Angreifer nutzen FortiGate-Firewalls aus, um Active-Directory-Zugangsdaten aus Gesundheits- und Behördennetzen zu stehlen. Die KadNap-Schadsoftware kapert über 14.000 ASUS-Router in ein unauffälliges Proxy-Botnet. Microsofts März-Patch-Tuesday behebt 2 Zero-Days und 79 Schwachstellen. Der EDR-Killer BlackSanta nimmt Personalabteilungen ins Visier. HPE patcht eine kritische Authentifizierungsumgehung in AOS-CX-Switches.
Bedrohungsakteure missbrauchen FortiGate-Next-Generation-Firewall-(NGFW-)Appliances als Einstiegspunkte, um in Opfernetze einzudringen. Die Kampagne nimmt Gesundheitswesen, Behörden und Managed-Service-Provider-Umgebungen ins Visier und extrahiert Konfigurationsdateien, die Dienstkonto-Zugangsdaten und Netzwerktopologie-Daten enthalten.
Laut SentinelOne nutzen Angreifer kürzlich offengelegte Schwachstellen — CVE-2025-59718, CVE-2025-59719 und CVE-2026-24858 — oder schwache Zugangsdaten, um FortiGate-Appliances zu kompromittieren. Da diese Geräte für die rollenbasierte Richtliniendurchsetzung häufig mit Active Directory und LDAP verbunden sind, übergibt eine kompromittierte Appliance den Angreifern die Schlüssel zur gesamten Authentifizierungsinfrastruktur.
In einem dokumentierten Vorfall legten Angreifer ein betrügerisches lokales Admin-Konto namens „support" an, konfigurierten vier freizügige Firewall-Richtlinien und entschlüsselten später die Konfigurationsdatei, um LDAP-Dienstkonto-Zugangsdaten im Klartext zu extrahieren. Anschließend meldeten sie betrügerische Arbeitsplätze in Active Directory an, bevor sie entdeckt wurden.
Erforderliche Maßnahme: FortiGate-Appliances sofort auf die neueste Firmware patchen. Alle mit FortiGate verbundenen Dienstkonto-Zugangsdaten rotieren. MFA auf allen administrativen Schnittstellen aktivieren. Auf unautorisierte Kontoerstellung und Änderungen an Firewall-Richtlinien überwachen.
Eine neue Schadsoftware namens KadNap hat über 14.000 Edge-Netzwerkgeräte infiziert — vorwiegend ASUS-Router —, um ein unauffälliges Proxy-Botnet zu betreiben. Über 60 % der Opfer befinden sich in den Vereinigten Staaten.
Entdeckt von Black Lotus Labs bei Lumen, nutzt KadNap eine angepasste Version des Kademlia-Distributed-Hash-Table-(DHT-)Protokolls, um seine Command-and-Control-Infrastruktur innerhalb eines Peer-to-Peer-Netzwerks zu verbergen, was sie äußerst widerstandsfähig gegen Zerschlagungsversuche macht.
Kompromittierte Geräte werden in einen Proxy-Dienst namens Doppelgänger eingespeist (ein Rebranding des Faceless-Proxy-Netzwerks), der „100 % anonyme" Residential-Proxys in über 50 Ländern verkauft. Die Schadsoftware zielt sowohl auf ARM- als auch auf MIPS-Prozessoren, etabliert Persistenz über Cronjobs und schließt aktiv den SSH-Zugang auf Port 22, um eine Bereinigung zu verhindern.
| Detail | Information |
|---|---|
| Infizierte Geräte | 14.000+ |
| Primäres Ziel | ASUS-Router |
| US-Opfer | 60 %+ |
| C2-Protokoll | Angepasstes Kademlia DHT (P2P) |
| Proxy-Dienst | Doppelgänger (Faceless-Rebranding) |
| Aktiv seit | August 2025 |
Erforderliche Maßnahme: ASUS-Router-Firmware sofort aktualisieren. Auf unautorisierte Cronjobs und unbekannte Prozesse prüfen. Bei Kompromittierung das Gerät auf Werkseinstellungen zurücksetzen. Bekannte C2-IP 212.104.141.140 blockieren.
