Hacker bringen die neue Schadsoftware A0Backdoor über Microsoft-Teams-Phishing-Kampagnen gegen den Finanz- und Gesundheitssektor aus. Mit dem russischen GRU verbundene Akteure kapern Signal- und WhatsApp-Konten von Regierungsvertretern. ShinyHunters nutzt aktiv eine Salesforce-Aura-Schwachstelle aus. Cisco SD-WAN CVE-2026-20127 wird breitflächig ausgenutzt.
Bedrohungsakteure nutzen Microsoft-Teams-Nachrichten, um Mitarbeiter im Finanz- und Gesundheitssektor ins Visier zu nehmen. Nach der Kontaktaufnahme über Teams überzeugen Angreifer Opfer davon, Fernzugriff über Quick Assist zu gewähren, ein legitimes Windows-Fernwartungswerkzeug. Einmal verbunden, bringen sie eine zuvor undokumentierte Hintertür namens A0Backdoor aus.
Die Angriffskette ist bemerkenswert wegen ihrer Social-Engineering-Raffinesse — Angreifer geben sich als IT-Support-Personal aus und erzeugen Dringlichkeit rund um vermeintliche Sicherheitsprobleme. A0Backdoor bietet persistenten Zugriff, Credential-Abgriff und Fähigkeiten zur lateralen Bewegung.
Erforderliche Maßnahme: Quick-Assist-Nutzung per Gruppenrichtlinie einschränken. Mitarbeiter über unaufgeforderte Teams-Support-Anfragen aufklären. Auf ungewöhnliche Aktivität von Fernzugriffswerkzeugen überwachen.
Googles jüngster Threat-Intelligence-Bericht offenbart eine bedeutende Verschiebung in Cloud-Angriffstaktiken. Hacker nutzen zunehmend neu offengelegte Schwachstellen in Drittanbieter-Software aus, statt sich für den initialen Cloud-Zugang auf schwache oder gestohlene Zugangsdaten zu verlassen.
Der alarmierendste Befund: Das Zeitfenster zwischen Schwachstellen-Offenlegung und aktiver Ausnutzung ist von Wochen auf wenige Tage geschrumpft, teils Stunden. Das setzt Sicherheitsteams enorm unter Druck, sofort zu patchen.
| Kennzahl | Früher | Aktuell |
|---|---|---|
| Durchschn. Zeit bis zur Ausnutzung | 2–4 Wochen | 1–3 Tage |
| Häufigster initialer Zugangsvektor | Gestohlene Zugangsdaten | Schwachstellen-Ausnutzung |
| Beteiligung von Drittanbieter-Software | Mäßig | Primäres Ziel |
Die niederländische Regierung hat eine formale Warnung vor einer laufenden russischen staatlich unterstützten Phishing-Kampagne mit Verbindung zum GRU (russischer Militärnachrichtendienst) herausgegeben. Die Kampagne nimmt Regierungsvertreter, Militärpersonal und Journalisten ins Visier und versucht, ihre Signal- und WhatsApp-Konten zu kapern.
Angreifer nutzen ausgeklügeltes Social Engineering, um Ziele dazu zu verleiten, ihre Messaging-Konten mit angreiferkontrollierten Geräten zu verknüpfen. Nach der Kompromittierung erlangen die Akteure vollen Zugriff auf verschlüsselte Konversationen, Kontakte und geteilte Medien.
Erforderliche Maßnahme: Verknüpfte Geräte in den Signal- und WhatsApp-Einstellungen überprüfen. Registrierungssperre in Signal aktivieren. Hochwertige Zielpersonen zu dieser spezifischen Bedrohung briefen.
Die US-Tochter von Ericsson hat ein Datenleck offengelegt, das auf die Kompromittierung eines Drittanbieter-Dienstleisters zurückgeht. Mitarbeiter- und Kundendaten wurden gestohlen, einschließlich personenbezogener Identifikationsdaten.
Dieser Vorfall verdeutlicht das anhaltende Risiko von Lieferkettenangriffen — selbst wenn die eigene Sicherheit robust ist, können Lieferanten und Dienstleister zum schwächsten Glied werden.
Die berüchtigte Erpresserbande ShinyHunters nutzt aktiv einen neuen Fehler in der Salesforce Experience Cloud (Aura-Framework) aus, um Daten aus fehlkonfigurierten Instanzen zu stehlen. Organisationen mit exponierten Salesforce-Experience-Cloud-Sites sind unmittelbar gefährdet.
ShinyHunters hat eine Historie massiver Datenlecks und erpresst Opfer typischerweise mit der Drohung, gestohlene Daten zu leaken. Die Salesforce-Aura-Schwachstelle erlaubt unautorisierten Zugriff auf sensible Datensätze, wenn Instanzen unsachgemäß konfiguriert sind.
