BELGIEN / LONDON (IT BOLTWISE) – Sicherheitsforscher melden eine deutliche Eskalation: Die APT-Gruppe Webworm verlagert ihr Vorgehen nach Europa und kombiniert dazu moderne KI-Ansätze mit legitimen Cloud- und Kommunikationsdiensten. Damit wird die Abwehr schwieriger, weil klassische Filter verdächtige Verbindungen weniger zuverlässig stoppen. Parallel verdichten sich Hinweise auf KI-gestützte Malware-Entwicklung im Umfeld iranischer Gruppen sowie auf Angriffe, die Entwickler in der Software-Lieferkette adressieren. Für Unternehmen bedeutet das: Schutzstrategien müssen sich stärker auf Identitäts- und Entwicklungsumgebungen ausrichten, nicht nur auf klassische Endpunktabwehr.
Europa rückt nach den neuesten Ermittlungen stärker ins Visier hochqualifizierter Angreifer. Besonders auffällig ist, dass sich die Taktiken weg von „rein verdächtigen“ Infrastrukturmerkmalen bewegen und stattdessen auf den Missbrauch legitimer Plattformen setzen. Sicherheitsbehörden und Forschende warnen, dass chinesische, iranische und russische Gruppen ihre Kampagnen zunehmend mit KI-gestützten Elementen sowie mit Cloud-Services und gängigen Kommunikationswegen verbinden. Dadurch entstehen Angriffsverläufe, die sich im Unternehmensalltag eher wie Betrieb verhalten als wie ein klarer Cyberangriff.
Im Zentrum der aktuellen Meldung steht die chinesische APT-Gruppe Webworm, die seit mindestens 2022 aktiv ist und nun gezielt europäische Regierungsumgebungen anspricht. Laut den Erkenntnissen, die Anfang Mai 2026 öffentlich diskutiert wurden, führte die Gruppe eine spürbare Modernisierung ihres „Toolkits“ durch. Ein Kernbaustein nutzt Discord als Steuer- und Kommunikationskanal, während ein weiterer Teil die Microsoft-Graph-API einbindet. Diese Strategie wirkt wie eine Tarnschicht: Statt über auffällige Command-and-Control-Server zu kommunizieren, nutzen die Angreifer Wege, die in normalen IT-Setups bereits existieren und von vielen Überwachungsprozessen weniger streng behandelt werden.
Technisch betrachtet ist das entscheidend, weil „Living off the Cloud“ nicht nur Infrastruktur, sondern auch Datenflüsse verändert. Wer Microsoft Graph oder ähnliche Schnittstellen missbraucht, kann administrative Metadaten, Rolleninformationen oder Kommunikationsmuster so verpacken, dass sie zunächst plausibel wirken. Sicherheitsmaßnahmen müssen dadurch mehr als nur IP-Reputation und Blocklisten leisten: Sie brauchen eine Verhaltensanalyse, die abweichende Zugriffsmuster, ungewöhnliche Zeitprofile und auffällige Permission-Nutzungen gegen die Erwartungen des jeweiligen Unternehmens abgleicht. Im Vergleich zu einem klassischen C2-Design ist das komplexer, weil die Angreifer legitime Authentifizierung und legitime Transportwege ausnutzen können.
Markt- und Branchenbeobachter ordnen diese Entwicklung als konsequente Verschiebung in eine länger laufende Operationslogik ein. Angriffe, die über Wochen oder Monate bestehen, lassen sich selten mit einer einzigen „Detektionsregel“ beenden; sie erfordern Prozessdisziplin in Incident-Response, Threat Hunting und in der Systemhärtung. Als prominentes Signal für Gegenmaßnahmen gilt zudem die Zerschlagung des Glassworm-Botnetzes: Ein Bündnis um CrowdStrike, Google und die Shadowserver Foundation adressiert dabei Botnetze, die Entwickler über kompromittierte Repositories und bösartige Erweiterungen erreicht haben. Solche Kooperationen zeigen, dass auch die Verteidigerseite mehr vernetzt arbeitet, als es früher der Fall war.