Microsofts Patch Tuesday im März 2026 adressiert 79 Sicherheitsmängel, darunter 2 öffentlich offengelegte Zero-Day-Schwachstellen und 3 als kritisch eingestufte Probleme. Zwei kritische Remote-Code-Ausführungs-Fehler betreffen Microsoft Office und lassen sich über den Vorschaubereich auslösen.
Wichtigste Punkte aus dem diesmonatigen Patch-Zyklus:
Die Copilot-bezogene Schwachstelle (CVE-2026-26144) ist besonders bemerkenswert — sie stellt einen neuen Angriffsvektor dar, bei dem KI-Assistenten zur Datenexfiltration instrumentalisiert werden können, ohne Nutzerinteraktion. Das ist ein Vorbote der KI-gestützten Angriffsfläche, der sich Organisationen nun gegenübersehen.
Erforderliche Maßnahme: Alle März-2026-Patches sofort ausrollen. Office-Updates wegen der Vorschaubereich-Ausnutzung priorisieren. Copilot-Agent-Berechtigungen überprüfen und Netzwerk-Egress-Fähigkeiten einschränken.
Eine ausgeklügelte Kampagne, die seit über einem Jahr läuft, liefert einen neuen EDR-Killer namens BlackSanta an Personalabteilungen aus — über Spear-Phishing-E-Mails mit bösartigen ISO-Dateien, die als Lebensläufe getarnt sind.
Die Angriffskette ist hochgradig ausweichend: ISO-Dateien enthalten eine als PDF getarnte Windows-Verknüpfung, ein PowerShell-Skript und ein Bild, das bösartigen Code per Steganografie verbirgt. Der extrahierte Code nutzt DLL-Sideloading über eine legitime SumatraPDF-Executable, führt umfangreiche Sandbox- und VM-Erkennung durch und bringt dann BlackSanta aus.
BlackSanta deaktiviert die Endpoint-Erkennung systematisch, indem es:
.dls- und .sys-Dateien hinzufügtErforderliche Maßnahme: HR-Teams über lebenslauf-thematische Phishing-Angriffe informieren. ISO-Dateianhänge am E-Mail-Gateway blockieren. Auf unautorisierte Änderungen an Defender-Ausnahmen überwachen. Application-Allowlisting implementieren.
HPE hat CVE-2026-23813 gepatcht, eine kritische Authentifizierungsumgehung im Betriebssystem Aruba Networking AOS-CX, die es unauthentifizierten entfernten Angreifern erlaubt, Administrator-Passwörter zurückzusetzen — auf Campus- und Rechenzentrums-Switches der CX-Serie.
Die Schwachstelle liegt in der webbasierten Management-Schnittstelle und erfordert zur Ausnutzung lediglich Angriffe geringer Komplexität. Jede Organisation, die HPE-AOS-CX-Switches mit exponierten Management-Schnittstellen betreibt, ist unmittelbar gefährdet.
Mitigationen bei verzögertem Patchen:
Russlands APT28 (Fancy Bear / GRU-Einheit 26165) setzt seine Cyber-Spionagekampagne gegen die Ukraine fort und bringt seit April 2024 zwei Implantate — BEARDSHELL und COVENANT — zur langfristigen Überwachung ukrainischen Militärpersonals aus.
ESET berichtet, dass das Arsenal auch SLIMAGENT umfasst, fähig zu Keylogging, Screenshot-Erfassung und Sammlung von Zwischenablage-Daten. Die Kampagne unterstreicht die anhaltende Cyber-Dimension des russisch-ukrainischen Konflikts und die beharrliche Anvisierung militärischer Kommunikation.
