Die GlassWorm-Kampagne entwickelt sich mit einem Solana-Blockchain-Dead-Drop-C2 für RAT-Auslieferung und Browser-Datendiebstahl weiter. Eine Device-Code-Phishing-Kampagne nimmt über 340 Microsoft-365-Organisationen in fünf Ländern per OAuth-Missbrauch ins Visier. TeamPCP weitet sich über Trivy hinaus aus und kompromittiert Docker Hub, VS Code und PyPI. Citrix drängt auf einen NetScaler-Notfallpatch für einen CitrixBleed-ähnlichen Mangel. LeakBase-Admin in Russland verhaftet. PolyShell-Angriffe treffen 56 % der verwundbaren Magento-Shops.
Die GlassWorm-Kampagne nutzt nun Solana-Blockchain-Transaktions-Memos als Dead-Drop-Resolver für die C2-Infrastruktur und liefert eine mehrstufige RAT mit Browser-Datendiebstahl, Keylogging und einer bösartigen Chrome-Erweiterung aus.
Forscher von Aikido Security haben eine bedeutende Weiterentwicklung der GlassWorm-Kampagne dokumentiert. Die Bedrohungsakteure betten Command-and-Control-Adressen nun in Solana-Blockchain-Transaktions-Memos ein — eine Technik, die klassische Zerschlagungsbemühungen faktisch unmöglich macht, weil Blockchain-Daten unveränderlich und dezentral sind.
Die Angriffskette setzt ein mehrstufiges Framework ein:
Klassische C2-Infrastruktur beruht auf Domainnamen oder IP-Adressen, die Verteidiger blocklisten, sinkholen oder auf dem Rechtsweg beschlagnahmen können. Blockchain-Memos sind dauerhaft, zensurresistent und öffentlich zugänglich — kein Registrar zum Kontaktieren, kein Hosting-Anbieter zum Vorladen. Die Angreifer veröffentlichen einfach eine neue Solana-Transaktion mit aktualisierten C2-Koordinaten, wann immer sie die Infrastruktur rotieren müssen.
Diese Technik wurde in der Sicherheitsforschung zuvor theoretisiert, wird nun aber im großen Maßstab in freier Wildbahn eingesetzt. Sie stellt eine grundlegende Herausforderung für das Incident-Response-Playbook dar.
Eine aktive Phishing-Kampagne missbraucht Microsofts OAuth-Device-Code-Flow, um Microsoft-365-Konten in über 340 Organisationen in den USA, Kanada, Australien, Neuseeland und Deutschland zu kompromittieren.
Forscher von Huntress haben eine massive Device-Code-Phishing-Kampagne aufgedeckt, die Microsofts OAuth-Device-Code-Authentifizierungsfluss ausnutzt, um Zugangsdaten abzugreifen und Multi-Faktor-Authentifizierung zu umgehen. Die Kampagne wurde erstmals am 19. Februar 2026 entdeckt und beschleunigt sich seitdem.
Der Angriff kombiniert mehrere Techniken für maximale Wirksamkeit:
Die Kampagne nahm Bauwesen, Non-Profits, Immobilien, Fertigung, Finanzdienstleistungen, Gesundheitswesen, Rechtswesen und Regierungsorganisationen ins Visier. Deutschland gehört ausdrücklich zu den anvisierten Ländern, was dies für DACH-Organisationen unmittelbar relevant macht.
Anders als klassisches Phishing, das Opfer zur Eingabe von Zugangsdaten auf einer gefälschten Login-Seite auffordert, bittet Device-Code-Phishing Opfer, einen Code auf Microsofts legitimer Login-Seite einzugeben. Die URL ist echt. Die Login-Seite ist echt. Die MFA-Aufforderung ist echt. Das Einzige, was gefälscht ist, ist der Grund, aus dem das Opfer zur Authentifizierung aufgefordert wurde — und bis dahin verfügt der Angreifer über ein gültiges Session-Token.
deviceCodeFlow — jede unerwartete Nutzung sollte eine Untersuchung auslösenTeamPCP, die Gruppe hinter den Trivy- und KICS-Kompromittierungen, hat ihre Operationen auf Docker Hub, Visual-Studio-Code-Erweiterungen, PyPI und NPM ausgeweitet und arbeitet nun mit der Lapsus$-Gruppe zusammen.
