Proofpoint deckt die erneute Spionagekampagne von TA416 auf, bei der maßgeschneiderte PlugX-Varianten durch den Missbrauch von OAuth-Weiterleitungen und Cloudflare Turnstile gegen europäische Regierungen und NATO-Missionen eingesetzt werden. CERT-EU schreibt den Cloud-Hack der Europäischen Kommission TeamPCP zu und bestätigt, dass Daten von 30 Einrichtungen der Union gestohlen und von ShinyHunters veröffentlicht wurden. Eine Untersuchung von Microsoft Defender beschreibt eine heimliche neue Klasse Cookie-gesteuerter PHP-Webshells, die sich über Cronjobs dauerhaft auf Linux-Servern festsetzen. Kaspersky entdeckt eine weiterentwickelte SparkCat-Variante in iOS- und Android-App-Stores, die mittels OCR Wiederherstellungsphrasen von Kryptowährungs-Wallets stiehlt. Die Ransomware-Gruppe Qilin bekennt sich zu einem Angriff auf die deutsche Partei Die Linke. LinkedIn gerät wegen des Scannens von mehr als 6.000 Chrome-Erweiterungen in der „BrowserGate“-Datenschutzkontroverse unter Druck.
TA416 (auch als RedDelta, DarkPeony und Vertigo Panda erfasst) führt mehrwellige Kampagnen gegen diplomatische Vertretungen der EU und NATO durch und nutzt dabei sich weiterentwickelnde PlugX-Infektionsketten mit dem Missbrauch von OAuth-Weiterleitungen und der Ausnutzung von Cloudflare Turnstile.
Forscher von Proofpoint haben einen umfassenden Bericht über TA416 veröffentlicht, einen mit China verbundenen Bedrohungsakteur, der nach einer zweijährigen Ruhephase in der Region erneut aktiv europäische Regierungs- und diplomatische Organisationen ins Visier nimmt.
Die Kampagne überschneidet sich mit Clustern, die als DarkPeony, RedDelta, Red Lich, SmugX, UNC6384 und Vertigo Panda erfasst werden und allesamt mit staatlich unterstützter chinesischer Informationsbeschaffung in Verbindung stehen.
TA416 wechselt fortlaufend seine Techniken, um der Erkennung zu entgehen:
Zu den Zielen gehören diplomatische Vertretungen bei der EU und NATO in mehreren europäischen Ländern sowie Regierungs- und diplomatische Einrichtungen im Nahen Osten nach dem Konflikt zwischen den USA, Israel und Iran Ende Februar 2026. Die Gruppe nutzt Konten bei kostenlosen E-Mail-Anbietern sowohl zur Aufklärung als auch zur Auslieferung von Schadsoftware.
Die Kampagne setzt maßgeschneiderte PlugX-Varianten mittels DLL-Sideloading ein — der charakteristischen Technik der Gruppe — und aktualisiert die Schadsoftware häufig, um der Erkennung zu entgehen. Organisationen in europäischen Regierungs- und Diplomatiebereichen sollten ihre E-Mail-Sicherheitskontrollen überprüfen, Beschränkungen für OAuth-Weiterleitungen implementieren und nach Kompromittierungsindikatoren für PlugX suchen.
TeamPCP nutzte einen beim Trivy-Lieferkettenangriff gestohlenen AWS API-Schlüssel aus, um in die Cloud-Umgebung der Europäischen Kommission einzudringen. ShinyHunters veröffentlichte 90 GB (unkomprimiert 340 GB) an Dokumenten mit Namen, E-Mail-Adressen und E-Mail-Inhalten von mehr als 30 Einrichtungen der EU.
CERT-EU hat den Cloud-Sicherheitsvorfall bei der Europäischen Kommission offiziell der Bedrohungsgruppe TeamPCP zugeschrieben und damit offengelegt, dass der Vorfall weitaus schwerwiegender ist als zunächst bekannt gegeben.
| Datum | Aktion |
|---|---|
| 10. März | TeamPCP verwendet einen gestohlenen AWS API-Schlüssel aus dem Trivy-Lieferkettenangriff, um auf Cloud-Konten der Kommission zuzugreifen |
| 10.–24. März | Der Angreifer setzt TruffleHog ein, um weitere Geheimnisse aufzuspüren, und erstellt für einen bestehenden Benutzer einen neuen Zugriffsschlüssel, um der Erkennung zu entgehen |
| 24. März | Das SOC der Kommission erkennt erstmals anomale Aktivitäten — 14 Tage nach dem ursprünglichen Eindringen |
| 25. März | Die Kommission benachrichtigt CERT-EU |
| 27. März | Öffentliche Bekanntgabe durch die Kommission |
| 28. März | ShinyHunters veröffentlicht den gestohlenen Datensatz mit 90 GB auf einer Darknet-Leak-Seite |
Dieser Vorfall zeigt das verheerende Kettenreaktionspotenzial von Lieferkettenangriffen auf Entwicklerwerkzeuge. Eine einzige kompromittierte CI/CD-Komponente (Trivy GitHub Actions) führte zum Diebstahl eines API-Schlüssels und dieser wiederum zum Einbruch in die Cloud-Umgebung des höchsten Exekutivorgans der EU. Organisationen sollten Cloud-Zugangsdaten prüfen, die über CI/CD-Pipelines offengelegt wurden, und kurzlebige, auf den erforderlichen Umfang begrenzte API-Schlüssel durchsetzen.
Bedrohungsakteure nutzen HTTP-Cookies als Steuerkanal für PHP-Webshells, wodurch sich schädlicher Datenverkehr nicht von normalen Webanfragen unterscheiden lässt. Selbstheilende Cronjobs gewährleisten den dauerhaften Zugriff selbst nach einer Entfernung.
