• Zwei neue Windows-Zero-Days erschüttern das Vertrauen in Microsofts Update-Kultur

    VonJ. Benjamin Espagné

    Am 15. Oktober 2025 veröffentlichte Microsoft Patches für 183 Sicherheitslücken – darunter zwei aktiv ausgenutzte Zero-Days:

    • CVE-2025-24990: Schwachstelle im „Agere Modem Driver“, betrifft jede Windows-Version seit 2000.
    • CVE-2025-59230: Lücke im „Remote Access Connection Manager (RasMan)“.

    Beide erlauben Privilegienerweiterungen bis hin zu Systemrechten. Besonders kritisch: Der betroffene Treiber ist selbst auf Systemen installiert, die gar keine Modem-Hardware besitzen. Microsoft kündigte an, ihn vollständig zu entfernen – ein seltenes Eingeständnis, wie tief verwurzelte Legacy-Komponenten noch immer Risiken bergen.

  • · ·

    Cybercrime auf Industrieniveau – Europol et al. zerschlagen kriminellen Dienstleister

    VonJ. Benjamin Espagné

    Im Rahmen einer internationalen Operation haben Europol, Eurojust und das FBI ein weitreichendes Cybercrime-as-a-Service-Netzwerk zerschlagen. Sieben Personen wurden festgenommen, zahlreiche Server beschlagnahmt.
    Das Netzwerk bot anderen Kriminellen technische Infrastruktur, Schadsoftware, Hosting-Services und Zahlungssysteme an – ein Modell, das den industriellen Charakter moderner Cyberkriminalität unterstreicht.
    Die Ermittlungen deckten auf, dass Angriffe auf Banken, Unternehmen und öffentliche Einrichtungen europaweit koordiniert wurden. Durch die Zusammenarbeit mehrerer Strafverfolgungsbehörden konnten Server in Deutschland, den Niederlanden und der Tschechischen Republik vom Netz genommen werden.
    Nach Angaben von Europol war der Dienst ein zentraler Bestandteil mehrerer größerer Ransomware-Kampagnen und diente als technischer Backbone für Betrugs- und Erpressungsoperationen.

  • · ·

    Shellshock-Angriffe sind wieder auf dem Vormarsch – was Sie jetzt wissen müssen

    VonJ. Benjamin Espagné

    Die Shellshock-Schwachstelle, auch bekannt als Bash-Bug (CVE-2014-6271 und weitere), wurde bereits 2014 entdeckt und gilt damals wie heute als extrem gefährlich; sie ermöglicht Angreifern, beliebigen Code über manipulierte Umgebungsvariablen einzuschleusen, wenn Bash-Skripte etwa in CGI-Anwendungen genutzt werden.

    Bereits 2014 kam es zu einem massiven Aufkommen an Scans, Exploits und Botnetz-Aktivitäten; auch namhafte Ziele wie große Internetplattformen und Regierungsinstitutionen waren betroffen. Trotz der Veröffentlichung von Patches hat sich die Bedrohung bis heute nicht aufgelöst: Laut aktuellen Analysen zielen Angreifer wieder verstärkt auf Organisationen ab, darunter Banken und Finanzdienstleister.

    Nach unseren jüngsten Erhebungen müssen wir warnen: Shellshock-Schwachstellen in Web-Anwendungen werden erneut vermehrt aktiv angegriffen – alte Systemkomponenten bleiben ein Risikofaktor in der Lieferkette.

  • Kritische SAP-Lücke (CVE-2025-42957) aktiv ausgenutzt – wie sollten Sie reagieren?

    VonJ. Benjamin Espagné

    Was war

    SecurityBridge Threat Research Labs entdeckte und meldete am 27. Juni 2025 eine äußerst gefährliche Code­injection-Schwachstelle in SAP S/4HANA (CVE-2025-42957). Die Schwachstelle erhielt einen CVSS-Score von 9,9 (kritisch).

    Betroffen sind sowohl On-Premise als auch Private Cloud Installationen von S/4HANA (S4CORE-Versionen 102–108). Verfügt ein Angreifer über niedrig privilegierte Nutzerkonten, kann er beliebigen ABAP-Code per RFC einschleusen. Damit umgeht er alle Autorisierungskontrollen und legt eine tarnfähige Hintertür – mit potenzieller vollständiger Kompromittierung des Systems. Das umfasst:

    • Manipulation oder Diebstahl von Geschäftsdaten
    • Erstellung von Superuser-Konten (SAP_ALL)
    • Auslesen von Passwort-Hashes
    • Eingriffe in Geschäftsprozesse oder Installation von Ransomware

    Was ist

    SAP brachte bereits am 11./12. August 2025 einen Patch heraus (Security Note 3627998), doch zahlreiche Systeme bleiben weiterhin gefährdet. Die Ausnutzung der Schwachstelle wurde bereits von SecurityBridge verifiziert – sie ist also kein theoretisches Problem mehr, sondern Realität. Die offene Codebasis von ABAP erleichtert zudem das Reverse Engineering der Patches und schafft so zusätzliche Angriffsmöglichkeiten.