Die Bedrohungsgruppe TeamPCP setzt ihre beispiellose Kampagne gegen Open-Source-Infrastruktur fort. Nach der Kompromittierung von Trivys GitHub-Action-Tags hat die Gruppe nun ihr Zielspektrum auf jedes große Paket-Ökosystem gleichzeitig ausgeweitet — und hat sich Berichten zufolge mit der berüchtigten Lapsus$-Gruppe zusammengetan.
Der Umfang der Kompromittierung umfasst nun:
Die berichtete Partnerschaft mit Lapsus$ — bekannt für aufsehenerregende Einbrüche bei Microsoft, Nvidia, Samsung und Uber — hebt das Bedrohungsniveau erheblich an. Lapsus$ bringt bewährte Social-Engineering-Fähigkeiten und Insider-Rekrutierungstaktiken ein, während TeamPCP tiefgehende Expertise in der Kompromittierung von CI/CD-Pipelines beisteuert. Zusammen stellen sie eine formidable Software-Lieferkettenbedrohung dar.
@latest oder @v1Citrix hat zwei Schwachstellen in NetScaler ADC und NetScaler Gateway gepatcht, von denen eine den CitrixBleed- und CitrixBleed2-Mängeln stark ähnelt, die in den vergangenen Jahren als Zero-Days ausgenutzt wurden.
Citrix drängt alle Administratoren, sofort zu patchen. Eine der beiden neu offengelegten Schwachstellen weist starke Ähnlichkeit mit CitrixBleed (CVE-2023-4966) und CitrixBleed2 auf, die beide als Zero-Days mit verheerenden Folgen ausgenutzt wurden — einschließlich des Einbruchs bei Boeing, mehreren US-Regierungsbehörden und Finanzinstituten.
Die Ähnlichkeiten zu CitrixBleed sind besorgniserregend, weil:
Organisationen im NIS2-Anwendungsbereich, die NetScaler-Infrastruktur betreiben, unterliegen einer Compliance-Pflicht zum Patchen nach den Schwachstellenmanagement-Anforderungen von Artikel 21. Angesichts der Ähnlichkeit zu einem zuvor ausgenutzten Zero-Day könnte ein Versäumnis, zeitnah zu patchen, als fahrlässige Sicherheitshaltung gewertet werden.
Erfolg der Strafverfolgung: Russische Behörden haben den Administrator des Cybercrime-Forums LeakBase verhaftet, einer Plattform, die seit 2021 Hunderte Millionen gestohlener Nutzerkonten, Bankdaten und Unternehmensdokumente beherbergte. Der Verdächtige aus der Stadt Taganrog betrieb einen Marktplatz mit über 147.000 registrierten Nutzern, die gestohlene personenbezogene Datenbanken kauften und verkauften. Bei der Festnahme wurde Ausrüstung beschlagnahmt.
Diese Festnahme ist bemerkenswert, weil sie in Russland erfolgte — einem Land, das historisch ein sicherer Hafen für Cyberkriminelle war. Während Russland gelegentlich Cyberkriminelle verfolgt hat, die russische Bürger ins Visier nahmen, deutet die Festnahme eines Forumsadministrators, der Angriffe gegen internationale Ziele ermöglichte, auf einen möglichen Wandel in der Haltung der russischen Strafverfolgung gegenüber Cyberkriminalität hin.
