Comretix Blog

Ein wichtiges Sicherheitsupdate schließt eine "kritische" Schwachstelle im Wordpress-Plug-in Everest Forms. Sind Attacken erfolgreich, können Angreifer Schadcode ausführen und im schlimmsten Fall die volle Kontrolle über Websites erlangen.

Anzeige

Davor warnt Wordfence in einem Beitrag. Sie geben an, dass die Lücke (CVE-2025-1128) über ihr Bug-Bounty-Programm gemeldet wurde. An der Schwachstelle sollen entfernte Angreifer ohne Authentifizierung ansetzen können. Darüber können sie Schadcode hochladen, umso mit Wordpress erstellte Internetseiten zu kompromittieren.

Everest Forms weist der Plug-in-Website zufolge mehr als 100.000 aktive Installationen auf. Damit kann man unter anderem Kontaktformulare aufsetzen. Der Fehler findet sich den Sicherheitsforschern zufolge in der EVF_Form_Fields-Upload-Klasse.

Aufgrund von unzureichenden Überprüfungen können Angreifer an dieser Stelle Schadcode hochladen und Dateien einsehen und sogar löschen. Wie solche Attacken im Detail ablaufen können, erläutert Wordfence in seinem Beitrag zur Sicherheitsproblematik.

Deutsche IT-Sicherheitsforscher aufgepasst: Im Mai dieses Jahres kommt der Pwn2Own-Wettbewerb nach Berlin. Dort nutzen Teilnehmer unter bestimmten Spielregeln in einem Zeitlimit Sicherheitslücken aus. Klappt das, können sie eine Geldprämie einstreichen. Details zu den Lücken werden unter Verschluss gehalten, bis Softwareanbieter Sicherheitsupdates fertiggestellt haben. Zum ersten Mal können sich die Teilnehmer über Anwendungen und Tools im KI-Kontext hermachen.

Anzeige

Trend Micros initialer Pwn2Own-Wettbewerb startete 2007 in Vancouver. Seitdem tourt das Event durch die ganze Welt und macht nun im Rahmen der OffensiveCon vom 15. bis 17. Mai 2025 erstmals in Berlin halt. Die Konferenz ist jedoch bereits ausverkauft, aber die Veranstalter vom Pwn2Own gehen in einem Beitrag davon aus, dass es zeitnah noch einmal Tickets geben wird.

Ziel des Wettbewerbs ist es, Geräte und Software sicherer zu machen. Dabei nehmen die Teilnehmer Sicherheitslücken in unter anderem Anwendungen, Betriebssystemen und Webbrowsern ins Visier. In diesem Jahr ist die gesamte Geldprämie auf 1 Million US-Dollar festgesetzt.

Überdies stehen noch E-Autos im Fokus. Tesla ist ein Partner des Events und regelmäßig nutzen Teilnehmer etwa Schadcodelücken in Fahrzeugen aus. Vergangenes Jahr führten die Veranstalter die Cloud-Native/Container-Kategorie ein. Dieses Jahr werden Sicherheitsforscher erstmals auf KI-Tools losgelassen. Darunter sind unter anderem Produkte von Chroma und Nvidia. Schafft es ein Teilnehmer, in diesem Kontext Schadcode auszuführen, winken maximal 40.000 US-Dollar.

IT-Forscher haben ein Botnet aus mehr als 130.000 infizierten Systemen dabei beobachtet, wie es Password-Spraying-Angriffe auf Microsoft-365-Konten ausführt. Durch das Probieren von Nutzernamen-Passwort-Kombinationen kann der Zugriff auf nur einfach gesicherte Konten gelingen.

Anzeige

Laut einer Analyse des Unternehmens SecurityScorecard haben die Angreifer insbesondere nicht-interaktive Zugänge mit sogenannter Basic-Authentication im Visier. Dadurch umgehen sie etwa Schutzmechanismen wie Mehr-Faktor-Authentifizierung (MFA). IT-Security-Teams hätten in dieser Kombination oftmals einen blinden Fleck vorzuweisen. Bei den Angriffen setzen die kriminellen Drahtzieher auf Zugangsdaten, die etwa Infostealer bei Opfern abgegriffen haben, und testen sie systematisch für viele Zugänge aus.

