LONDON (IT BOLTWISE) – Gamaredon nutzt die WinRAR-Sicherheitslücke CVE-2025-8088, um gezielt ukrainische Systeme zu kompromittieren. Im Zentrum der Kampagne steht eine modulare Infektionskette mit der Erstinfektion über den VBScript-Wurm GammaWorm und anschließendem Datendiebstahl durch GammaSteel. Auffällig ist dabei die Infrastruktur: Die Steuerung läuft über Telegram, während der Abfluss der Daten in Amazon-Web-Services-Cloudspeicher (AWS S3) verlagert wird. Sicherheitsverantwortliche müssen deshalb nicht nur Patches priorisieren, sondern auch Cloud-Exfiltration und ungewöhnliche Telegram-Nutzung im Blick behalten.
Die Sicherheitslage rund um Kompressions-Software nimmt weiter Fahrt auf: In einer neuen Beobachtung wird eine staatlich zugerechnete Hackergruppe mit der Nutzung einer Schwachstelle in WinRAR in Verbindung gebracht. Konkret geht es um CVE-2025-8088, über die ein Exploit auf den Zielrechner gelangt und dort eine mehrstufige Kompromittierung anstößt. Für Unternehmen ist das besonders unbequem, weil WinRAR in vielen Umgebungen als „Standard-Werkzeug“ für das Entpacken von Dateien präsent ist und Angreifer damit an einen vertrauten Pfad anknüpfen können.
Im konkreten Ablauf setzen die Angreifer nach den vorliegenden Analysen auf zwei spezialisierte Komponenten. Der VBScript-Wurm GammaWorm dient dabei als Initialzündung: Er verbreitet sich, etabliert ersten Zugriff und schafft eine Basis im Zielnetz. Darauf folgt das Spionage-Tool GammaSteel, dessen Schwerpunkt nicht primär die weitere Ausbreitung ist, sondern die Exfiltration entwendeter Informationen. Diese Trennung in „Verbreiten“ und „Ausleiten“ ist für die Verteidigung wichtig, weil sich daraus unterschiedliche Erkennungs- und Härtungsansätze ableiten lassen.
Besonders relevant für die operative Abwehr ist zudem die Art, wie die Kampagne strukturiert ist. Laut Analysen eines Sicherheitsunternehmens setzt Gamaredon auf eine modulare Infektionskette. Das bedeutet: Je nach Zielumgebung können Schadbausteine flexibel nachgeladen oder angepasst werden, statt dass ein einziger, starrer Schadcode von Anfang bis Ende durchlaufen muss. In der Praxis erleichtert diese Modularität sowohl das Feintuning gegen unterschiedliche Betriebssystem- und Rechtekonstellationen als auch das schnelle Reagieren auf Sicherheitsmaßnahmen. Für Verteidiger heißt das: „Einmal bereinigt“ reicht oft nicht, wenn persistente Zugänge oder spätere Funktionsmodule noch unentdeckt sind.
Ein weiterer Dreh- und Angelpunkt liegt in der Kommunikation. GammaWorm nutzt den Messaging-Dienst Telegram, um mit Command-and-Control-Servern (C2) zu sprechen. Der strategische Vorteil liegt auf der Hand: Telegram ist weit verbreitet, und damit kann ein Teil der bösartigen Aktivität eher im normalen Netzwerkverkehr „untertauchen“. Zwar ist Telegram-Nutzung für sich genommen kein Beweis für Malware; entscheidend ist jedoch, wie regelmäßig, von welchen Hosts und zu welchen Zeiten solche Verbindungen auftreten. Genau hier wird die Detektion anspruchsvoll, weil Unternehmen häufig zwar Web- und Mail-Traffic überwachen, aber selten die Semantik von Messaging-Verbindungen systematisch mit Host- und Kontextdaten verknüpfen.
Noch schwerer zu erkennen ist der zweite Schritt der Kette: der Datenabfluss. GammaSteel überträgt gestohlene Daten nicht direkt in die Infrastruktur der Angreifer, sondern schreibt sie in Cloud-Speicher von Amazon Web Services, konkret in AWS S3. Damit bedienen die Akteure ein Muster, das in modernen Cyberbedrohungen immer häufiger vorkommt: Statt auffällige „direkte Uploads“ an fremde Server zu erzeugen, werden Daten in einen Dienst verlagert, der in vielen Unternehmensnetzwerken selbstverständlicher Bestandteil der IT ist. Wenn etwa automatisierte Sicherheitsberichte ohnehin regelmäßig Requests an Cloud-Endpunkte sehen, sinkt die Wahrscheinlichkeit, dass einzelne Uploads als Anomalie auffallen.
Für die Praxis folgt daraus ein mehrschichtiger Schutzansatz. Zuerst steht die Schwachstelle: In Umgebungen mit WinRAR sollte CVE-2025-8088 zügig durch Patchen oder den kontrollierten Einsatz eines sicheren Alternativpakets geschlossen werden, weil der Einstieg über Archiv-Handling häufig den gesamten Vorfall erst ermöglicht. Danach müssen Telemetriedaten gezielt auf die im Bericht beschriebenen Muster ausgerichtet werden: Betriebssystem- und Prozessereignisse rund um VBScript-Startketten, verdächtige Zeichenfolgen- und Skriptaktivität sowie wiederkehrende Telegram-Interaktionen von Workstations oder Servern, die dafür keinen Fachgrund haben. Und schließlich braucht es Prüfregeln für Cloud-Exfiltration, etwa durch die Kombination aus Host-Kontext, IAM-Berechtigungen, erwarteten Datenpfaden und Upload-Volumen in Richtung AWS S3. Die Beobachtung zeigt damit weniger „eine einzelne Lücke“, sondern vor allem, wie konsequent staatlich gelenkte Angriffe heute bekannte Schwachstellen, modulare Schadsoftware sowie gängige Kommunikations- und Cloud-Dienste zusammensetzen, um Erkennung zu erschweren und Kompromittierung langfristig abzusichern.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "WinRAR-Lücke CVE-2025-8088: Gamaredon greift Ukraine mit Telegram- und AWS-Exfiltration an" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "WinRAR-Lücke CVE-2025-8088: Gamaredon greift Ukraine mit Telegram- und AWS-Exfiltration an" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »WinRAR-Lücke CVE-2025-8088: Gamaredon greift Ukraine mit Telegram- und AWS-Exfiltration an« bei Google Deutschland suchen, bei Bing oder Google News!