LONDON (IT BOLTWISE) – In der aktuellen ThreatsDay-Ausgabe rücken mehrere Sicherheitslücken und Angriffsmuster gleichzeitig in den Fokus. Besonders kritisch sind aktive Ausnutzungen im Umfeld von PAN-OS GlobalProtect und Prisma Access, die sich als legitime Remote-Work-Sessions tarnen können. Dazu kommen Diebstahlketten über DNS-basierte Wallet-Manipulation sowie neue Fernzugriffs- und Überwachungsbausteine in Malware-Familien. Der Tenor bleibt: Patching allein reicht häufig nicht, wenn Angreifer bereits Zugriffe etabliert haben.
Die neue ThreatsDay-Zusammenstellung macht vor allem eines deutlich: Viele der jüngsten Vorfälle entstehen nicht aus ausgefeilten Zero-Day-Magie-Tricks, sondern aus Kombinationen, die im Betrieb leicht übersehen werden. Dazu passt der Schwerpunkt auf Authentifizierungs-Bypässen, Command-Injection und unauthentifiziertem Remote Code Execution (RCE) in stark genutzten Komponenten. Wenn ein Angreifer sich erst einmal als „berechtigter Nutzer“ tarnen kann, wird aus einem einzelnen Fehler schnell eine ganze Eskalationskette – vom Credential-Diebstahl über laterale Bewegung bis hin zu Ransomware-Deployment.
Im Netzwerkumfeld ist besonders eine Schwachstelle in PAN-OS relevant: Die Qilin- und Settra-Ransomware-Gruppen nutzen laut der Meldung aktiv CVE-2026-0257 aus. Gemeint ist ein Authentifizierungs-Bypass in PAN-OS GlobalProtect und Prisma Access, der im Mai 2026 offengelegt wurde und inzwischen „in the wild“ ausgenutzt wird. Kritisch ist dabei die Art der Tarnung: Weil der Zugriff über das eigene VPN eines Unternehmens ankommt, kann böswillige Aktivität wie normales Remote-Arbeiten wirken. Als Gegenmaßnahmen werden u. a. ein sofortiges Upgrade auf gepatchte Versionen genannt, das Deaktivieren nicht benötigter „authentication override cookies“, das Beenden aller aktiven GlobalProtect-Sessions nach dem Patch sowie die systematische Suche nach unerwarteten Verbindungen, inklusive Sitzungen mit Hostnamen wie „kali“. Wichtig ist auch der Hinweis, dass alleinige Patches nicht automatisch bereits eingerichtete Zugriffe entfernen.
Auch bei Wallet-Diebstahl setzt sich das Muster „wenig verräterisch, dafür effektiv“ fort. Ein Infostealer- bzw. Drainer-Kit namens Noir nutzt DNS TXT-Records, um einen Hosted-Pool zu finden; dieser läuft aktuell über Cloudflare Pages. Technisch geschieht die Steuerung nicht nur „irgendwie“, sondern über gezielte Abfragen: Ein Loader holt sich per öffentlich erreichbaren DNS-over-HTTPS-Diensten Informationen über den aktiven Backend-Pool, lernt daraus, wie die weitere Nutzlast konfiguriert werden soll, und führt dann den Diebstahl aus. Auffällig ist, dass der Drainer keine Seed Phrase, kein Passwort und keinen privaten Schlüssel benötigt, um zuzugreifen. Stattdessen passt er Inhalte an den Nutzer an, fordert dann aber Spending-Berechtigungen an, die weniger verdächtig wirken können als ein direkter Transfer – und der eigentliche Abgriff läuft über Infrastruktur, die vom Angreifer kontrolliert wird. Für Security-Teams heißt das: Reine „Wallet-Compliance“-Kontrollen greifen zu kurz, wenn Angreifer über Berechtigungen und serverseitige Steuerung in den Zahlungsfluss eingreifen.
Neben der Finanz- und Zugriffsseite zeigt die Auswahl auch, wie stark Malware-Familien inzwischen Interaktionskanäle und Überwachungsfunktionen verzahnen. Ein Rust-basierter Remote-Access-Trojaner, der als CikaBika Bot beschrieben wird, kommt über einen Dokument-ähnlichen Lockvogel mit LNK-Datei und einer PDF-Nutzlast. Seine Kette kombiniert u. a. einen Nim-Loader, einen PowerShell-basierten UAC-Bypass sowie DLL-Search-Order-Hijacking und nutzt anschließend Discord als Command-and-Control, um Reconnaissance und Remote Execution zu steuern. Ergänzend werden Screenshot-Capture und Dateiübertragung genannt, wobei ngrok in beobachteten Abläufen als Tunnel-Mechanismus auftaucht. Die zweite „Bedrohungspsychologie“-Schiene kommt mit einem KGB-RAT genannten Windows-Tool, das laut der Beschreibung nicht nur klassischen Credential-Diebstahl und Ransomware-Fähigkeiten anbietet, sondern auch gezielte Einschüchterung über Funktionen wie „screamer“-Momente, Jump Scares und erzwungene Blue-Screens. Das ist weniger ein technischer Marketing-Gag als ein Hinweis auf ein TTP-Muster: Wenn Angreifer das Verhalten von Opfern aktiv beeinflussen, steigt die Wahrscheinlichkeit, dass Sicherheitsmaßnahmen zu spät oder falsch reagieren.