Erforderliche Maßnahme: Salesforce-Experience-Cloud-Konfigurationen sofort auditieren. Gastnutzer-Berechtigungen überprüfen. Auf unerwartete Datenzugriffsmuster prüfen.
Ein bösartiges npm-Paket namens @openclaw-ai/openclawai wurde entdeckt, das sich als legitimer Installer tarnt. Das Paket bringt einen Remote Access Trojan (RAT) aus und stiehlt sensible Daten von macOS-Systemen, darunter:
Das Paket erreichte 178 Downloads, bevor es entdeckt wurde. Dies ist ein klassischer Lieferkettenangriff, der das Vertrauen in Paketmanager ausnutzt.
Googles Mandiant schreibt den Einbruch bei einer Krypto-Firma UNC4899 zu (auch bekannt als TraderTraitor), einer nordkoreanischen Bedrohungsgruppe. Die Angreifer kompromittierten das Ziel über eine trojanisierte AirDrop-Datei und schwenkten dann mit Living-off-the-Cloud-Techniken in die Cloud-Infrastruktur — sie missbrauchten legitime Cloud-Dienste, um sich in normale Aktivität einzufügen.
Dies stellt eine Weiterentwicklung nordkoreanischer Cyber-Operationen dar und demonstriert wachsende Raffinesse bei cloud-nativen Angriffstechniken.
Zwei Chrome-Erweiterungen wurden dabei ertappt, nach der Übertragung ihres Eigentums an neue Entwickler bösartig zu werden. Die neuen Eigentümer veröffentlichten Updates, die Code-Injection und Datendiebstahl ermöglichten, und betrafen damit Nutzer, welche die Erweiterungen mit aktiviertem Auto-Update installiert hatten.
Erforderliche Maßnahme: Browsererweiterungen in Ihrer Organisation auditieren. Erweiterungs-Allowlisting implementieren. Auf unerwartete Erweiterungs-Updates überwachen.
Eine kritische Schwachstelle in Cisco Catalyst SD-WAN (CVE-2026-20127) wird nun breitflächig ausgenutzt, von zahlreichen IP-Adressen aus. Organisationen mit betroffener Cisco-SD-WAN-Infrastruktur sollten sofort patchen oder Mitigationen anwenden.
Erforderliche Maßnahme: Ciscos Security-Advisory-Patches sofort anwenden. Falls Patchen nicht möglich ist, empfohlene Workarounds implementieren und auf Kompromittierungsindikatoren überwachen.
Die ClickFix-Social-Engineering-Technik hat sich weiterentwickelt. Angreifer nutzen nun gefälschte CAPTCHA-Seiten, die Opfer anweisen, bösartige Befehle in Windows Terminal statt in den klassischen Ausführen-Dialog einzufügen. Diese Umgehungstechnik unterläuft mehrere Sicherheitskontrollen, die den Ausführen-Dialog überwachen.
Der Wechsel zu Windows Terminal ist bedeutsam, weil es eine mächtigere Ausführungsumgebung bietet und von Legacy-Endpoint-Erkennungswerkzeugen möglicherweise nicht überwacht wird.
| Meldung | Auswirkung |
|---|---|
| FBI untersucht Einbruch in Überwachungssystem | FBI prüft verdächtige Cyber-Aktivität auf einem System mit sensiblen Überwachungsinformationen |
| CISA nimmt iOS-Mängel in KEV auf | Das Coruna-Exploit-Kit nimmt 23 Schwachstellen über iOS 13–17.2.1 hinweg ins Visier; Nation-State-Niveau |
| Update der US-Cyber-Strategie | Neue Strategie zielt auf Gegner, Schutz kritischer Infrastruktur sowie KI-/Post-Quanten-Kryptografie |
✅ Echtzeit-CVE-Monitoring — CVE-2026-20127 und alle kritischen Schwachstellen binnen Stunden nach Offenlegung erfasst
✅ Lieferkettenanalyse — Erkennt bösartige Pakete wie den gefälschten OpenClaw-npm-Installer
✅ Cloud-Konfigurations-Auditing — Identifiziert Salesforce-Fehlkonfigurationen, bevor ShinyHunters es tut
✅ Kontinuierliches Attack-Surface-Management — Überwacht Ihre Exponierung über alle Vektoren hinweg
KI-gestütztes Schwachstellen-Scanning und kontinuierliche Sicherheitsüberwachung. Starten Sie noch heute Ihren kostenlosen Scan.
Kostenlosen Scan starten →Bleiben Sie angemessen sicher. Bleiben Sie wachsam.
🗡️ KENSAI Security Team
🛡️ Ist Ihre Website sicher?
Entdecken Sie Schwachstellen, bevor Angreifer es tun.
Scannen Sie Ihre Website kostenlos →