Ein neuer Nuitka-kompilierter Infostealer nimmt macOS über gefälschte CAPTCHA-Köder ins Visier. Das China-nahe Red Menshen bettet kernelnahe BPFDoor-Implantate in Telekomnetze im Nahen Osten und in Asien ein. Drei kritische Schwachstellen in LangChain und LangGraph bedrohen Enterprise-KI-Deployments. TeamPCP setzt seinen Lieferketten-Amoklauf fort und kompromittiert das Telnyx-PyPI-Paket mit WAV-Steganografie.
Malwarebytes hat die erste macOS-Kampagne dokumentiert, die ClickFix-Social-Engineering mit einem Nuitka-kompilierten Python-Infostealer kombiniert. Die Schadsoftware umgeht statische Analyse, indem sie ein natives Binary ohne offensichtliche Bytecode-Schicht erzeugt.
Eine ausgeklügelte neue Info-stehlende Schadsoftware mit dem Namen Infinity Stealer wurde entdeckt, die macOS-Systeme über ClickFix-Köder ins Visier nimmt — gefälschte CAPTCHA-Seiten, die Cloudflares Menschenverifizierung imitieren, um Nutzer zur Ausführung bösartiger Terminal-Befehle zu verleiten.
Die Infektionskette beginnt, wenn ein Opfer die Domain update-check[.]com besucht, die eine überzeugende Cloudflare-Verifizierungsaufforderung präsentiert. Die Seite weist den Nutzer an, einen base64-verschleierten curl-Befehl in das macOS-Terminal einzufügen, wodurch alle OS-Ebenen-Schutzmechanismen effektiv umgangen werden.
Der dekodierte Befehl schreibt einen Stufe-2-Nuitka-Loader nach /tmp, entfernt das Quarantäne-Flag per xattr und führt ihn per nohup aus. Der Loader ist ein 8,6 MB großes Mach-O-Binary, das ein 35 MB großes zstd-komprimiertes Archiv mit der finalen Infinity-Stealer-Payload (UpdateHelper.bin) enthält.
.env-DateienAlle gestohlenen Daten werden per HTTP POST an den C2-Server exfiltriert, wobei den Angreifern bei erfolgreicher Exfiltration eine Telegram-Benachrichtigung gesendet wird.
Anders als PyInstaller (das Python-Bytecode bündelt) kompiliert Nuitka Python-Quellcode zu C und erzeugt ein echtes natives Binary. Das eliminiert die Bytecode-Schicht, die Sicherheitswerkzeuge typischerweise analysieren, erschwert das Reverse Engineering erheblich und senkt die Erkennungsraten.
Maßnahme für Verteidiger: Blockieren Sie die Domain update-check[.]com. Erinnern Sie Nutzer daran, niemals Befehle von Websites in das Terminal einzufügen. Überwachen Sie auf verdächtige nohup-Ausführungen und xattr -d com.apple.quarantine-Aufrufe. Erwägen Sie Endpoint-Detection-Regeln für große Mach-O-Binaries in /tmp.
Rapid7 hat eine laufende Kampagne von Red Menshen (Earth Bluecrow / DecisiveArchitect) aufgedeckt, die kernelnahe BPFDoor-Implantate in Telekomnetzen im Nahen Osten und in Asien einbettet, um Regierungskommunikation auszuspähen.
Eine langlaufende Spionagekampagne, die der China-nahen Bedrohungsgruppe Red Menshen zugeschrieben wird, operiert seit mindestens 2021 innerhalb von Telekom-Anbieternetzen und nutzt einige der raffiniertesten je in Telekommunikationsumgebungen dokumentierten Tarntechniken.
Das Signaturwerkzeug der Gruppe, BPFDoor, operiert auf Kernel-Ebene und nutzt Berkeley-Packet-Filter-(BPF-)Funktionalität, um Netzwerkverkehr direkt im Linux-Kernel zu inspizieren. Anders als herkömmliche Schadsoftware:
Rapid7 beschrieb diese Implantate als „einige der unauffälligsten digitalen Schläferzellen", die je angetroffen wurden.
Der initiale Zugang zielt auf internetzugewandte Infrastruktur von Anbietern wie Ivanti, Cisco, Juniper, Fortinet, VMware, Palo Alto Networks und Apache Struts. Nachdem sie Fuß gefasst hat, setzt die Gruppe ein:
Der BPFDoor-Controller kann auch innerhalb der Opferumgebung operieren und Aktivierungspakete an andere interne Implantate zur lateralen Bewegung senden — wodurch ein Netz versteckter Hintertüren über das Netzwerk entsteht.
Maßnahme für Verteidiger: Auditieren Sie Linux-Systeme mit bpftool auf unerwartete BPF-Filter. Überwachen Sie auf anomale Raw-Socket-Erstellung. Prüfen Sie Firmware und Patch-Status von Edge-Geräten für Ivanti-, Cisco-, Fortinet- und Palo-Alto-Produkte. Setzen Sie Netzwerkverkehrsanalyse ein, die Magic-Packet-Muster erkennen kann.