Im Betrieb setzt sich die Risikovertiefung fort: Mehrstufige Kampagnen mit Live-Screen-Surveillance werden mit.NET-basierter Funktionalität beschrieben und als BotHelper RAT codiert. Schon die erste Stufe sammelt Hostname, eingeloggten Benutzer, Prozessor-Informationen und installierten Speicher, verbindet sich anschließend über HTTPS mit einem Ziel und holt eine Payload-Datei. Auffällig sind dabei konkrete „Anti-Sorglos“-Details wie das Deaktivieren von TLS-Zertifikatsvalidierung vor dem Abruf und das spätere Registrieren einer Scheduled Task in Intervallen von 30 Minuten. Danach folgt u. a. eine Selbstpersistenz über versteckte Speicherorte, das „Patchen“ einer Antimalware-Scan-Interface-Komponente sowie das periodische Abfragen von PHP-Endpunkten für Aufgaben. Gerade diese Kombination aus Persistenz, Aufklärungsfähigkeit und Interaktionsfrequenz erklärt, warum Systeme trotz „einmaliger Bereinigung“ weiter kompromittiert bleiben können.
Auf der Abwehrseite adressieren große Plattformen ebenfalls konkrete Angriffsflächen. Google rollt mehrstufige Scam-Schutzmechanismen für Android aus, die sowohl Scam Detection über „Private AI Compute“ als auch Link-Sicherheitschecks mit Gemini Nano umfassen; außerdem sollen Warnungen vor dem Antippen unbekannter Links neu gestaltet werden. Ergänzend wird Scam Detection direkt in Chat-Notifications eingeblendet, sodass Warnhinweise aus der Benachrichtigungsleiste heraus auch auf andere Geräte gelangen können, während Automationen wie Bildschirmfreigabe-Privatsphäre sensible Inhalte vor ungewolltem Teilen in nativen Apps, Chrome und Android WebView verbergen sollen. Parallel dazu wird im Bank-Kontext eine Echtzeit-Verifikation für eingehende Anrufe eingeführt: Android prüft laut Google, ob die Bank den Call tatsächlich initiiert hat, trennt im Zweifel die Verbindung und meldet den Vorfall sofort. Solche Maßnahmen wirken besonders dort, wo Angriffe nicht über klassische Malware-Installationen beginnen, sondern über Social Engineering und Rufnummern- oder Identitätsfälschungen.
Schließlich zieht die Auswahl einen breiten Strang zur Infrastruktur- und Plattformhärtung: Entlang von RCE- und SSRF-Funden werden immer wieder die gleichen Treiber sichtbar – nicht nur technische Fehler, sondern fehlende Annahmeprüfung im Hintergrund. Dazu zählt etwa ein SSRF in Harbor (GHSA-2phj-cp9f-qq6w, CVSS 8,5), der es einem registrierten Nutzer erlauben kann, Webhooks auf Cloud-Metadata-Endpoints zu richten und so IAM-Credentials auszulesen. Auch beim Browser- und Update-Management werden klare Prioritäten gesetzt: Mozilla hat mit „Firefox Enterprise“ eine auf Governance ausgerichtete Browser-Variante angekündigt, während Google sein Chrome Bug Bounty-Programm für Speicher-Sicherheitslücken (memory safety) anhebt und für bestimmte Kategorien höhere Basisprämien nennt. Microsoft wiederum macht die Post-Quantum-Readiness zur Managementaufgabe und fordert unter anderem eine Bestandsaufnahme von Zertifikatsabhängigkeiten, Tests in Nicht-Produktionsumgebungen und das Abgleichen von Vendor-Roadmaps. Für Unternehmen ergibt sich daraus ein konsistentes Vorgehen: nicht nur „Patch anwenden“, sondern nach der Ursache fragen, Logs und Sessions auswerten, und besonders bei externen Angriffsflächen sowie bei Identitäts- und Credential-Zugängen nachweisbar prüfen, ob Angreifer bereits persistente Zugriffe etablieren konnten.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "ThreatsDay zeigt: Von PAN-OS bis NVIDIA – RCE, Diebstahl und Schattenzugriff nehmen zu" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "ThreatsDay zeigt: Von PAN-OS bis NVIDIA – RCE, Diebstahl und Schattenzugriff nehmen zu" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »ThreatsDay zeigt: Von PAN-OS bis NVIDIA – RCE, Diebstahl und Schattenzugriff nehmen zu« bei Google Deutschland suchen, bei Bing oder Google News!