TOKIO / LONDON (IT BOLTWISE) – Google Mandiant beschreibt eine aktiv ausgenutzte Kritikalücke im KnowledgeDeliver-LMS, die Angreifern die Installation von Webshells und persistenter Malware ermöglicht hat. Der Angriff baut auf hardcodierten ASP.NET machineKeys auf und nutzt ViewState-Deserialisierung, um per Remote-Request Code auszuführen. Besonders brisant: Die Kampagne ging nach der Serverkompromittierung weiter und manipulierte JavaScript sowie Nutzeraktionen mit gefälschten Sicherheitsmeldungen. Für Betreiber internetfähiger Lernplattformen bedeutet das: Patch- und Schlüsselrotation müssen jetzt priorisiert werden.
Google Mandiant warnt vor einer Kritikalücke im KnowledgeDeliver Learning Management System, die nicht nur theoretisch existierte, sondern offenbar bereits im Feld aktiv ausgenutzt wurde. Betroffen sind laut den Untersuchungen sämtliche Deployments, die vor dem 24. Februar 2026 noch nicht gepatcht waren. Für Unternehmen und Bildungseinrichtungen ist das besonders heikel, weil das LMS in Japan sowohl im Enterprise-Umfeld als auch in eLearning-Szenarien genutzt wird und damit eine große Angriffsfläche für langfristige Kompromittierung bietet. Der Kern des Problems liegt in einer elementaren Designentscheidung: Wenn wiederverwendete Secrets über mehrere Installationen hinweg gestreut werden, skaliert ein einzelner Leck schnell zum Ökosystem-Risiko.
Technisch betrachtet nutzt der Angriff eine Schwachstelle, die als CVE-2026-5426 geführt wird. Sie ermöglicht eine nicht autorisierte Remote Code Execution, indem Angreifer hardcodierte ASP.NET machineKeys verwenden, die in älteren Versionen in einer standardisierten web.config-Datei hinterlegt waren. Diese machineKeys sind in ASP.NET dafür zuständig, Daten zu verschlüsseln und Signaturen zu erzeugen, unter anderem auch für ViewState-Payloads. Wenn die gleichen Schlüssel wiederverwendet werden, können Angreifer Informationen aus einer kompromittierten Instanz ableiten und damit auch andere öffentlich erreichbare KnowledgeDeliver-Umgebungen angreifen, die dieselben kryptografischen Parameter verwenden.
Die konkrete Angriffskette folgt einem Muster, das Mandiant als besonders effektiv beschreibt: Sobald Angreifern die machineKey-Werte bekannt sind, können sie bösartige ViewState-Payloads konstruieren. Diese Payload wird dann über eine HTTP-Anfrage an die betroffene Anwendung übermittelt, woraufhin der Server die Payload deserialisiert. Entscheidend ist dabei, dass ViewState-Deserialisierung in ASP.NET schon lange als riskanter Pfad gilt, wenn Ein- und Ausgaben nicht sauber abgesichert sind. Ähnliche Techniken wurden zuvor bei anderen Plattformen beobachtet, etwa bei Sitecore und CentreStack, was zeigt, dass sich Angreifer auf wiederkehrende Schwachstellen in der .NET-Ökosystemlogik stützen und nicht bei Null anfangen müssen.
Nach der ersten Kontrolle über den Server verschoben die Angreifer den Fokus auf Persistenz und Tarnung. Laut Mandiant wurde zunächst die Godzilla-Webshell installiert, die auch unter dem Namen BLUEBEAM bekannt ist. Das Schadprogramm läuft dabei direkt im IIS-Worker-Prozess w3wp.exe, wodurch klassische Antiviren-Signaturen und rein dateibasierte Detektionsansätze weniger greifen. In der Praxis bedeutet das: Kommandos können remote ausgeführt werden, zusätzliche Payloads lassen sich nachladen, und die Angreifer können Rechte innerhalb des Webserver-Kontexts ausweiten. Auffällig war zudem, dass über Systemkommandos wie icacls Berechtigungen so angepasst wurden, dass breite Zugriffsmöglichkeiten entstehen, wodurch der Handlungsspielraum im kompromittierten System wächst.
Auch die folgenden Prozesssignale passen in ein typisches Post-Exploitation-Bild. Mandiant beobachtete ungewöhnliche Kindprozesse, die aus w3wp.exe heraus gestartet wurden, darunter cmd.exe und powershell.exe sowie einfache Recon-Kommandos wie whoami. Diese Kombination ist in produktiven Umgebungen zwar nicht unmöglich, aber in diesem Kontext ein starker Indikator für Missbrauch des Webserver-Kontexts. Zusätzlich deutet die Beobachtung auf eine bewusst orchestrierte Kampagnen-Logik hin: erst Zugriff, dann Webshell, dann systematische Erweiterung der Kontrolle und schließlich das Anstoßen weiterer Komponenten. Im Ergebnis wird aus einer einmaligen Schwachstellen-Ausnutzung eine länger andauernde Angriffsphase, bei der Monitoring allein über das „Initial Access“-Event hinausgehen muss.