Während Webworm den Regierungsfokus betont, intensiviert eine mit dem Iran verbundene Gruppe ihre Aktivitäten offenbar in Bereichen wie Luftfahrt, Software und Energie. Die Kampagne unter dem Codenamen „Operation Epic Fury“ verlief über mehrere Wellen von Februar bis April 2026. Dabei wurden zunächst ZIP-Dateien missbraucht, die als legitime Office- oder Produktdateien wirken sollten; später folgten Installer-Varianten, die eine neue Schadsoftware namens MiniFast verteilen konnten. Besonders brisant ist, dass im April erstmals SEO-Poisoning zum Einsatz kam: Gefälschte Inhalte locken Entwickler und Fachkräfte in eine technische Falle, während die Code-Strukturen von MiniFast Hinweise auf KI-unterstützte Entwicklung liefern.
Genau an dieser Stelle liegt der Branchenkern: KI senkt die Hürde für komplexe Anpassungen in Malware-Code, Übersetzungen, Layout- und Paketierungslogik. Gleichzeitig steigt die Geschwindigkeit, mit der Angreifer ihre Werkzeuge iterieren. Für Unternehmen bedeutet das, dass das Sicherheitsmodell stärker „shiftet“: vom Schutz nach dem ersten Kompromittieren hin zu Schutz in der vorgelagerten Kette. Wenn Kampagnen wie „TrapDoor“ sensible Daten über Pakete auf Plattformen wie npm, PyPI oder Crates.io abgreifen und dabei sogar Dateien von KI-gestützten Programmierassistenten manipulieren, dann wird eine Entwicklungsumgebung selbst zum Angriffsvektor. In der Praxis verschiebt sich damit die Priorität zu Supply-Chain-Absicherung, Secret-Handling und Rechten in CI/CD-Pipelines.
Auch Strafverfolgungsmaßnahmen unterstreichen, dass nicht nur Code, sondern die Schatten-Infrastruktur bekämpft wird. Im Mai 2026 berichtete die niederländische Steuerfahndung FIOD über Festnahmen in Amsterdam und Den Haag, verbunden mit dem Betrieb eines „bulletproof“-Hosting-Dienstes. Solche Fälle zeigen, dass Angreifer häufig über Tarnfirmen und abgestufte Hosting- und Weiterleitungsstrukturen arbeiten, die erst durch Zusammenspiel von Technik, Forensik und Ermittlungsarbeit sichtbar werden. Parallel kam es in einem weiteren Fall zu einer Auslieferung an die USA, was die internationale Dimension dieser Angriffe bestätigt, gerade wenn medizinische oder forschungsnahe Ziele adressiert werden.
Schließlich verschärft sich die Lage durch Angriffe, die Identitäten und Authentifizierung aushebeln. Wenn Phishing zunehmend als Service verfügbar ist und selbst weniger versierte Angreifer etwa über die Umgehung von Zwei-Faktor-Authentifizierung agieren können, verlieren reine Schulungsmaßnahmen an Effektivität, sofern sie nicht mit technischen Kontrollen gekoppelt werden. Sicherheitsforscher weisen in diesem Zusammenhang wiederholt darauf hin, dass die Kombination aus granularen Berechtigungen, überwachten OAuth-Scopes und konsequenter Absicherung von Entwicklerkonten der „Hebel“ ist, um den Schaden bei kompromittierten Credentials zu begrenzen. Denn ein einzig kompromittierter Entwickler kann über mehrere Repositories, Abhängigkeiten und Deployments eine weitreichende Kaskade auslösen.
Ausblickend erwarten Branchenexperten, dass der Missbrauch seriöser Cloud-Infrastruktur weiter zunimmt. Deshalb müssen Sicherheitsanbieter ihre Erkennungsmodelle stärker auf Kontext, Identität und Verhalten ausrichten statt nur auf Signaturen. Gleichzeitig sprechen die Zerschlagung von Glassworm und die Festnahmen in den Niederlanden dafür, dass Behörden entschlossener gegen Hosting- und Vermittlungsstrukturen vorgehen. Für europäische Regierungen und Unternehmen bleibt der entscheidende Punkt die Koordination zwischen Forschung, Security-Anbietern und Ermittlungsbehörden, um Indikatoren schnell in passende Schutzmaßnahmen zu überführen. In den kommenden Quartalen wird für viele Organisationen der Schutz von KI-Entwicklungswerkzeugen, der Härtung von Entwicklerumgebungen und der Absicherung der Software-Lieferkette zum zentralen Investitionsfeld werden.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "APT Webworm modernisiert und greift europaweit Regierungen an" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "APT Webworm modernisiert und greift europaweit Regierungen an" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »APT Webworm modernisiert und greift europaweit Regierungen an« bei Google Deutschland suchen, bei Bing oder Google News!