Sicherheitsbriefing vom 9. April 2026: Chaos-Cloud-Malware, APT28 PRISMEX, Contagious-Interview-Pakete, Angriffe Irans auf SPS und der Eurail-Datenverstoß

Das heutige Sicherheitsbriefing beleuchtet, wie Chaos-Malware auf falsch konfigurierte Cloud-Bereitstellungen übergreift, die neue PRISMEX-Spionagekette von APT28, Nordkoreas Lieferkettenkampagne mit 1.700 Paketen, mit Iran verbundene Angriffe auf exponierte SPS und den Eurail-Datenverstoß, bei dem mehr als 300.000 Passnummern offengelegt wurden.

Zusammenfassung

Das heutige Muster ist unübersehbar. Angreifer sind weiterhin dort erfolgreich, wo Teams Steuerungsebenen offenlassen, offenen Softwareökosystemen zu leichtfertig vertrauen und davon ausgehen, dass kritische Systeme zu spezialisiert sind, um ins Visier zu geraten. Von Cloud-Workloads und Paketregistrierungen bis hin zu Industriesteuerungen und Reisedaten führen schwache Vertrauensgrenzen immer wieder zu Vorfällen mit Schlagzeilenpotenzial.

1. Chaos-Malware verlagert sich von Edge-Geräten in falsch konfigurierte Cloud-Umgebungen

Laut Darktrace nimmt eine neue Chaos-Variante nun falsch konfigurierte Cloud-Bereitstellungen ins Visier und erweitert damit ein Botnetz, das zuvor mit Routern, Edge-Geräten und unzureichend abgesicherten Docker-Umgebungen in Verbindung gebracht wurde. Das ist relevant, weil der Angriffsweg auf brutale Weise vertraut ist: Exponierte Dienste, mangelhafte Absicherung und mit dem Internet verbundene Verwaltungsoberflächen machen Cloud-Workloads weiterhin zu leichter Beute für Kryptomining- und DDoS-Infrastrukturen.

2. APT28 setzt PRISMEX gegen die Ukraine und mit der NATO verbundene Ziele ein

Trend Micro brachte APT28 mit einer Spear-Phishing-Kampagne in Verbindung, bei der eine neu dokumentierte Malware-Suite namens PRISMEX gegen ukrainische Institutionen sowie verbündete Partner aus Logistik, Transport und Verteidigung eingesetzt wird. Entscheidend ist nicht nur die Malware. Es ist die Geschwindigkeit der operativen Umsetzung: Neue Schwachstellen werden rasch als Waffen eingesetzt und Cloud-Dienste für die Befehls- und Kontrollkommunikation missbraucht. Wenn Ihr Erkennungssystem E-Mail-, Endpunkt- und Cloud-Telemetrie weiterhin in getrennten Silos behandelt, geben Sie solchen Akteuren den nötigen Spielraum.

3. Contagious Interview hat seine Lieferkettenstrategie auf 1.700 Pakete ausgeweitet

Socket berichtet, dass die mit Nordkorea verbundene Contagious-Interview-Kampagne schädliche Pakete über npm, PyPI, Go, Rust und Packagist verbreitete. Dabei wurden Loader als legitime Entwicklerwerkzeuge getarnt, bevor Infostealer und Fernzugriffspayloads ausgeliefert wurden. Das ist keine leise Erinnerung an Lieferkettenrisiken, sondern eine mit dem Brecheisen. In zu vielen Entwicklungsteams wird Abhängigkeiten noch immer automatisch vertraut – insbesondere dort, wo die interne Prüfung von Entwicklerwerkzeugen als optional gilt.

4. Mit Iran verbundene Akteure stören kritische Infrastrukturen über mit dem Internet verbundene SPS

US-Behörden warnten, dass mit Iran verbundene Hacker exponierte Betriebstechnik angreifen, darunter SPS, die in der Wasser- und Abwasserwirtschaft, im Energiesektor und in anderen kritischen Bereichen eingesetzt werden. Zu den gemeldeten Auswirkungen zählen die Manipulation von Anzeigedaten, eine eingeschränkte SPS-Funktionalität, Betriebsstörungen und finanzielle Verluste. Wenn eine SPS oder HMI noch immer über das öffentliche Internet erreichbar ist, ist das keine Modernisierung, sondern Fahrlässigkeit mit eingebautem Countdown.

5. Eurail bestätigte einen Datenverstoß, der mehr als 300.000 Passnummern betrifft

The Record berichtet, dass Eurail die Aufsichtsbehörden darüber informierte, dass bei einem Einbruch im Dezember Namen und Passnummern von 308.777 Personen gestohlen wurden. Die entwendeten Daten wurden später zum Verkauf angeboten und Auszüge davon auf Telegram veröffentlicht. Reisedaten sind zu einem unauffällig wertvollen Ziel geworden, weil sie Identitätsinformationen, Kundendienstdaten und Angaben zu internationalen Bewegungen miteinander verbinden. Diese Mischung ist Gold wert für Betrug, Identitätsmissbrauch und nachgelagerte Angriffe.

Was Verteidiger tun sollten, bevor dies zum Obduktionsbericht der nächsten Woche wird

• Prüfen Sie mit dem Internet verbundene Cloud-Workloads und sichern Sie exponierte Verwaltungsoberflächen ab, insbesondere Docker-nahe Dienste und unzureichend konfigurierte Build-Systeme.
• Suchen Sie gezielt nach Angriffsketten vom Phishing bis zur Cloud, statt E-Mail-, Endpunkt- und SaaS-Telemetrie als getrennte Vorfälle zu behandeln.
• Überprüfen Sie die Aufnahme von Entwicklerpaketen, fixieren Sie Abhängigkeitsversionen und kennzeichnen Sie neue oder verdächtige Werkzeuge in npm, PyPI, Go, Rust und Packagist.
• Entfernen Sie den direkten Internetzugriff auf SPS, HMIs und unterstützende OT-Verwaltungssysteme und prüfen Sie anschließend, ob die Änderung tatsächlich wirksam ist.
• Behandeln Sie Reise-, Identitäts- und Supportplattformdaten als besonders wertvolles Material bei Datenschutzverletzungen und richten Sie Ihre Untersuchungsprioritäten entsprechend neu aus.