Die GlassWorm-Kampagne ForceMemo nutzt gestohlene GitHub-Tokens, um Schadcode in Hunderte Python-Repositorien einzuschleusen. Stryker erleidet einen verheerenden Wiper-Angriff, bei dem Zehntausende Mitarbeitergeräte aus der Ferne gelöscht werden. CISA nimmt eine Schwachstelle im Wing FTP Server als aktiv ausgenutzt in den KEV-Katalog auf. Beim Oracle-EBS-Einbruch schweigen vier Großkonzerne weiterhin. Das britische Companies House bestätigt eine monatelange Datenoffenlegung. Außerdem: die Hintertür DRILLAPP greift die Ukraine über Microsoft Edge an, ClickFix-Kampagnen verbreiten den macOS-Stealer MacSync, und VPN-Zugangsdaten werden über SEO-Vergiftung gestohlen.
Die Schadsoftware-Kampagne GlassWorm hat sich zu ForceMemo weiterentwickelt — einem Lieferkettenangriff, der gestohlene GitHub-Zugangsdaten nutzt, um verschleierten Schadcode in Hunderte Python-Repositorien einzuschleusen. Wer pip install aus einem kompromittierten Repositorium ausführt oder den Code klont und startet, löst die Schadsoftware aus. Die frühesten Einschleusungen datieren auf den 8. März 2026.
Regulatorische Auswirkungen: CRA-Software-Lieferkette — NIS2-Lieferkettensicherheit — EU AI Act (ML-Repositorien gefährdet)
Die ursprünglich als Kompromittierung einer VS-Code-Erweiterung verfolgte GlassWorm-Kampagne hat einen gefährlichen Ableger hervorgebracht, den Forscher von StepSecurity ForceMemo getauft haben. Die Angreifer nutzen GitHub-Tokens, die in der ursprünglichen GlassWorm-Kampagne gestohlen wurden, um auf Entwicklerkonten zuzugreifen und Schadcode in legitime Python-Repositorien einzuschleusen.
Die Vorgehensweise ist besonders heimtückisch: Die Angreifer rebasen die jüngsten legitimen Commits im Standard-Branch mit Schadcode und erzwingen anschließend den Push — wobei sie ursprüngliche Commit-Nachricht, Autor und Autorendatum erhalten. Entwickler, die den Verlauf ihres Repositoriums prüfen, sehen also nichts Ungewöhnliches. Die Commits wirken, als stammten sie von den ursprünglichen, vertrauenswürdigen Beitragenden.
Zu den betroffenen Repositorien zählen Django-Anwendungen, ML-Forschungscode, Streamlit-Dashboards und PyPI-Pakete. Die Schadsoftware wird an gängige Einstiegspunkte wie setup.py, main.pyund app.pyangehängt. Die verschleierte Schadlast wird bei der Ausführung aktiv, richtet Persistenz ein und schleust Zugangsdaten aus.
Mittelständische Unternehmen in Deutschland und Schweizer Forschungseinrichtungen mit Python-ML-Pipelines sollten alle kürzlich aktualisierten GitHub-Abhängigkeiten unverzüglich prüfen. Aktivieren Sie die erzwungene Commit-Signierung und verpflichtende Statusprüfungen bei GitHub. Nach NIS2 müssen Organisationen Sorgfalt in der Lieferkette nachweisen — eine von ForceMemo kompromittierte Abhängigkeit in der Produktivinfrastruktur kann eine Meldepflicht binnen 24 Stunden auslösen.
Der Medizintechnikkonzern Stryker hat bestätigt, dass der Cyberangriff der vergangenen Woche auf die interne Microsoft-Umgebung begrenzt blieb, dabei jedoch Zehntausende Mitarbeitergeräte aus der Ferne gelöscht wurden. Es wurde keine Schadsoftware eingesetzt — die Angreifer nutzten legitime Verwaltungswerkzeuge, um die Löschung auszuführen.