Eine neue Technik namens „Zombie ZIP" erlaubt es Angreifern, bösartige Payloads in speziell gestalteten komprimierten Dateien zu verbergen, die Antiviren- und EDR-Erkennung umgehen. Die Technik nutzt Unterschiede darin aus, wie Sicherheitswerkzeuge und legitime Archivsoftware ZIP-Dateien parsen, und schafft so blinde Flecken, durch die Schadsoftware schlüpfen kann.
Erforderliche Maßnahme: Sicherstellen, dass Sicherheitswerkzeuge verschachtelte und fehlerhafte Archivformate inspizieren können. Erwägen Sie, alle komprimierten Dateianhänge vor der Zustellung an Endnutzer in einer Sandbox zu prüfen.
CISA hat eine kürzlich gepatchte Ivanti-Endpoint-Manager-(EPM-)Schwachstelle in ihren Katalog bekannter ausgenutzter Schwachstellen (KEV) aufgenommen, nachdem aktive Ausnutzung in freier Wildbahn bestätigt wurde. Organisationen, die Ivanti EPM betreiben, müssen das Patchen sofort priorisieren.
Das Muster, dass Ivanti-Schwachstellen rasch zur Waffe gemacht werden, setzt sich fort — dies ist die jüngste in einer langen Reihe kritischer Ivanti-Mängel, die binnen Tagen von der Offenlegung zur Ausnutzung wandern.
Ein neuer Android-Banking-Trojaner namens BeatBanker wird über gefälschte Google-Play-Store-Websites verbreitet und tarnt sich als Starlink-Anwendung. Einmal installiert, kapert die Schadsoftware Geräte, um Banking-Zugangsdaten und Finanztransaktionen abzufangen.
Erforderliche Maßnahme: Apps ausschließlich aus dem offiziellen Google Play Store installieren. Google Play Protect aktivieren. Nutzer über gefälschte App-Stores aufklären.
Positiv zu vermerken: Microsoft rollt Passkey-Unterstützung für Microsoft Entra auf Windows-Geräten aus und ermöglicht damit phishing-resistente passwortlose Authentifizierung über Windows Hello. Dies ist ein bedeutender Schritt zur Beseitigung passwortbasierter Angriffe — Organisationen sollten mit der Planung eines Entra-Passkey-Rollouts beginnen.
| Meldung | Auswirkung |
|---|---|
| Nordkoreanische UNC4899 dringt bei Krypto-Firma ein | Trojanisierte AirDrop-Datei + Living-off-the-Cloud-Techniken stehlen Millionen in Kryptowährung |
| Windows 10 KB5078885 ESU veröffentlicht | Erweitertes Sicherheitsupdate für Windows 10 adressiert Patch-Tuesday-Schwachstellen im März einschließlich 2 Zero-Days |
| Bösartiges npm-Paket gibt sich als OpenClaw aus | Paket bringt RAT aus und stiehlt macOS-Zugangsdaten, SSH-Schlüssel, Krypto-Wallets und iMessage-Verlauf |
✅ Edge-Geräte-Monitoring — Erkennt kompromittierte FortiGate-, ASUS- und HPE-Geräte, bevor Angreifer tiefer vordringen
✅ Patch-Intelligence — Priorisiertes CVE-Tracking für Microsoft, Ivanti und Netzwerkinfrastruktur binnen Stunden nach Offenlegung
✅ EDR-Integritätsprüfungen — Identifiziert BlackSanta-artige Manipulationen an Endpoint-Sicherheitskonfigurationen
✅ KI-Sicherheitslage — Überwacht Copilot- und KI-Agenten-Berechtigungen, um Datenexfiltrationsvektoren wie CVE-2026-26144 zu verhindern
KI-gestütztes Schwachstellen-Scanning und kontinuierliche Sicherheitsüberwachung. Starten Sie noch heute Ihren kostenlosen Scan.
Kostenlosen Scan starten →Bleiben Sie sicher. Bleiben Sie wachsam.
🗡️ KENSAI Security Team
🛡️ Ist Ihre Website sicher?
Entdecken Sie Schwachstellen, bevor Angreifer es tun.
Scannen Sie Ihre Website kostenlos →