    Forschende Sicherheitspartner wie Pathlock und das niederländische NCSC beobachteten bereits Anzeichen für Ausnutzungsversuche. Neben der Einspielung von Patches werden Monitoring-Maßnahmen, Zugriffsbeschränkungen per UCON und RFC-Beschränkungen empfohlen.

  • Threat Analysis: ToolShell Zero-Day in Microsoft SharePoint – und wie unser SIEM schützt

    VonJ. Benjamin Espagné

    Was war

    Ende Juli 2024 wurde eine neue Zero-Day-Schwachstelle in Microsoft SharePoint bekannt, die unter dem Namen „ToolShell“ diskutiert wird. Angreifer nutzten gezielt die URL-Struktur /_layouts/15/ToolPane.aspx, um über Deserialisierungsfehler Schadcode einzuschleusen. Im Anschluss wurde häufig eine Webshell als .aspx-Datei im SharePoint-Verzeichnis platziert, die den Angreifern dauerhaften Zugriff ermöglichte.

    Die Angriffskette ist typisch für moderne Exploits auf Collaboration-Plattformen:

    • Initialer Exploit über eine fehlerhafte Serverkomponente
    • Dropping einer Webshell ins Webroot
    • Post-Exploitation mit PowerShell, oft Base64-kodiert aus dem Prozess w3wp.exe (IIS-Worker) heraus
    • Zugriff auf Kryptografie-Keys und damit persistente Backdoors

    Was ist

    Microsoft hat zwischenzeitlich Sicherheitsupdates für SharePoint 2019 und die Subscription Edition bereitgestellt, für ältere Versionen (z. B. 2016) gelten gesonderte Workarounds. CISA sowie mehrere Security-Firmen haben Indicators of Compromise (IOCs) und TTP-Beschreibungen veröffentlicht.

    Die Besonderheit: Auch ohne direkten Patch lassen sich die Aktivitäten des Angriffs sehr gut über Logs und Verhaltennachvollziehen. So fallen u. a. auf:

    Ausgehende Netzwerkverbindungen des IIS-Workers unmittelbar nach Dateiänderungen

    Zugriffe auf /_layouts/15/ToolPane.aspx in den IIS-Logs

    Neue .aspx-Dateien im Webroot (\_layouts\15\, App_Data)

    w3wp.exe → powershell.exe mit -EncodedCommand

  • ·

    RMM-Systeme im Visier –N-able N-central Schwachstellen

    VonJ. Benjamin Espagné

    Am 15. August 2025 meldete die Shadowserver Foundation, dass über 1.000 N-able N-central Instanzen weltweit noch ungepatcht gegen die Sicherheitslücken CVE-2025-8875 und CVE-2025-8876 waren. N-central ist eine weit verbreitete Lösung für Remote Monitoring und Management (RMM), die vor allem von IT-Dienstleistern genutzt wird, um Kundensysteme zentral zu überwachen und zu administrieren.

    Beide Schwachstellen wurden kürzlich in den Known Exploited Vulnerabilities (KEV)-Katalog der US-Behörde CISA aufgenommen. Damit gilt als bestätigt, dass sie bereits aktiv von Angreifern ausgenutzt werden. Laut Shadowserver sind vor allem die USA, Kanada, die Niederlande und Großbritannien besonders stark betroffen.

    Die Lücken ermöglichen Angreifern eine nicht autorisierte Ausführung von Befehlen auf verwundbaren Systemen. Shadowserver integriert seit Mitte August 2025 die Erkennung dieser CVEs in seine täglichen Scans. Unternehmen, die eine Verwundbarkeitsmeldung erhalten, sollen ihre Systeme dringend überprüfen und umgehend auf die abgesicherte Version N-central 2025.3.1 aktualisieren.

