Das heutige Signal ist hässlich, aber eindeutig. Identitätsangriffe sind nach wie vor der günstigste Weg ins System, Eskalationen auf Hardwareebene werden immer praktikabler, Ransomware-Gruppen verfeinern kontinuierlich ihre Abwehrumgehung und frühere Akteure werden endlich namentlich identifiziert. Verteidiger sollten sich heute auf die Härtung von MFA, die Treiberkontrolle und eine schnelle Eindämmung konzentrieren – nicht auf Eitelkeits-Dashboards.
Die wichtigste Meldung betrifft eine mit Iran in Verbindung gebrachte Password-Spraying-Kampagne, die mehr als 300 israelische Organisationen mit Microsoft 365 traf und darüber hinaus Ziele in Europa, den USA, dem Vereinigten Königreich, Saudi-Arabien und den Vereinigten Arabischen Emiraten angriff. Das ist relevant, weil Password Spraying gegen Cloud-Umgebungen, die weiterhin schwache Passwörter, nachlässige bedingte Zugriffsregeln oder eine lückenhafte Durchsetzung von MFA dulden, erschreckend wirksam bleibt.
Gleichzeitig veröffentlichten Forscher Details zu GPUBreach, einer GPU-Rowhammer-Technik, die GDDR6-Speicher beschädigen, GPU-Seitentabellen manipulieren und durch Fehler in NVIDIA-Treibern potenziell eine vollständige Systemkompromittierung ermöglichen kann. Das ist nicht bloß eine Kuriosität aus dem Labor. Es ist ein Warnschuss für Teams, die bei AI-Workloads stark auf gemeinsam genutzte Beschleunigerinfrastruktur setzen.
Check Point brachte drei Angriffswellen im März mit einem Iran-nahen Akteur in Verbindung, der Password Spraying über Tor und kommerzielle VPN-Infrastruktur betrieb. Die Kampagne zielte Berichten zufolge auf Behörden, Kommunen sowie Organisationen aus den Bereichen Technologie, Transport, Energie und Privatwirtschaft ab. Ein wahrscheinliches Ziel war der Diebstahl von Postfachdaten.
Die Erkenntnis ist langweilig und brutal. Password Spraying funktioniert weiterhin, weil zu viele Mandanten noch immer veraltete Protokolle, schwache Geofencing-Regeln, verwaiste Dienstkonten und eine inkonsistente Durchsetzung von MFA zulassen. Ist Ihre Identitätsebene schlecht abgesichert, braucht ein Angreifer keinen Exploit, sondern nur Geduld.
Forscher der University of Toronto zeigten, dass Bit-Flips in GDDR6 GPU-Seitentabellen beschädigen und einem nicht privilegierten CUDA-Kernel beliebigen Lese- und Schreibzugriff auf den GPU-Speicher ermöglichen können. Von dort aus können neu entdeckte Treiberfehler den Sprung zu einer umfassenderen Kompromittierung des Hosts ermöglichen – selbst bei aktiviertem IOMMU.
Das sollte jedes Team beunruhigen, das gemeinsam genutzte GPU-Flotten für AI-Training, Inferenz oder mandantenfähige Forschung betreibt. Consumer-GPUs ohne ECC scheinen besonders gefährdet zu sein. Den Versprechen zur Hardwareisolation von AI-Stacks fehlt noch die nötige Reife, um ihnen blind zu vertrauen.
Das deutsche Bundeskriminalamt identifizierte zwei russische Staatsangehörige als führende Köpfe hinter GandCrab und REvil und brachte sie mit mindestens 130 Erpressungsfällen in Deutschland in Verbindung. Die namentliche Identifizierung der Akteure Jahre später macht den entstandenen Schaden nicht rückgängig, erhöht aber die Kosten für die offene Wiederverwendung alter Infrastruktur, alter Marken und alter Vertrauensnetzwerke von Partnern.
Der strategische Wert liegt im Druck, nicht im Abschluss. Ransomware-Ökosysteme leben von der Vorstellung, dass ihre Betreiber im Mythos verschwinden können. Öffentliche Zuschreibungen schwächen diesen Schutzschild, auch wenn Festnahmen noch lange auf sich warten lassen.
Cisco Talos und Trend Micro beschrieben Vorgehensweisen von Qilin und Warlock, die Techniken zum Einschleusen eigener verwundbarer Treiber, Payloads im Arbeitsspeicher, die Unterdrückung von ETW und das Beenden von Prozessen gegen mehr als 300 EDR-Treiber einsetzen. Einfach gesagt: Die Gruppen investieren ihre Zeit darin, Ihre Sensoren zum Schweigen zu bringen, bevor sie ihre Payloads zünden.
Das ist die eigentliche operative Erkenntnis dieses Morgens. Ausgereifte Ransomware-Angriffe sind keine brachialen Überfälle mehr. Sie sind leise Vorbereitungskampagnen. Wenn Sie Ihre Ransomware-Abwehrbereitschaft erst zum Zeitpunkt der Verschlüsselung messen, messen Sie den Zustand des Scheiterns.
Überprüfen Sie erstens die Anmeldetelemetrie auf langsames, unauffälliges Password Spraying, unmögliche Ortswechsel und wiederholte Fehlversuche bei vielen Konten mit einer kleinen Auswahl an Passwörtern. Verschärfen Sie zweitens den bedingten Zugriff und deaktivieren Sie veraltete Authentifizierungsverfahren, sofern diese noch vorhanden sind. Validieren Sie drittens die Regeln zum Blockieren von Treibern und den Manipulationsschutz von EDR auf den wichtigsten Endgeräten.
Wenn Sie GPU-gestützte AI-Infrastruktur betreiben, behandeln Sie Beschleuniger-Hosts außerdem wie besonders kritische Systeme. Trennen Sie Mandanten, bevorzugen Sie nach Möglichkeit ECC-fähige Hardware, sorgen Sie für eine konsequente Aktualisierung der Treiber und hören Sie auf, so zu tun, als sei die AI-Ebene auf magische Weise vom Rest der Umgebung isoliert.
Machen Sie aus den heutigen Schlagzeilen konkrete Maßnahmen.
KENSAI hilft Sicherheitsteams, Bedrohungsberichte in konkrete Validierungen, eine schnellere Triage und den Nachweis zu verwandeln, dass Kontrollen auch unter Druck funktionieren.
Kostenlosen Scan starten →