Regulatorische Auswirkungen: NIS2 wesentliche Einrichtungen im Gesundheitswesen — MDR Medizinprodukte — DORA (Finanzlieferkette)
Die Stryker Corporation, eines der weltweit größten Medizintechnikunternehmen mit über 20 Milliarden Dollar Jahresumsatz, hat mitgeteilt, dass der Cyberangriff der Vorwoche zur Fernlöschung von Zehntausenden Mitarbeitergerätenführte. In einer Wendung, die Sicherheitsforscher zunehmend häufig beobachten, setzten die Angreifer keine herkömmliche Schadsoftware ein — sie missbrauchten stattdessen legitime Microsoft-Verwaltungswerkzeuge , die in Strykers Umgebung ohnehin vorhanden waren, um Geräte aus der Ferne zu löschen.
Dieses „Living off the Land“ bei zerstörerischen Angriffen wird zum Kennzeichen versierter Bedrohungsakteure. Indem sie Werkzeuge nutzen, denen Organisationen ohnehin vertrauen und die auf Positivlisten stehen — Microsoft Intune, SCCM oder die Geräteverwaltung von Azure AD —, können Angreifer verheerende Operationen ausführen und dabei der Endpunkterkennung (EDR) entgehen.
Der Angriff blieb auf Strykers interne Microsoft-Umgebung begrenzt; das Unternehmen erklärte, dass weder Patientendaten noch Medizingerätesysteme betroffen waren. Die betriebliche Störung durch das Löschen Zehntausender Arbeitsplatzrechner in einem weltweit tätigen Konzern ist dennoch enorm — sie trifft die Koordination der Lieferkette, die Fertigung und den Kundendienst.
Deutsche Krankenhäuser und österreichische Kliniken, die Stryker-Ausrüstung einsetzen, sollten ihre Lieferketten überprüfen. Schweizer Medizinproduktehändler sollten prüfen, ob Strykers Betriebsstörung die Lieferfristen beeinflusst. Für Unternehmen im DACH-Raum gilt: Prüfen Sie Ihre Richtlinien für Microsoft Intune und die Geräteverwaltung. Könnte ein Angreifer mit Administratorrechten Ihren gesamten Gerätebestand löschen? Führen Sie bedingten Zugriff, Notfallkonten mit Hardware-Token und Echtzeitwarnungen bei Massenoperationen in der Geräteverwaltung ein.
CISA hat US-Bundesbehörden aufgefordert, ihre Wing-FTP-Server-Instanzen gegen eine aktiv ausgenutzte Schwachstelle abzusichern, die in Angriffsketten zur Ausführung von Schadcode aus der Ferne genutzt werden kann. Die Schwachstelle wurde in den Katalog der bekannten ausgenutzten Schwachstellen (KEV) aufgenommen.
Regulatorische Auswirkungen: NIS2-Schwachstellenmanagement — CISA BOD 22-01 — BSI kritische Infrastruktur
Die Cybersecurity and Infrastructure Security Agency (CISA) hat eine Schwachstelle im Wing FTP Server in ihren KEV-Katalog aufgenommen und damit die aktive Ausnutzung bestätigt. Der Wing FTP Server ist ein verbreiteter plattformübergreifender FTP-Server, den Unternehmen für die gesicherte Dateiübertragung einsetzen.
Die Schwachstelle lässt sich mit weiteren Fehlern zur Ausführung von Schadcode aus der Ferneverketten und ist damit besonders gefährlich für Organisationen, die FTP-Dienste im Internet erreichbar machen. Die Binding Operational Directive (BOD) 22-01 der CISA verpflichtet Bundesbehörden, im KEV-Katalog gelistete Schwachstellen innerhalb strenger Fristen zu schließen.