  • Citrix NetScaler CVE-2025-7775: Patching-Fortschritt im Fokus

    VonJ. Benjamin Espagné

    Am 26. August 2025 wurde eine kritische Zero-Day-Sicherheitslücke in Citrix® NetScaler ADC und NetScaler Gateway bekannt (CVE-2025-7775). Es handelt sich um einen Memory Overflow, der eine Remote-Code-Execution (RCE) oder einen Denial-of-Service (DoS) ohne Authentifizierung ermöglicht. Kurz darauf empfahl Citrix dringend, die betroffenen Systeme umgehend zu aktualisieren, da bereits aktive Angriffe in freier Wildbahn bestätigt wurden.

    Die US-Behörde CISA nahm CVE-2025-7775 in ihren Known Exploited Vulnerabilities (KEV)-Katalog auf und setzte eine Frist für alle Bundesbehörden, die Lücke bis zum 28. August 2025 zu schließen.

    Aktuelle Scans von Shadowserver zeigen: Zwar sank die Zahl ungepatchter NetScaler-Instanzen von ursprünglich rund 28.200 auf etwa 12.400 Systeme, doch bleibt das Risiko erheblich. Besonders auffällig ist, dass Europa im Vergleich zu Nordamerika deutlich schneller patcht.

    Dashboards mit Zeitreihen (Stacked oder Overlapping) veranschaulichen den länderübergreifenden Fortschritt. Parallel informieren Shadowserver-Meldungen in sozialen Medien regelmäßig über aktuelle Zahlen und Trends.

  • Komprimierte Katastrophe – WinRAR-Schwachstelle als Einfallstor

    VonJ. Benjamin Espagné

    WinRAR ist eines der bekanntesten Windows-Programme zum Komprimieren und Entpacken von Dateien. Doch im Sommer 2023 wurde eine gravierende Sicherheitslücke entdeckt: CVE-2023-38831 ermöglichte es Angreifern, beliebigen Code auf den Systemen der Opfer auszuführen.
    Obwohl die Schwachstelle kurz darauf gepatcht wurde, sind viele Systeme weltweit noch immer ungepatcht – und damit leichte Beute. Staatlich unterstützte Hackergruppen nutzen die Lücke gezielt aus, indem sie manipulierte Archive verbreiten. Diese wirken auf den ersten Blick harmlos, enthalten aber versteckte Schadsoftware, die beim Entpacken automatisch aktiv wird. Erste Angriffswellen richteten sich gegen Händler; mittlerweile sind auch Institutionen in der Ukraine und sogar Infrastrukturen in Papua-Neuguinea betroffen.

  • · ·

    Lufthansa-Chef wird Opfer von Lufthansa Sicherheitslücke

    VonJ. Benjamin Espagné

    DER SPIEGEL, Hamburg, 23.09.2022, 13.00 Uhr: “Weil sie sensible Daten enthält, solle man seine Bordkarte »wie Bargeld« behandeln, sagt Lufthansa. Carsten Spohr, Chef der Fluglinie, hat sich offenbar nicht daran gehalten – und wurde Opfer eines IT-Schlupflochs.”

    Noch Unbekannte haben vor kurzem eine Gelegenheit genutzt und den QR-Code einer Bordkarte des Vorstandsvorsitzenden ausgelesen. Wie Lufthansa gegenüber DER SPIEGEL eingesteht, enthalten die QR-Codes der Lufthansa-Bordkarten neben Reiseinformationen auch persönliche Informationen der Reisenden wie bsw. Servicekartennummern, Email-Adressen und Mobiltelefonnummern.

  • · ·

    Phishing-as-a-Service gewinnt im Dark Web an Bedeutung

    VonJ. Benjamin Espagné

    Cybersicherheitsexperten haben im Dark Web einen neuen Phishing-as-a-Service-Anbieter gefunden, der seinen Kunden die Möglichkeit bietet, Phishing-Angriffe auf Kunden beliebter Dienste durchzuführen, auch wenn MFA (Multi Factor Authentication) aktiviert ist.

    Kriminelle arbeiten mit Reverse-Proxy- und Cookie-Injection-Technologien. Der Dienst ermöglicht Angriffe auf Nutzer von Apple, Facebook, GoDaddy, GitHub, Google, Dropbox, Instagram, Microsoft, Twitter, Yahoo, Yandex und anderen Diensten. Konten mit aktiviertem MFA, sowohl SMS als auch Anwendungstoken, werden angegriffen.

    Mitarbeiter von Fortune-500-Unternehmen wurden bereits erfolgreich angegriffen.

Keine weiteren News.

Keine weiteren News.

Sicherheitslücken schließen. Risiken senken. Jetzt handeln!

Unsere Experten zeigen Ihnen live, wie wir Angriffe erkennen, stoppen und Ihr Unternehmen schützen.

Blog

Aktuelle Sicherheitsereignisse