Ein neuer macOS-Infostealer namens Infinity nutzt ClickFix-Fake-CAPTCHA-Köder und Nuitka-kompiliertes Python, um der Erkennung zu entgehen. Das China-nahe Red Menshen platziert kernelnahe BPFDoor-Implantate tief in Telekomnetzen als „digitale Schläferzellen" für Regierungsspionage. AFC Ajax Amsterdam meldet ein Datenleck, das über 300.000 Fan-Konten und 42.000 Dauerkarten offenlegt. Microsoft rollt Verbesserungen für Smart App Control in Windows 11 aus.
Ein neuer Infostealer namens Infinity nimmt macOS-Systeme über ClickFix-Social-Engineering-Köder ins Visier. Die Schadsoftware ist mit Nuitka kompiliert, was sie über statische Analyse deutlich schwerer erkennbar macht als typische Python-basierte Stealer.
Forscher von Malwarebytes haben die erste macOS-Kampagne dokumentiert, die ClickFix-Auslieferung mit einem Nuitka-kompilierten Python-Infostealer kombiniert. Der Angriff stellt eine bedeutende Weiterentwicklung der macOS-Bedrohungsraffinesse dar.
update-check[.]com, das ein gefälschtes Cloudflare-CAPTCHA präsentiert und den Nutzer auffordert, einen base64-verschleierten curl-Befehl in das macOS-Terminal einzufügen/tmp, entfernt das Quarantäne-Flag per xattr und führt ihn mit nohup aus. Er übergibt C2- und Token-Informationen über Umgebungsvariablen und zerstört sich anschließend selbstUpdateHelper.bin) enthält.env-Dateien, SSH-Schlüssel, Cloud-TokensAnders als PyInstaller, das Python-Bytecode bündelt, der sich relativ leicht rückentwickeln lässt, kompiliert Nuitka Python zu C-Code und erzeugt daraus ein echtes natives Binary. Es gibt keine offensichtliche Bytecode-Schicht zum Dekompilieren, was das Reverse Engineering erheblich erschwert und viele AV-Heuristiken, die PyInstaller-Bundles erkennen, völlig wirkungslos macht.
🛡️ Abwehr: Fügen Sie niemals Befehle von Websites ins Terminal ein. Cloudflare-CAPTCHAs verlangen niemals Terminal-Befehle. macOS-Nutzer sollten Endpoint-Detection-Tools in Betracht ziehen, die xattr -d com.apple.quarantine-Aktivität und verdächtige Ausführungen in /tmp überwachen.
Red Menshen (Earth Bluecrow / DecisiveArchitect) hat seit 2021 kernelnahe BPFDoor-Implantate in Telekomnetzen im Nahen Osten und in Asien eingebettet und ermöglicht damit verdeckte Regierungsüberwachung.
Rapid7 Labs hat eine umfassende Analyse einer laufenden Spionagekampagne von Red Menshen veröffentlicht, einer China-nahen Bedrohungsgruppe, die sich in Telekomnetze eingenistet hat, um Regierungskommunikation auszuspähen. Rapid7 beschreibt die Zugangsmechanismen als „einige der unauffälligsten digitalen Schläferzellen", die je in Telekommunikationsinfrastruktur angetroffen wurden.
Anders als herkömmliche Schadsoftware öffnet BPFDoor keine lauschenden Ports und unterhält keine sichtbaren C2-Kanäle. Stattdessen missbraucht sie die Berkeley-Packet-Filter-(BPF-)Funktionalität, um Netzwerkverkehr direkt im Linux-Kernel zu inspizieren. Sie aktiviert sich nur, wenn sie ein speziell gestaltetes „magisches" Trigger-Paket empfängt — ansonsten ist sie für Netzwerküberwachung völlig unsichtbar.
| Komponente | Funktion |
|---|---|
| BPFDoor-Implantat | Passive Hintertür mit kernelnahem BPF-Filter; startet Reverse Shell bei magischem Paket |
| BPFDoor-Controller | Vom Angreifer betriebenes Tool, das gestaltete Trigger-Pakete sendet; kann sich als Systemprozesse tarnen |
| CrossC2 / Sliver | Post-Exploitation-Beacon-Frameworks für laterale Bewegung |
| TinyShell | Unix-Hintertür für persistente Befehlsausführung |
| Credential-Harvester | Keylogger und Brute-Force-Werkzeuge für laterale Bewegung |
Bestimmte BPFDoor-Varianten unterstützen SCTP (Stream Control Transmission Protocol), ein in der Telekom-Signalisierung (SS7/Diameter) verwendetes Protokoll. Das ermöglicht Red Menshen potenziell:
Eine bislang undokumentierte BPFDoor-Variante verbirgt ihr Trigger-Paket in scheinbar legitimem HTTPS-Verkehr, mit einem neuartigen Parsing-Mechanismus, der die Zeichenkette „9999" an einem festen Byte-Offset erfordert. Das macht es für Netzwerk-Sicherheitstools noch schwerer, die BPFDoor-Aktivierung von normalem verschlüsseltem Web-Verkehr zu unterscheiden.
