← Zurück zum Blog

Sicherheitsbriefing, 19. April 2026: protobuf.js-RCE, Mirai Nexcorium und Operation PowerOFF

Das heutige Sicherheitsbriefing bündelt drei konkrete Signale: eine kritische protobuf.js-Codeausführung mit öffentlichem PoC, Mirai-getriebene Ausnutzung von TBK-DVRs und alten Routern sowie eine globale Zerschlagung des DDoS-for-hire-Ökosystems.

---

---

1. protobuf.js gehört jetzt in die dringende Dependency-Queue

Der kritische protobuf.js-Fehler GHSA-xq3m-2v4x-88gg kann zu Remote Code Execution führen, wenn Anwendungen von Angreifern beeinflusste Schemas laden. Endor Labs sagt, die Ausnutzung sei unkompliziert, weil unsichere dynamische Codegenerierung bösartige Bezeichner in erzeugte Funktionen einschleusen kann. Die Bibliothek steckt tief in vielen JavaScript-Stacks und kommt auf rund 50 Millionen npm-Downloads pro Woche.

• Auf 8.0.1 oder 7.5.5 aktualisieren und transitive Abhängigkeiten prüfen, nicht nur direkte Package-Manifest-Dateien.
• Schema-Laden als untrusted input behandeln und in Produktion vorcompilierte oder statische Schemas bevorzugen.
• Wenn eure App vom Nutzer gelieferte Protobuf-Definitionen dekodiert, gehört der Blast Radius bis zu Secrets, Datenbanken und internen Diensten.

---

2. Mirai-Betreiber ernten weiter alte IoT-Hardware ab

Fortinet meldet, dass die Mirai-Variante Nexcorium CVE-2024-3721 in TBK-DVR-Geräten ausnutzt und diesen Zugang mit Brute Force sowie älterer Huawei-Exploit-Logik kombiniert. Palo Alto Networks sah zudem Versuche gegen End-of-Life-TP-Link-Router. Die Lehre ist dieselbe wie immer: alte internetexponierte Appliances werden zu billigen Botnet-Bausteinen, sobald Patchen und Credential-Hygiene verrotten.

• Betroffene TBK-DVR-Systeme sofort patchen oder isolieren und nicht mehr unterstützte TP-Link-Geräte ersetzen statt sie endlos mitzuschleppen.
• Auf Default-Credentials, Telnet-Exposure und unerwartete cron- oder systemd-Persistenz auf Linux-basierten Appliances prüfen.
• Exponierte Überwachungs- und Filialgeräte als aktive Intrusionsfläche behandeln, nicht als harmlose Infrastruktur.

---

3. Operation PowerOFF erhöht die Kosten für DDoS-for-hire-Missbrauch

Die von Europol unterstützte Operation PowerOFF beschlagnahmte 53 Domains, legte Datenbanken mit mehr als 3 Millionen kriminellen Accounts offen und traf Dienste mit über 75.000 Kunden. Das wichtige Verteidigungssignal ist nicht, dass DDoS verschwunden ist. Sondern dass der Druck auf Booter-Infrastruktur steigt, was Vergeltung, Migration oder kurzfristiges Rauschen auslösen kann.

• Auf kurzlebige DDoS-Verschiebungen zu Ersatzanbietern, neu registrierten Panels oder Telegram-Reseller-Kanälen achten.
• Logs und Kundenkommunikation sichern, falls nach dieser Disruptionswelle Erpressung oder angebliche Stresstests auftauchen.
• Dieses Zeitfenster nutzen, um Rate Limits, Upstream-Filterung und Incident-Kontakte zu prüfen, bevor der nächste Klon-Dienst die Lücke füllt.

---

Was Security-Teams heute tun sollten

1. protobuf.js-Exposure zuerst in internetexponierten oder mandantenfähigen JavaScript-Services patchen.
2. Ein Inventar aller verwundbaren DVRs, Router und Geräte ziehen, die noch mit schwachen Credentials oder Telnet erreichbar sind.
3. Netzwerk- und SOC-Teams fragen, ob DDoS-Monitoring-Schwellen nach Operation PowerOFF vorübergehend nachjustiert werden müssen.
4. Der Führung eine klare Notiz schicken: Dependency-Risiko, IoT-Botnet-Risiko und DDoS-Marktbewegung sind drei getrennte Probleme und brauchen getrennte Verantwortliche.

---

Bottom line: Bottom line: Das heutige Lagebild ist gleichzeitig ein Stack-Problem, ein Edge-Problem und ein Markt-Problem. Die Bibliothek patchen, die Appliances bereinigen und nicht glauben, dass Takedowns automatisch ruhige Netze bedeuten.