Drei unabhängig ausnutzbare Schwachstellen in LangChain und LangGraph können Dateisystemdaten, Umgebungsgeheimnisse und Konversationsverläufe leaken. Die kombinierten wöchentlichen Downloads übersteigen 84 Millionen.
Der Sicherheitsforscher Vladimir Tokarev von Cyera hat drei schwerwiegende Schwachstellen in LangChain und LangGraph offengelegt, zwei der am weitesten verbreiteten Frameworks zum Bau LLM-gestützter Anwendungen. Jeder Mangel exponiert eine andere Klasse von Enterprise-Daten.
| CVE | CVSS | Typ | Auswirkung |
|---|---|---|---|
CVE-2026-34070 |
7.5 | Path Traversal | Beliebiges Datei-Lesen über Prompt-Loading-API |
CVE-2025-68664 |
9.3 | Deserialisierung | Leak von API-Schlüsseln und Umgebungsgeheimnissen |
CVE-2025-67644 |
7.3 | SQL-Injection | Beliebiges SQL gegen SQLite-Checkpoints |
CVE-2026-34070 nutzt die Prompt-Loading-API in langchain_core/prompts/loading.py aus. Durch Bereitstellung eines gestalteten Prompt-Templates mit Path-Traversal-Sequenzen kann ein Angreifer beliebige Dateien lesen — einschließlich Docker-Konfigurationen und privater Schlüssel.
CVE-2025-68664 (auch bekannt als „LangGrinch") verleitet die Anwendung dazu, Nutzereingaben als vorab-serialisiertes LangChain-Objekt zu interpretieren. Dieser Deserialisierungsmangel kann alle API-Schlüssel und Umgebungsgeheimnisse aus dem Deployment absaugen.
CVE-2025-67644 zielt auf die LangGraph-SQLite-Checkpoint-Implementierung. Durch Manipulation von Metadaten-Filterschlüsseln kann ein Angreifer beliebige SQL-Abfragen einschleusen, um auf Konversationsverläufe zuzugreifen — die potenziell sensible Geschäftsdaten, PII oder interne Beratungen enthalten.
langchain-core >= 1.2.22langchain-core 0.3.81 oder 1.2.5langgraph-checkpoint-sqlite 3.0.1Maßnahme für Verteidiger: Aktualisieren Sie sofort alle LangChain- und LangGraph-Abhängigkeiten. Auditieren Sie KI-Anwendungs-Deployments auf exponierte Prompt-Loading-Endpunkte. Prüfen Sie Zugriffsmuster auf Umgebungsvariablen und das Secrets-Management für LLM-Anwendungen.
Der produktive Bedrohungsakteur TeamPCP — bereits verantwortlich für Lieferkettenangriffe auf Trivy, KICS und LiteLLM — hat das Telnyx-Python-SDK auf PyPI kompromittiert. Die bösartigen Versionen 4.87.1 und 4.87.2 wurden am 27. März 2026 veröffentlicht, und das Projekt ist nun unter Quarantäne.
telnyx/_client.py, aktiviert sich beim Paket-Import.WAV-Datei vom C2 herunter, die XOR-verschleierte Payloads in Audiodaten verstecktDie gesamte Kette operiert in einem selbstzerstörenden temporären Verzeichnis und hinterlässt nahezu keine forensischen Artefakte. Unter Windows persistiert die Payload über den Autostart-Ordner als msbuild.exe. Unter Linux/macOS läuft sie im Arbeitsspeicher und exfiltriert als tpcp.tar.gz per HTTP POST an 83.142.209[.]203:8080.
Maßnahme für Verteidiger: Pinnen Sie Telnyx auf Version 4.87.0 oder niedriger. Auditieren Sie CI/CD-Pipelines auf jede Installation von 4.87.1 oder 4.87.2. Blockieren Sie die C2-IP 83.142.209[.]203. Prüfen Sie alle TeamPCP-betroffenen Pakete: Trivy, KICS, LiteLLM und nun Telnyx.
| Bedrohung | Kategorie | Schweregrad | Ziel |
|---|---|---|---|
| Infinity Stealer | Schadsoftware | Hoch | macOS-Nutzer |
| Red Menshen / BPFDoor | APT / Spionage | Kritisch | Telekom-Infrastruktur |
| LangChain/LangGraph-CVEs | Schwachstelle | Kritisch (9.3) | KI/ML-Enterprise-Deployments |
| TeamPCP / Telnyx | Lieferkette | Hoch | Python-Entwickler |
KENSAI überwacht Ihre Angriffsfläche kontinuierlich auf Schwachstellen, Fehlkonfigurationen und Exponierung — bevor Angreifer sie finden.
Kostenlosen Scan starten →Veröffentlicht vom KENSAI Threat Intelligence Team
29. März 2026 — Nachmittagsausgabe
Quellen: Malwarebytes, Rapid7, Cyera, Socket, BleepingComputer, The Hacker News