Dienste zur Dateiübertragung sind in den vergangenen Jahren zu einem bevorzugten Ziel geworden; die Vorfälle bei MOVEit, GoAnywhere und Accellion haben gezeigt, wie verheerend eine kompromittierte Übertragungsinfrastruktur wirkt. Der Wing FTP Server reiht sich nun in diese wachsende Liste ein.
Organisationen im DACH-Raum, die den Wing FTP Server einsetzen, sollten unverzüglich patchen und Zugriffsprotokolle auf Anzeichen einer Ausnutzung prüfen. Erwägen Sie den Wechsel zu gehärteten verwalteten Übertragungslösungen mit integrierter Angriffserkennung. Nach NIS2 löst jede Ausnutzung einer Übertragungsinfrastruktur, die personenbezogene oder eingestufte Daten verarbeitet, eine Meldepflicht aus.
Der Einbruch in die Oracle E-Business Suite (EBS) weitet sich weiter aus. Broadcom, Bechtel, Estée Lauder und Abbott Technologies sind die einzigen großen Unternehmen, die sich bislang nicht öffentlich zu möglichen Auswirkungen geäußert haben. Der Angriff richtete sich gegen Oracles ERP-Plattform, die von Tausenden Fortune-500-Unternehmen genutzt wird.
Regulatorische Auswirkungen: DSGVO-Meldepflicht — NIS2-Vorfallmeldung — SOX-Finanzsysteme
Der in den vergangenen Wochen bekannt gewordene Einbruch in die Oracle E-Business Suite hallt weiter durch die Unternehmens-IT. Während die meisten betroffenen Organisationen inzwischen öffentlich Stellung genommen und Auswirkungen bestätigt oder verneint haben, schweigen vier Großkonzerne weiterhin: Broadcom (Halbleiterkonzern), Bechtel (weltweit tätiges Ingenieurunternehmen), Estée Lauder (Kosmetikkonzern) und Abbott Technologies (Medizinprodukte).
Oracle EBS ist ein umfassendes ERP-System für Finanzen, Lieferkette, Personalwesen und Fertigung. Ein Einbruch legt potenziell Finanzunterlagen, Beschäftigtendaten, Lieferanteninformationen und Fertigungsgeheimnisseoffen. Das Schweigen dieser vier Unternehmen ist angesichts ihrer regulatorischen Pflichten besonders bemerkenswert.
Unternehmen im DACH-Raum, die Oracle EBS einsetzen, sollten ihre Instanzen unverzüglich forensisch bewerten, auch wenn sie nicht ausdrücklich genannt werden. Oracle EBS ist in der deutschen Automobilindustrie, der österreichischen Fertigung und der Schweizer Pharmabranche weit verbreitet. Prüfen Sie die von Oracles Sicherheitsteam veröffentlichten Kompromittierungsindikatoren. Nach DSGVO und NIS2 ist eine proaktive Bewertung nicht optional, sondern Pflicht.
Regulatorische Auswirkungen: UK Data Protection Act — DSGVO-Angemessenheit — NIS2 Behördendienste
Companies House, die britische Behörde für das Register aller Unternehmen des Vereinigten Königreichs, hat bestätigt, dass ihr Dienst WebFiling aufgrund einer Sicherheitslücke Unternehmensdaten offengelegt hat — und zwar seit Oktober 2025. Der Dienst wurde am Freitag zur Behebung abgeschaltet und inzwischen wieder in Betrieb genommen.
Die monatelange Offenlegung von Registerdaten — darunter Angaben zu Geschäftsführern, eingetragenen Anschriften und Einreichungen — stellt ein erhebliches Versäumnis beim behördlichen Datenschutz dar. Zwar sind Registerdaten weitgehend öffentlich, doch die Lücke könnte zusätzliche, nicht für die Öffentlichkeit bestimmte Angaben offengelegt haben, und der lange Zeitraum wirft ernste Fragen zur Fähigkeit staatlicher Digitaldienste auf, Schwachstellen zu erkennen.