Den IT-Forschern zufolge haben Angreifer global mehrere Microsoft-365-Tenants derart attackiert. Das lasse auf eine weiterverbreitete und weiter bestehende Bedrohung schließen. Nicht-interaktive Log-ins dienen üblicherweise der Maschine-zu-Maschine-Kommunikation oder etwa für veraltete Protokolle wie POP, IMAP und SMTP – hierfür komme in vielen Konfigurationen keine MFA zum Einsatz. Organisationen, die lediglich auf Anmeldungs-Überwachung interaktiver Log-ins setzen, seien dafür zudem blind.

SecurityScorecard hat direkte Belege für dieses Verhalten in den nicht-interaktiven Anmelde-Protokollen entdeckt und rät allen Organisationen mit Microsoft-365-Tenants, zügig zu prüfen, ob sie ebenfalls betroffen sind. Sollte das der Fall sein, empfehlen die Autoren der Analyse, die Zugangsdaten zu allen Konten aus den Protokollen zurückzusetzen.

Die US-amerikanische Cybersicherheitsbehörde CISA sagt, Angriffe auf Sicherheitslücken in Adobe Coldfusion und in Oracle Agile Product Lifecycle Management (PLM) beobachtet zu haben. Es handelt sich teils um sehr alte Lücken, Updates stehen zur Verfügung.

Anzeige

In einer der kurzen und knappen Warnungen der CISA listet die Behörde lediglich die Sicherheitslücken auf, auf die sie kürzlich und aktuell Angriffe beobachtet hat. Die in Adobe Coldfusion von Angreifern missbrauchte Schwachstelle betrifft die mitgelieferte Apache-BlazeDS-Bibliothek. Darin klafft eine "wichtige" Java-Deserialisierungs-Lücke (CVE-2017-3066). Adobe hat keine weiteren Informationen zu der Schwachstelle veröffentlicht, es fehlt auch eine Einstufung mit CVSS-Wert. Das Unternehmen hat sie aber bereits im April 2017 mit einem Hotfix für Coldfusion 10, 11 und 2016 ausgebessert.

Die in freier Wildbahn ausgenutzte Sicherheitslücke in Oracle Agile Product Lifecycle Management (PLM) ist hingegen seit einem Jahr bekannt. Die CISA beschreibt sie in ihrer Mitteilung als Deserialisierungslücke, die Schwachstellenbeschreibung selbst verdeutlicht hingegen, dass Angreifer die Lücke in Oracle Agile PLM 9.3.6 einfach mit HTTP-Zugriff und niedrigen Rechten missbrauchen können, um eine Oracle Agile PLM-Instanz vollständig zu übernehmen (CVE-2024-20953, CVSS 8.8, Risiko "hoch").

Wie die Angriffe ablaufen und welchen Umfang oder Auswirkungen sie haben, erläutert die CISA nicht. IT-Verantwortliche sollten die Aktualisierungen spätestens jetzt nachholen.

Im Rahmen des russischen Angriffskriegs gegen die Ukraine haben viele das Vertrauen in den russischen Sicherheitssoftware-Anbieter Kaspersky verloren. In einigen Ländern ist die Software daher bereits auf Regierungs-Computern tabu, so warnt etwa das Bundesamt für Sicherheit in der Informationstechnik (BSI) vor deren Einsatz. Zum vergangenen Wochenende hat nun die australische Regierung die Installation von Kaspersky-Software auf Regierungs-PCs sowie den Einsatz von Kaspersky-Web-Diensten verboten.

Anzeige

Eine knappe News auf der Webseite des zum dortigen Innenministerium (Department of Home Affairs) gehörenden Protective Security Policy Frameworks vom Freitag erklärt, dass das Ministerium die bindende Direktive an Regierungseinrichtungen zum Abwenden eines "Sicherheitsrisikos für den Commonwealth" veröffentlicht habe. Die Direktive fordert demnach, dass australische Regierungseinrichtungen die Installation von Software der Kaspersky Lab, Inc sowie den Einsatz von Web-Services des Unternehmens unterbinden – und wo diese aufgefunden werden, diese in allen Instanzen zu entfernen.