Red Menshen nimmt internetzugewandte Infrastruktur von Ivanti, Cisco, Juniper Networks, Fortinet, VMware, Palo Alto Networks und Apache Struts ins Visier — ein Who's-who der Enterprise-Edge-Geräte. Telekom-Anbieter sollten das Patchen aller Edge-Appliances priorisieren und auf Linux-Systemen nach passiven BPF-Filtern suchen.
AFC Ajax, einer der geschichtsträchtigsten Vereine des europäischen Fußballs (viermaliger Champions-League-Sieger, 36 Eredivisie-Titel), hat ein Datenleck gemeldet, nachdem ein Hacker Schwachstellen in seinen IT-Systemen ausgenutzt hatte.
In einer ungewöhnlichen Wendung entschied sich der Hacker, die Schwachstellen gegenüber RTL-Journalisten offenzulegen, statt sie gewinnbringend auszunutzen. RTL verifizierte die Mängel unabhängig und demonstrierte die Ticket-Hijacking-Fähigkeit live. Ajax bestätigte, dass keine Daten nach außen gelangten und alle identifizierten Schwachstellen inzwischen behoben wurden.
Die niederländische Datenschutzbehörde und die Polizei wurden benachrichtigt. Ein externes Forensik-Team wurde beauftragt, Ursache und vollen Umfang zu ermitteln.
⚽ Fan-Hinweis: Ajax-Anhänger, die sich in den Systemen des Vereins registriert haben oder Dauerkarten besitzen, sollten auf verdächtige E-Mails oder Nachrichten achten, die sich als AFC Ajax ausgeben. Der Verein bestätigte, dass die offengelegten Daten nicht geleakt wurden, doch die vollständige Untersuchung läuft noch.
Microsoft hat das kumulative Preview-Update KB5079391 für Windows 11 24H2 und 25H2 veröffentlicht, das 29 Änderungen umfasst, darunter bemerkenswerte sicherheitsnahe Verbesserungen:
Smart App Control ist Microsofts reputationsbasierte Anwendungssteuerung, die nicht vertrauenswürdige Software blockiert. Die Verbesserungen ziehen die Schlinge um unsignierte ausführbare Dateien enger — besonders relevant angesichts der Zunahme Nuitka-kompilierter und PyInstaller-verpackter Schad-Payloads wie Infinity Stealer.
📋 Update-Hinweis: Dies ist ein optionales Preview-Update. Es wird in den Patch-Tuesday-Release im April 2026 aufgenommen. Organisationen mit Windows 11 24H2/25H2 können es zum Testen frühzeitig über WSUS oder Intune ausrollen.
| Priorität | Maßnahme | Ziel |
|---|---|---|
| KRITISCH | Auf Linux-Systemen nach BPFDoor-Implantaten suchen (BPF-Filter prüfen) | Telekom / kritische Infrastruktur |
| KRITISCH | Alle Edge-Appliances patchen (Ivanti, Cisco, Juniper, Fortinet, PAN-OS) | Netzwerk-/Perimeter-Teams |
| HOCH | Endpoint-Monitoring für ClickFix-/Terminal-Missbrauch auf macOS ausrollen | macOS-Flotten-Admins |
| HOCH | update-check[.]com und zugehörige Infinity-Stealer-IOCs blockieren | SOC / DNS-Filterung |
| MITTEL | Windows 11 KB5079391 testen (Smart-App-Control-Verbesserungen) | Windows-Admins |
| MITTEL | API-Sicherheit und Umgang mit geteilten Schlüsseln prüfen (Ajax-artige Exponierung) | Webanwendungs-Teams |
Erhalten Sie tägliche Cybersecurity-Briefings, Schwachstellen-Warnungen und Threat Intelligence direkt in Ihren Feed.
Weitere Briefings lesen →Bleiben Sie angemessen paranoid,
KENSAI Sicherheits-Briefing · 28. März 2026