Besonders gefährlich ist jedoch, dass die Kampagne nicht bei der Serverkompromittierung stehen blieb. Mandiant berichtet, dass Angreifer JavaScript-Dateien, die im LMS gehostet werden, manipuliert haben, um still und unbemerkt weitere schädliche Skripte von Angreifer-dominierten Infrastrukturen nachzuladen. Parallel dazu wurden Nutzer beim Besuch der betroffenen Lernplattform mit gefälschten Sicherheitswarnungen konfrontiert, die dazu drängen, eine „security authentication plugin“ zu installieren. Diese Social-Engineering-Komponente dient als Brücke vom kompromittierten Server zur Endanwender-Interaktion. Der vermeintliche Installer führt dann zur Auslieferung von Cobalt Strike Beacon, einem in vielen realen Angriffen häufig missbrauchten Framework.
Dass der Payload-Teil „gezielt“ wirkte, beschreibt Mandiant anhand eines Verschlüsselungsdetails: Die verwendeten Schlüssel/Parameter nutzten den Namen der kompromittierten Organisation. Solche Hinweise deuten weniger auf generischen Crimeware-Einsatz hin, sondern auf Vorbereitung und Anpassung an einzelne Ziele. Aus Marktsicht unterstreicht das zudem, dass Angreifer heute nicht nur Tooling einkaufen, sondern Kampagnen so zuschneiden, dass Erkennungsrisiken sinken und Erfolge steigen. Der Einsatz von Cobalt Strike und memory-resident Webshelln zeigt außerdem, dass moderne Angriffe die Grenzen typischer Verteidigungsmodelle ausloten: Wenn ein System „läuft“, aber Inhalte und Skripte manipulierbar sind, reicht reine Infrastrukturüberwachung nicht aus.
Für Betreiber ergibt sich daraus eine klare Sicherheitspriorisierung. Mandiant fordert, KnowledgeDeliver-Instanzen vor dem 24. Februar 2026 als potenziell kompromittiert zu betrachten, sofern sie nicht gepatcht wurden. Zentral ist die Rotation der ASP.NET machineKeys, weil die Kompromittierung eng an das Wiederverwenden dieser Schlüssel gekoppelt ist. Ergänzend sollten Zugriffe auf das LMS restriktiver gestaltet werden, etwa durch Einschränkung auf vertrauenswürdige IP-Bereiche, sowie Event-Logs wie Event ID 1316 im Blick behalten werden, um ViewState-Exploit-Versuche früh zu erkennen. Ebenso wichtig ist das systematische Prüfen auf unautorisierte Modifikationen an JavaScript-, ASPX- und Konfigurationsdateien sowie auf verdächtige Child-Prozesse rund um w3wp.exe. Insgesamt wird hier eine Schwachstelle aus der klassischen „Softwarehygiene“ zur akuten Breitenwirkung.
Historisch ist das Problem nicht neu: In vielen .NET-basierten Webanwendungen führten wiederverwendete Secrets oder unzureichend gehärtete Deserialisierungswege bereits zu ernsten Sicherheitsvorfällen. Neu ist vor allem die Kombination aus Skalierung über shared secrets und anschließender Weiterentwicklung in Richtung Nutzerbeeinflussung. Unternehmen, die Lern- und Fachanwendungen internetseitig betreiben, sollten deshalb Default-Installationen und Standardkonfigurationen als Risiko betrachten, nicht als Komfortfeature. Für die Verteidiger bedeutet das auch: Incident Response muss Fachlogik (ViewState), Plattformpfade (IIS/w3wp) und Endpunkt-/User-Signale (Manipulation von Browser-Interaktionen und Dropper-Logik) zusammenführen. Wenn sich dieser Trend fortsetzt, werden Entwicklerteams stärker in „Security-by-Configuration“ investieren müssen, weil sonst ein einzelner Fehler in der Schlüssel- oder Hardening-Schicht künftig schneller zum unternehmensweiten Vorfall wird.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "KnowledgeDeliver: Kritische ASP.NET-Lücke ermöglichte Webshells und Backdoors" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "KnowledgeDeliver: Kritische ASP.NET-Lücke ermöglichte Webshells und Backdoors" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »KnowledgeDeliver: Kritische ASP.NET-Lücke ermöglichte Webshells und Backdoors« bei Google Deutschland suchen, bei Bing oder Google News!