Das PDF zur Direktive liefert ein paar mehr Informationen und Hintergründe. Die australische Innenministerin Stephanie Foster erklärt darin: "Nach Prüfung der Bedrohungs- und Risikoanalyse bin ich zu dem Schluss gekommen, dass die Verwendung von Produkten und Webdiensten von Kaspersky Lab, Inc. durch australische Regierungsstellen ein inakzeptables Sicherheitsrisiko für die australische Regierung, ihre Netzwerke und Daten darstellt, das sich aus der Bedrohung durch ausländische Einmischung, Spionage und Sabotage ergibt. Ich sehe auch die Notwendigkeit eines starken politischen Signals an [Betreiber] kritischer Infrastrukturen und anderer australischer Regierungseinrichtungen zum inakzeptablen Sicherheitsrisiko, das mit der Nutzung von Kaspersky Lab, Inc.-Produkten und Webdiensten verbunden ist."

Bis zum 1. April dieses Jahres müssen alle nicht geschäftlichen Commonwealth-Einrichtungen alle bestehenden Instanzen von Kaspersky-Produkten und -Webdiensten auf australischen Regierungssystemen und -Geräten identifizieren und entfernen. Zudem müssen sie die Installation und Nutzung dieser Produkte und Webdienste verhindern. Am Ende müssen die Regierungseinrichtungen Bericht über den Vollzug der Direktive erstatten. In Ausnahmefällen können Einrichtungen eine Ausnahmegenehmigung in besonderen Fällen anfragen. Diese sind jedoch lediglich zeitlich begrenzt.

Microsoft hat jüngst einige Windows-Vorschauversionen in unterschiedlichen Insider-Kanälen veröffentlicht. Der Hersteller arbeitet an mehreren Features und korrigiert Fehler. Auch das Snipping-Tool erlernt neue Fähigkeiten.

Anzeige

Mitte vergangener Woche hat Microsoft eine Release-Preview-Version von Windows 11 auf Build 26100.3321 herausgegeben, die einen Ausblick auf in Kürze für alle verfügbare Funktionen liefert. Für den schrittweisen Roll-out vorgemerkt ist eine Verbesserung des Akku-Symbols in der Taskleiste. Es soll nun farblich den Zustand widerspiegeln: Grün bedeutet, der Rechner lädt und ist in einem guten Zustand. Gelb weist auf einen Energiesparmodus hin – Windows wechselt standardmäßig ab einem Akkustand von 20 Prozent in diesen Modus. Rot steht für niedrigen Ladestand, der Rechner solle so schnell wie möglich ans Ladekabel. Wie etwa vom Smartphone gewohnt soll nun auch die Möglichkeit hinzukommen, den prozentualen Ladestand direkt neben dem Akku-Symbol anzuzeigen.

Der OpenSSH-Dienst startete nicht mehr, wodurch keine SSH-Verbindungen möglich waren. Das detaillierte Logging fand nicht statt, und Interessierte mussten die "sshd.exe" händisch starten. Das soll ab diesem Build der Vergangenheit angehören.

Gegen Ende vergangener Woche legte Microsoft in den Dev- und Beta-Kanälen des Windows-Insider-Programms mit Build 26120.3291 von Windows 11 weitere neue Funktionen nach. Insbesondere Verbesserungen für Copilot+-PCs stehen ins Haus. Snapdragon-basierende Copilot+-Maschinen sollen durch die Windows-Suche etwa Dateien finden können, die in der Cloud abgelegt wurden. Microsoft zeigt als Beispiel das Auffinden von Fotos aus der Cloud, die über Inhaltsbeschreibungen gefunden werden.

IT-Sicherheitsforscher haben eine Malware aus dem Google-Play-Store entdeckt, die auf zigtausende Installationen kommt. Es geht um Finanzkriminalität, sie erpresst Opfer etwa mit sensiblen Daten, die auf deren Android-Smartphones liegen.

Anzeige

In einer Analyse nehmen IT-Forscher von Cyfirma die Malware auseinander. Sie steht respektive stand in Googles Play Store unter dem Namen "Finance Simplified" vom Anbieter com.someca.count zur Installation bereit. Die weiteren schädlichen Apps tragen den Installationspaket-Namen "KreditApple.apk" von com.kreditapplepronew.com, "Pokketme.apk" von com.poklaan.frein sowie "StashFur.apk" von com.stashfurpro.com. Cyfirma zufolge war die bösartige App "Finance Simplified" kurz vor dem Wochenende noch im Play Store verfügbar. Jetzt zeigt Google jedoch beim Versuch, die zugehörige Seite aufzurufen, eine 404-Fehlermeldung.