Regulatorische Auswirkungen: EU Cyber Solidarity Act — kooperative Cyberabwehr der NATO
Ukrainische Einrichtungen werden von einer neuen Kampagne angegriffen, die russischen Bedrohungsakteuren zugeordnet wird und eine JavaScript-basierte Hintertür namens DRILLAPPeinsetzt. Die Kampagne, die Laundry Bear (UAC-0190/Void Blizzard) zugeschrieben wird, nutzt Köder mit Justiz- und Wohltätigkeitsbezug und bringt die Hintertür über Debugging-Funktionen des Browsers Microsoft Edgeein.
DRILLAPP kann Dateien hoch- und herunterladen, Mikrofonaufnahmen anfertigen und Webcam-Bilder aufzeichnen — sämtlich über die eingebauten Fähigkeiten des Browsers. Da die Schadsoftware über die Debugging-Schnittstelle von Edge läuft, entgeht sie der klassischen Endpunkterkennung, die ausführbare Dateien und Systemaufrufe überwacht.
Zwei Ausprägungen der Kampagne wurden identifiziert: die erste mit Windows-Verknüpfungsdateien (LNK), eine verfeinerte Fassung mit HTML-Anwendungsdateien (HTA). Die Nutzung des Browser-Debuggings zur Persistenz und als C2-Kanal markiert eine Weiterentwicklung des Spionagewerkzeugs.
Regulatorische Auswirkungen: CRA Produktsicherheit für Verbraucher — EU Digital Markets Act
Drei verschiedene ClickFix-Kampagnen verbreiten den macOS-Informationsdieb MacSync über gefälschte Installationsprogramme für KI-Werkzeuge. Die Kampagnen setzen vollständig auf Social Engineering — Nutzer werden dazu gebracht, verschleierte Terminalbefehle zu kopieren und auszuführen — und wirken deshalb besonders gut gegen technisch weniger versierte Anwender.
Von Sophos-Forschern identifizierte Hauptkampagnen:
Die ClickFix-Technik — Nutzer dazu zu bringen, Schadbefehle freiwillig auszuführen — umgeht sämtliche klassischen Schutzmaßnahmen, weil die Handlung vom Anwender selbst ausgeht. Jamf Threat Labs stuft diesen Social-Engineering-Ansatz als aufkommenden Bedrohungsvektor für macOS ein.
Regulatorische Auswirkungen: NIS2-Zugriffskontrolle — DORA-Authentifizierungssicherheit
Microsoft hat den Bedrohungsakteur Storm-2561 identifiziert, der über SEO-Vergiftung gefälschte VPN-Clients verbreitet. Die Kampagne setzt Trojaner ein, die als legitime VPN-Anwendungen getarnt sind, um Zugangsdaten von Unternehmen zu stehlen.
Indem die Angreifer Suchergebnisse für verbreitete VPN-Clients manipulieren, treffen sie Nutzer, die nach VPN-Software suchen — häufig Beschäftigte im Homeoffice, die einen Zugang zum Unternehmensnetz einrichten. Die gefälschten Clients installieren funktionierende VPN-Software zusammen mit Schadsoftware zum Diebstahl von Zugangsdaten, was die Kompromittierung schwer erkennbar macht.
GlassWorm, ForceMemo, ClickFix — Lieferkettenangriffe nehmen zu. KENSAI prüft Ihre Abhängigkeiten, Schnittstellen und Infrastruktur auf Schwachstellen, bevor Angreifer sie finden. NIS2-konforme Berichte inklusive.
Kostenlosen Sicherheitsscan starten →Veröffentlicht vom KENSAI Threat Intelligence Team · 17. März 2026
Quellen: The Hacker News, BleepingComputer, SecurityWeek, StepSecurity, CISA, Sophos, S2 Grupo, Microsoft
🛡️ Ist Ihre Website sicher?
Finden Sie Schwachstellen, bevor Angreifer es tun.
Website kostenlos prüfen →