Für Organisationen bedeutet die Beschlagnahme von LeakBase, dass gestohlene Credential-Datenbanken von der Plattform in breitere Zirkulation gelangen könnten, wenn ehemalige Nutzer zu alternativen Foren abwandern. Jetzt ist ein guter Zeitpunkt, um:
Angriffe, die die PolyShell-Schwachstelle in Magento Open Source und Adobe Commerce ausnutzen, richten sich nun gegen mehr als die Hälfte aller verwundbaren Shops und ermöglichen Webshell-Ausbringung und Zahlungskarten-Skimming.
Die PolyShell-Schwachstelle in Magento Open Source und Adobe Commerce Version 2 wird aktiv massenhaft ausgenutzt, wobei Angreifer 56 % aller online identifizierten verwundbaren Shops ins Visier nehmen. Die Angriffe bringen Webshells aus, die persistenten Zugriff und Zahlungskarten-Skimming ermöglichen — das klassische Magecart-Angriffsmuster.
Das ist besonders gefährlich, weil:
Ein neuer Infostealer namens Torg Grabber nimmt 850 Browsererweiterungen ins Visier — über 700 davon Kryptowährungs-Wallet-Erweiterungen —, um digitale Vermögenswerte und sensible Browserdaten zu stehlen.
Die Torg-Grabber-Schadsoftware stellt eine neue Spezialisierungsstufe bei informationsstehlender Schadsoftware dar. Indem sie gezielt 728 Kryptowährungs-Wallet-Browsererweiterungen ins Visier nimmt, demonstriert sie die wachsende Schnittmenge klassischer Cyberkriminalität mit Kryptowährungsdiebstahl.
Über Krypto-Wallets hinaus nimmt Torg Grabber auch Folgendes ins Visier:
Patch Tuesday: Apple hat Sicherheitsupdates für iOS, macOS 26.4 und ältere Plattformen einschließlich iOS 18.7.7, iPadOS 18.7.7, macOS Sequoia 15.7.5 und macOS Sonoma 14.8.5 veröffentlicht. Die Updates adressieren mehrere Schwachstellen in WebKit, Kernel und System-Frameworks. Organisationen sollten die Ausbringung über MDM priorisieren, um die Abdeckung aller verwalteten Apple-Geräte sicherzustellen.
| Bedrohung | Schweregrad | Typ | Erforderliche Maßnahme |
|---|---|---|---|
| GlassWorm Solana-C2 | KRITISCH | Schadsoftware / C2 | Dev-Pakete auditieren, Solana-RPC blockieren |
| Device-Code-Phishing (365) | KRITISCH | Phishing / OAuth | Device-Code-Flow deaktivieren, Logs überwachen |
| TeamPCP-OSS-Ausweitung | KRITISCH | Lieferkette | Abhängigkeiten auf SHAs pinnen, Artefakte verifizieren |
| Citrix-NetScaler-Patch | KRITISCH | Schwachstelle | Sofort im Notfallverfahren patchen |
| PolyShell-Magento-Angriffe | HOCH | Web-Exploit | Magento aktualisieren, auf Webshells scannen |
| Torg-Grabber-Infostealer | HOCH | Schadsoftware | Erweiterungen auditieren, Hardware-Wallets nutzen |
| LeakBase-Admin verhaftet | INFO | Strafverfolgung | Credential-Exponierung prüfen, rotieren |
| Apple-Sicherheitspatches | INFO | Patch | Über MDM ausrollen |
Die heutigen GlassWorm- und TeamPCP-Kampagnen zeigen, dass Ihre Entwicklungs-Pipeline die neue Angriffsfläche ist. KENSAI scannt Ihre Webanwendungen, APIs und Infrastruktur auf Schwachstellen — einschließlich Lieferkettenrisiken.
Kostenlosen Sicherheitsscan starten →Veröffentlicht vom KENSAI Threat Intelligence Team · 26. März 2026
Bleiben Sie informiert. Bleiben Sie geschützt. Weitere Briefings lesen →