Die Täter suchen derzeit Opfer in Indien. Die Apps sollen "räuberische Kreditanfragen" stellen. Basierend auf Lokalisierung erhalten indische Interessenten nicht autorisierte Kredit-Apps angezeigt, die innerhalb der WebView-Komponenten laufen, wodurch die Angreifer die Schutzmechanismen des Play-Stores unterlaufen. Nach der Installation sammeln die Malware-Apps sensible Nutzerdaten, versuchen, ihnen ausbeuterische Kredite zu vermitteln, und setzen Erpressungsversuche zum Abpressen von Geld um.

Die Kampagne missbrauche das Vertrauen von Interessierten in Finanz-Tools und App-Stores. Sie zeige aber auch, welche fortschrittlichen Methoden Kriminelle zur Vermeidung der Erkennung und zum Anrichten von signifikantem Schaden verwendeten, erklären die IT-Forscher.

Die Telekom hat angekündigt, eine Schutzfunktion für die eigenen Kundinnen und Kunden zu installieren: Eine "SMS-Firewall". Sie soll Empfänger vor bösartigen Nachrichten schützen, durch die sie etwa Malware installieren oder auf Betrugsmaschen hereinfallen könnten.

Anzeige

Gegenüber heise online äußerte die Telekom: "Ab dem 1. April 2025 schützen wir die Kundinnen und Kunden im Telekom Mobilfunknetz mit einer so genannten SMS-Firewall vor bösartigen Kurznachrichten. Als fester Bestandteil des Netzes wirkt sie ebenso für die Kundinnen und Kunden von Congstar und Fraenk." Das Unternehmen konzentriere sich zunächst "auf die SMS, die einen Link zu Schadsoftware enthalten". Nach und nach will die Telekom "im Rahmen der Einführungs-Phase den Fokus erweitern."

Die alte SMS ist noch rege im Einsatz, sagte uns die Telekom: "Die SMS leistet noch immer gute Dienste zum Jahreswechsel: Rund fünf Millionen SMS haben Kundinnen und Kunden in der ersten Nacht des neuen Jahres verschickt." Natürlich kommen sehr oft aber auch schädliche Nachrichten an. Im vergangenen Jahr gab es tausende Beschwerden bezüglich Abzocke mit angeblichen Paket-SMS bei der Bundesnetzagentur.

Auf unsere Nachfrage, die wir auf Basis Anfragen besorgter Lesern gestellt haben, ob die Telekom nun SMS mitlese, gab es hingegen keine konkrete Antwort. Die dpa betont diesbezüglich, dass die SMS wie ein Telefonat dem Fernmeldegeheimnis unterliege und durch das Telekommunikationsgesetz geschützt sei. Nur in gesetzlichen Ausnahmefällen, etwa zur Strafverfolgung, dürften Mobilfunkanbieter die Inhalte von Nachrichten einsehen oder analysieren. Das erschwert eine Erkennung betrügerischer SMS.

Wer Netzwerkverkehr mit Wireshark untersucht, sollte das Tool zeitnah auf den aktuellen Stand bringen. Geschieht das nicht, können Angreifer Systeme attackieren. In der aktuellen Version haben die Entwickler eine Sicherheitslücke geschlossen und mehrere Bugs beseitigt.

Anzeige

Wireshark 4.4.4 steht ab sofort zum Download bereit. Die geschlossene Schwachstelle (CVE-2025-1492 "hoch") betrifft Wireshark 4.4.0 bis einschließlich 4.4.3 und 4.2. bis einschließlich 4.2.10.

In einem Beitrag zur Lücke schreiben die Entwickler, dass Angreifer die Komponenten "Bundle Protocol" und "CBOR dissectors" abstürzen lassen können. Um solch einen DoS-Zustand auszulösen, müssen Opfer aber ein von Angreifern präpariertes Paket mit dem Tool verarbeiten. Auf einem nicht näher beschriebenen Weg sollen Angreifer solche Pakete auch via Packet Injection einspeisen können.