Das Microsoft Defender Security Research Team hat eine detaillierte Analyse eines zunehmenden Trends veröffentlicht: PHP-basierte Webshells auf Linux-Servern, die HTTP-Cookies als Befehls- und Steuerkanal anstelle von URL-Parametern oder POST-Inhalten verwenden.
Cookies fügen sich nahtlos in normalen Webdatenverkehr ein — sie sind in jeder HTTP-Anfrage vorhanden, werden von WAFs bei der Suche nach Injektionsmustern nur selten untersucht und stehen zur Laufzeit ohne zusätzliche Verarbeitung über die PHP-Superglobale $_COOKIE zur Verfügung. Dadurch sind die Shells während der normalen Anwendungsausführung praktisch unsichtbar und werden nur aktiviert, wenn bestimmte Cookie-Werte vorhanden sind.
Der beunruhigendste Aspekt: Angreifer richten Cronjobs ein, die den PHP-Loader regelmäßig neu erstellen, selbst wenn er erkannt und entfernt wurde. Dadurch entsteht ein dauerhafter Kanal zur entfernten Codeausführung, der die Bereinigung nach einem Sicherheitsvorfall übersteht — der Cronjob erzeugt die Webshell beim nächsten geplanten Durchlauf einfach erneut.
Verantwortliche sollten Cronjobs auf öffentlich erreichbaren Linux-Webservern prüfen, Cookie-basierte Datenverkehrsmuster in Webanwendungsprotokollen untersuchen und eine Überwachung der Dateiintegrität in Webroot-Verzeichnissen implementieren.
Eine weiterentwickelte SparkCat-Variante nutzt OCR, um Fotogalerien nach Wiederherstellungsphrasen für Kryptowährungs-Wallets zu durchsuchen. Sie wurde in scheinbar legitimen Apps entdeckt, darunter Unternehmens-Messenger und Essenslieferdienste.
Kaspersky hat eine neue, ausgefeiltere Version von SparkCat entdeckt — einen Trojaner, der sich in harmlos wirkenden Apps verbirgt und die Fotogalerien von Benutzern nach Screenshots von Seed-Phrasen für Kryptowährungs-Wallets durchsucht.
Nach Erteilung des Zugriffs auf die Galerie — einer normalen Berechtigung für viele Apps — analysiert SparkCat mit einem Modell zur optischen Zeichenerkennung (OCR) den Text in gespeicherten Bildern. Erkennt es Wiederherstellungsphrasen oder Seed-Wörter für Wallets, wird das Bild unbemerkt an von Angreifern kontrollierte Server übertragen. Die Schadsoftware bleibt inaktiv, bis in bestimmten App-Szenarien der Fotozugriff ausgelöst wird.
Kaspersky schreibt die Kampagne einem chinesischsprachigen Betreiber zu und weist darauf hin, dass sich die Schadsoftware aktiv weiterentwickelt. Nutzer sollten niemals Screenshots von Wiederherstellungsphrasen für Wallets erstellen — bewahren Sie diese offline auf Papier oder Metall auf. Überprüfen Sie regelmäßig App-Berechtigungen und verwenden Sie mobile Sicherheitslösungen.
Die Ransomware-Gruppe Qilin hat sich zu einem Angriff vom 27. März auf Die Linke bekannt, eine deutsche politische Partei, die mit 64 Abgeordneten im Bundestag vertreten ist und 123.000 registrierte Mitglieder hat.
Wichtige Details:
Dies folgt einem Muster, bei dem mit Russland in Verbindung stehende Bedrohungsakteure deutsche politische Parteien ins Visier nehmen — 2024 deckte Mandiant auf, dass APT29 die CDU mit der WineLoader-Hintertür angriff. Deutsche politische Organisationen sollten sich als hochwertige Ziele betrachten und robuste Sicherungs- und Reaktionskapazitäten für Sicherheitsvorfälle implementieren.
Ein von Fairlinked e.V. als „BrowserGate“ bezeichneter Bericht enthüllt, dass Microsofts LinkedIn verstecktes JavaScript verwendet, um die Browser seiner Besucher auf 6.236 installierte Chrome-Erweiterungen zu überprüfen und umfangreiche Daten zur Gerätefingerabdruckerstellung zu sammeln.
BleepingComputer bestätigte unabhängig, dass die JavaScript-Datei mit zufällig generierten Dateinamen von der LinkedIn-Website geladen wird. LinkedIn bestreitet die Erkennung von Erweiterungen nicht und behauptet, sie werde zum „Schutz der Privatsphäre der Mitglieder“ sowie zur Erkennung von Erweiterungen für automatisierte Datenerfassung eingesetzt. Dem Bericht zufolge nutzt LinkedIn diese Daten, um zu ermitteln, welche Unternehmen welche Konkurrenzprodukte verwenden — und erstellt damit faktisch Listen der Kunden von Wettbewerbern anhand von Browserdaten.
Dies wirft in der EU ernsthafte Fragen hinsichtlich GDPR und ePrivacy auf. Nutzer, die sich wegen Browser-Fingerprinting sorgen, sollten Browserprofile, eine Trennung von Erweiterungen oder Brave/Firefox mit verbessertem Tracking-Schutz in Betracht ziehen.
Erhalten Sie täglich relevante Sicherheitsinformationen ohne unnötiges Rauschen.
KENSAI entdecken →KENSAI-Sicherheitsbriefing — 4. April 2026
Zusammengestellt aus den Informationsquellen von Proofpoint, CERT-EU, Microsoft Defender Research, Kaspersky, BleepingComputer, The Hacker News und Fairlinked e.V.