cluster mit einem bösartigen Skript ins Visier, das iranische Systemkonfigurationen erkennt und einen Wiper einsetzt, um alle Daten auf betroffenen Maschinen zu zerstören.
In einem Vorgehen, das Hacktivismus mit Infrastruktursabotage vermischt, setzt die TeamPCP-Gruppe — dieselben Akteure hinter dem Trivy-Lieferkettenangriff — zerstörerische Wiper-Schadsoftware gegen für Iran konfigurierte Kubernetes-Cluster ein. Der Angriff nutzt ein Skript, das Systemgebietsschema-Einstellungen, Zeitzonenkonfigurationen und Netzwerkindikatoren prüft, um festzustellen, ob ein Cluster iranischer Infrastruktur dient.
Wenn iranische Indikatoren erkannt werden, löst das Skript eine vollständige Wiper-Sequenz aus:
Ungeachtet der geopolitischen Zielsetzung demonstriert dieser Angriff kritische Kubernetes-Sicherheitslücken, die alle Organisationen betreffen: Container-Escape zum Host, unzureichende RBAC-Richtlinien, die clusterweite Zerstörung erlauben, und fehlende unveränderliche Backup-Strategien. Die EU-Cyber-Resilience-Act (CRA) wird von Herstellern von Kubernetes-Plattformen und Container-Werkzeugen verlangen, diese Risikokategorien zu adressieren.
Mazda Motor Corporation hat einen im Dezember 2025 erkannten Sicherheitsvorfall gemeldet, der Informationen von Mitarbeitern und Geschäftspartnern offenlegte. Auch wenn das Unternehmen den vollen Umfang nicht offengelegt hat, betrifft das Datenleck interne Unternehmensdaten statt kundenorientierter Systeme.
Die verzögerte Offenlegung — mehr als drei Monate zwischen Erkennung und öffentlicher Bekanntmachung — wirft Fragen zu Vorfallmeldefristen auf. Nach NIS2 wären wesentliche und wichtige Einrichtungen verpflichtet, innerhalb von 24 Stunden eine Frühwarnung und innerhalb von 72 Stunden eine vollständige Vorfallmeldung einzureichen. Automobilhersteller fallen zunehmend als Teil kritischer Lieferketten in den NIS2-Anwendungsbereich.
Das FBI hat eine Warnung herausgegeben, dass iranische Hacker mit Verbindung zum Ministerium für Nachrichtendienst und Sicherheit (MOIS) Telegram als Kanal für Schadsoftware-Auslieferung und Command-and-Control nutzen. Die Handala-Gruppe, kürzlich offiziell der iranischen Regierung zugeschrieben, verbreitet Schadsoftware über Telegram-Kanäle und nutzt die API der Plattform für C2-Kommunikation.
Dies ist bemerkenswert, weil Telegram weithin für legitime Geschäftskommunikation genutzt wird, insbesondere im Nahen Osten, in Zentralasien und in Teilen Europas. Das FBI-Advisory empfiehlt:
Mit der nahenden US-Steuersaison hat Microsoft Kampagnen gegen etwa 29.000 Nutzer mit IRS-thematischen Phishing-E-Mails markiert. Die Kampagnen setzen Remote-Monitoring-and-Management-(RMM-)Schadsoftware ein — legitime Werkzeuge, umfunktioniert für unautorisierten Fernzugriff. Dies ist ein wachsender Trend: Angreifer nutzen Werkzeuge wie ConnectWise ScreenConnect, AnyDesk oder ähnliche RMM-Software, um persistenten Zugriff zu unterhalten, der sich in legitimen IT-Management-Verkehr einfügt.
| Bedrohung | Schweregrad | Typ | Erforderliche Maßnahme |
|---|---|---|---|
| Ausweitung des Trivy-Lieferkettenangriffs | KRITISCH | Lieferkette | Trivy nicht mehr nutzen, CI/CD-Pipelines auditieren |
| Wiederaufleben von Tycoon2FA PhaaS | KRITISCH | Phishing | FIDO2/WebAuthn-MFA einsetzen |
| Crunchyroll-Datenleck mit 6,8 Mio. Nutzern | HOCH | Datenleck | Passwörter ändern, Wiederverwendung prüfen |
| TeamPCP-Kubernetes-Wiper | HOCH | Wiper/Zerstörerisch | RBAC auditieren, unveränderliche Backups einführen |
| Mazda-Mitarbeiterdatenleck | MITTEL | Datenleck | Incident-Response-Fristen überprüfen |
| Handala/Iran-Telegram-Schadsoftware | MITTEL | Nation-State | Telegram einschränken, auf C2 überwachen |
| IRS-Phishing / RMM-Schadsoftware | MITTEL | Phishing | Unautorisierte RMM-Werkzeuge blockieren |
Der Trivy-Lieferkettenangriff beweist, dass selbst Ihre Sicherheitswerkzeuge kompromittiert werden können. KENSAI scannt Ihre Anwendungen, Abhängigkeiten und Infrastruktur auf Schwachstellen — mit Integrität, die Sie verifizieren können.
Kostenlosen Sicherheitsscan starten →Veröffentlicht vom KENSAI Threat Intelligence Team
Tägliches Sicherheits-Briefing — 24. März 2026
Weitere Briefings lesen →
🛡️ Ist Ihre Website sicher?
Entdecken Sie Schwachstellen, bevor Angreifer es tun.
Scannen Sie Ihre Website kostenlos →