Neben dem Sicherheitspatch haben die Entwickler noch mehrere Probleme in Wireshark gelöst. So verarbeitet etwa TShark nun Adressen in Custom-Host-Dateien korrekt. Weitere beseitigte Fehler sind im Changelog aufgelistet.

Eine aktuelle Phishing-Masche missbraucht eine Funktion für Adressänderungen und -Ergänzungen in Paypal, um an serverseitigen Filtermechanismen vorbeizuschlüpfen. Um Opfer zu unbedachten Handlungen zu verleiten, weisen die Mails auf teure gekaufte Gegenstände hin, die mit der Adressänderung zusammenhängen würden.

Anzeige

Das Online-Medium BleepingComputer berichtet von der Masche. Auf Reddit schreiben Nutzer über E-Mails, die von Paypal stammen und angeben, dass die Empfänger eine neue Adresse zu ihrem Konto hinzugefügt hätten. Die Mail sei eine kurze Bestätigung, dass die neue Adresse dem Paypal-Konto hinzugefügt wurde.

Der weitere Mail-Text gibt vor, dass ein teurer Einkauf an die neue Adresse gesendet werde, konkret etwa ein Macbook M4 Max. Sofern Empfänger diese Aktualisierung nicht autorisiert hätten, sollten sie eine angegebene Telefonnummer anrufen. Wie BleepingComputer berichtet, verbergen sich hinter der Nummer jedoch die Betrüger. Sie wollen Anrufer dazu bringen, zu glauben, dass der eigene Paypal-Zugang geknackt wurde und durch Starten von bestimmter Software der Zugriff wiederzuerlangen und die angebliche Transaktion rückgängig gemacht werden könne.

Auf der von Betrüger angegebenen Webseite wartet jedoch ein ConnectWise-ScreenConnect-Client, der den Angreifern Zugriff auf den Rechner gibt. BleepingComputer hat an der Stelle abgebrochen, üblicherweise stehlen Betrüger mit derartigem Zugang dann Geld von Bankkonten, installieren Malware oder kopieren sensible Daten vom Computer, erklären die Autoren.

Es ist der wohl bisher größte Krypto-Diebstahl überhaupt: Cyberkriminelle haben es geschafft, Digitalwährung im Wert von 1,5 Milliarden US-Dollar beim Dienstleister Bybit illegal abzuschöpfen.

Anzeige

Offenbar gelang es den Tätern am Freitag, die Bybit-Verantwortlichen bei einer Routine-Transaktion zu täuschen, sodass das Guthaben, vorwiegend in Form der Kryptowährung Ethereum, an eine unbekannte Adresse wanderte anstatt auf ein Wallet von Bybit. Hintergrund der Transaktion war die Übertragung von einem sogenannten Cold Wallet, einem Offline-Wallet zu Speicherzwecken, auf ein Warm Wallet für den Online-Handel.

Wenig später gab Bybit-CEO Ben Zhou die Panne in einem Livestream bekannt. Demnach seien 401.000 Währungseinheiten Ethereum entwendet worden. Den Tätern sei es gelungen, die korrekte Adresse für die Transaktion vorzutäuschen, obwohl dahinter tatsächlich eine unbekannte falsche Adresse gesteckt habe. Nachdem Bybit darauf hereingefallen war, konnten die Cyberkriminellen laut Zhou die Kontrolle über das Cold Wallet übernehmen und das Guthaben verschieben.

Der Krypodienstleister Arkham Intelligence bestätigte Abflüsse von Kryptowährung im Wert von über einer Milliarde US-Dollar von der Bybit und schrieb auf X, dass die Beträge "begonnen haben, an neue Adressen zu gehen, wo sie verkauft werden".

Anzeige

In der Programmiersprache Java spielt String als eine unveränderliche (immutable) Klasse eine zentrale Rolle in der Speicherverwaltung sowie bei der Lebensdauer von Zeichenketten. Anknüpfend an die beiden vorangegangenen Beiträge Sicherere Passwörter mit Salt, Pepper und Hashing und Sichere Datenhaltung in der JVM – Risiken und Best Practices erläutert dieser Artikel nochmals detailliert die sich daraus für Entwicklerinnen und Entwickler ergebenden Konsequenzen beim sicheren Programmieren.

Aufgrund der Unveränderlichkeit der Klasse erzeugt jeder Versuch, einen String zu modifizieren, in Wirklichkeit eine neue Instanz, anstatt den ursprünglichen Wert zu verändern. Dieses Design führt dazu, dass String-Objekte effizient im String Pool verwaltet werden, einem speziellen Bereich im Heap-Speicher, in dem String-Literale gespeichert und wiederverwendet werden.

Ein neu deklariertes String-Literal wird standardmäßig im String Pool abgelegt. Falls bereits eine identische Zeichenkette existiert, wird die Referenz auf das existierende Objekt zurückgegeben, anstatt eine neue Instanz zu erzeugen. Diese Speicheroptimierung reduziert Redundanzen und minimiert den Speicherverbrauch.

Wird jedoch ein String-Objekt explizit mit new String("...") erzeugt, so wird ein separater Speicherbereich auf dem Heap angelegt, der unabhängig vom String Pool ist. Dies kann zu unerwartetem Speicherverbrauch führen, wenn viele solcher Objekte erzeugt werden. Die Garbage Collection entfernt nicht referenzierte String-Instanzen aus dem Heap, während der String Pool von der internen JVM-Optimierung abhängt, insbesondere durch die Methode intern().

Der quelloffene Video-Codec OpenH264 ist von einer gravierenden Sicherheitslücke betroffen. Angreifer können sie missbrauchen, um Opfern Schadcode unterzuschieben.

Anzeige

Im Github-Projekt hat Cisco eine Sicherheitsmitteilung dazu veröffentlicht und erörtert darin Details. Angreifer aus dem Netz können ohne vorherige Authentifizierung einen Heap-basierten Pufferüberlauf provozieren. Das geht auf eine Race-Condition bei der Verarbeitung von Videoströmen zurück. Das können Angreifer mit einem sorgsam präparierten Bitstrom – also einer manipulierten Video-Datei – missbrauchen, zu dessen Anzeige sie Opfer lediglich verleiten müssen, um "einen unerwarteten Absturz im Decoding-Client des Opfers auszulösen, und möglicherweise beliebigen Befehle auf dem Rechner des Opfers durch Missbrauch des Überlaufs auszuführen" (CVE-2025-27091, CVSS 8.6, Risiko "hoch").

OpenH264 unterstützt Scalable Video Coding (SVC), bei dem Videos mit mehreren Bitraten codiert werden, und den Modus Advanced Video Coding (AVC) für die einzelnen Videoströme. Die Schwachstelle tritt in beiden Modi auf.

Die Schwachstelle betrifft OpenH264 in Version 2.5.0 und älter. Auf Github steht inzwischen Version 2.6.0 bereit, die die Sicherheitslücke nicht mehr enthält.

Um die Ransomware "Black Basta" wurde es in jüngster Zeit still. Mitte Januar veröffentlichten die Betreiber der Darknet-Leaksite zuletzt Opfer ihrer Angriffe. Offenbar liegt das an internen Streitigkeiten, wie nun bekannt wurde. Die Köpfe hinter der "Ransomware as a Service" (RaaS) waren unter anderem über Angriffe auf russische Banken uneins, neideten einander aber offenbar auch die ungleichen Diebeslöhne. Ein Insider trug nun Chatnachrichten der Organisation und veröffentlichte diese. Forscher fütterten ChatGPT damit.

Anzeige

Der unbekannte Zuträger lud ein knapp 50 MByte großes Archiv auf einem Sharehoster hoch, das Einblicke in die Struktur der "Black Basta"-Organisation erlaubt. Hinter diesem Namen verbirgt sich ein Geschäftsmodell, das Kriminellen gegen Zahlung einer Gebühr und einer Gewinnbeteiligung Zugriff auf die gleichnamige Ransomware, aber auch Infrastruktur wie die sogenannte "Leaksite" gestattet. Die kriminellen Abonnenten von Black Basta, bekannt als "Affiliates", führen Angriffe jedoch auf eigenes Risiko aus. Eine Provision, oft ein prozentualer Anteil des Lösegelds, fließt zurück an die Betreiber des Ransomware-Franchise. Viele RaaS-Anbieter geben Affiliates Regeln für mögliche Opfer vor – so verbietet Lockbit etwa Angriffe auf Ziele in Staaten der GUS mit Verweis auf die Herkunft des Ransomware-Programms. Affiliates von Black Basta wollten offenbar aus Geldgier russische Banken angreifen, was mindestens einem Akteur ein Dorn im Auge war.

Neben allerlei kleineren und größeren Disputen um Gehaltszahlungen und persönliche Streitigkeiten zwischen den Black-Basta-Affiliates enthält das Datenleck jedoch auch Informationen, die Sicherheitsforschern spannende Blicke in die technischen Interna des Programms bieten. Das auf Threat Intelligence, also Informationsbeschaffung zu Bedrohungsakteuren, spezialisierte Unternehmen Hudson Rock fütterte das LLM ChatGPT mit allen Informationen aus den Chatprotokollen und trainierte so einen Ransomware-Chatbot.

Im von ChatGPT gewohnten Gewand beantwortet die KI nun Neugierigen allerlei Fragen, etwa die nach den häufigsten Taktiken des RaaS-Programms oder den Personen hinter der Ransomware. Auch Einzelheiten der Verhandlungen mit ihren Opfern plaudert der Chatbot aus. So scheinen sich die Black-Basta-Affiliates auf Portalen wie ZoomInfo über den Umsatz ihrer Opfer zu informieren, bevor sie in Verhandlungen eintreten – und dann posieren die Kriminellen als seriöse Geschäftsleute und argumentieren mit typischen Business-Phrasen wie "kumulierter End-of-Year-Cashflow".

Die US-amerikanischen Behörden CISA, FBI und das Multi-State Information Sharing and Analysis Center (MS-ISAC) haben gemeinsam eine Analyse der Aktivitäten der Ransomware-Bande Ghost veröffentlicht. Darin bündeln sie Erkenntnisse aus Untersuchungen von Cybervorfällen.

Anzeige

In der Sicherheitsmitteilung schreiben die Behörden, dass die kriminellen Machenschaften von Ghost Anfang 2021 starteten. Sie attackieren seitdem im Internet erreichbare Dienste, die auf veraltete Versionen der Software oder Firmware setzen. Dabei haben Sie Einrichtungen in mehr als 70 Ländern kompromittiert – auch in China. Dort verorten die Autoren auch den Sitz der Bandenmitglieder. Ihre Angriffe dienten der finanziellen Bereicherung.

Die betroffenen Opfer stammten aus diversen Bereichen: Kritische Infrastruktur (KRITIS), Schulen und Universitäten, Gesundheitswesen, Regierungsnetzwerke, religiöse Einrichtungen, Firmen aus Technik und Produktion sowie zahlreiche kleine und mittlere Unternehmen. Die Ghost-Bandenmitglieder sind äußerst agil. Sie wechseln die ausführbare Payload, ändern Datei-Suffixe für verschlüsselte Dateien, modifizieren die Erpresserbotschaften und nutzen diverse Erpresser-E-Mail-Adressen. Das führte im Laufe der Zeit zu diversen unterschiedlichen Namen für ein und dieselbe Gruppe, etwa Ghost, Cring, Crypt3r, Phantom, Strike, Hello, Wickrme, HsHarada und Rapture.

Gleichzeitig sind die Ghost-Täter auch etwas faul. Sie arbeiten offenbar nicht selbst an Exploits für Schwachstellen, sondern bedienen sich einfach an öffentlich verfügbarem Exploit-Code für Sicherheitslücken, die sehr veraltete Software auf Server im Internet zum Ziel haben. Die Autoren haben Angriffe von Ghost auf Sicherheitslücken in Fortinet FortiOS (CVE-2018-13379), Server mit Adobe ColdFusion (CVE-2010-2861, CVE-2009-3960), Microsoft SharePoint (CVE-2019-0604) sowie Microsoft Exchange (CVE-2021-34473, CVE-2021-34523 und CVE-2021-31207, die Verkettung ist auch als "ProxyShell" bekannt) beobachtet, also teils mehr als 15 Jahre alte Schwachstellen.