Gamaredon setzt 2025 verstärkt auf Cloud-Missbrauch und neue Malware
LONDON (IT BOLTWISE) – Der APT-Angreifer Gamaredon hat 2025 die Kampagnen gegen ukrainische Ziele deutlich ausgebaut: ESET dokumentiert 35 Spear-Phishing-Angriffe, die ĂĽber mehrere Monate liefen. Im Zentrum stehen neue Downloader und PowerShell-Tools, die Payloads teils vollständig im Speicher ausfĂĽhren. Dazu kommt eine stärker ausgebaute Tarnung ĂĽber legitime Online-Dienste wie Telegra.ph und GoFile. Besonders kritisch: Einige […]
TinyRCT: Neue Backdoor eines APT zielt auf kritische Infrastruktur in SĂĽdostasien
SĂśDOSTASIEN / LONDON (IT BOLTWISE) – Ein chinesischsprachig operierender APT-Akteur setzt in laufenden Kampagnen auf eine neue, maĂźgeschneiderte Backdoor namens TinyRCT. Die Malware kann beliebige Befehle ausfĂĽhren, Dateien auflisten und exfiltrieren, Screenshots erfassen und sich anschlieĂźend selbst löschen. Laut Analyse eines Security-Teams wurden dabei auch Web-Shells gegen Regierungsstellen und kritische Infrastrukturen genutzt, um erst zu […]
Miasma-Kampagne kompromittiert npm-Pakete und GitHub Actions, erweitert auch Go-Repositories
LONDON / LONDON (IT BOLTWISE) – Sicherheitsforscher warnen vor einer neuen Welle der Miasma-/Hades-Kampagne, die zuvor kompromittierte Kennungen nutzt, um trojanisierte npm-Pakete in sehr kurzen Zeitfenstern zu veröffentlichen. Zusätzlich missbraucht die Malware GitHub Actions, stiehlt CI/CD-Umgebungsdaten und versucht, Backdoors in weitere Repositories zu streuen. Erstmals erscheint die Angriffslogik auch im Umfeld eines Go-Projekts, sodass der […]
Gaslight-Malware: Prompt-Injection sabotiert KI-Analyse auf macOS
LONDON (IT BOLTWISE) – Eine neue macOS-Malware namens Gaslight nutzt Prompt-Injection, um KI-gestĂĽtzte Reverse-Engineering-Analysen gezielt abzubrechen. Der Angriff täuscht Sicherheitssysteme mit gefälschten Systemfehlern und lenkt Analysten von einer verlässlichen Bewertung ab. Zusätzlich sammelt die Schadsoftware umfangreiche Host- und Browserdaten, komprimiert sie und exfiltriert sie ĂĽber einen Telegram-Command-and-Control-Kanal. Damit verschiebt sich das Risiko weg vom isolierten […]
Cisco Catalyst SD-WAN: Zero-Day CVE-2026-20245 fĂĽhrt zu Root-Zugriff
SAN JOSE / LONDON (IT BOLTWISE) – Google Threat Intelligence (Mandiant) berichtet von einem Zero-Day in Cisco Catalyst SD-WAN, der mindestens zwei Monate vor der öffentlichen Offenlegung ausgenutzt wurde. Die LĂĽcke (CVE-2026-20245, CVSS 7,8) ermöglicht einem authentifizierten Angreifer den Sprung auf privilegierte Kommandos via präparierter Datei. Laut Cisco und Mandiant arbeiteten die Täter zudem mit […]
FortiBleed: KI-gestĂĽtzte Credential-Harvesting-Attacken auf 430.000 FortiGate
LONDON / IT BOLTWISE – Ein russischsprachiger Initial-Access-Broker soll hinter der groĂźskaligen Credential-Harvesting-Operation „FortiBleed“ stecken. Laut Analyse wurden dabei weltweit ĂĽber 430.000 FortiGate-Firewalls ins Visier genommen, teils mit einer spezifischen Sniffer-Komponente auf kompromittierten Geräten. Die Kampagne läuft seit Februar 2026 in mehreren Stufen und fĂĽhrt nach Schätzungen zu mehr als 110 Millionen identifizierten Credentials. Besonders […]
WordPress: Supply-Chain-Angriff manipuliert ShapedPlugin-Pro-Updates mit Backdoor
LONDON (IT BOLTWISE) – Ein Supply-Chain-Angriff hat mehrere Pro-WordPress-Plugins von ShapedPlugin kompromittiert und Backdoor-Code ĂĽber offizielle Update-Kanäle ausgeliefert. Betroffen sind ausschlieĂźlich lizenzierten Builds, die ĂĽber die EDD-Infrastruktur und den Account des Anbieters verteilt wurden. Die Malware lädt per HTTP Payloads nach, tarnt sich als vermeintliches Plugin und kann Anmeldedaten, 2FA-Codes sowie Web-Shells ablegen. FĂĽr betroffene […]
DifyTap: Vier Schwachstellen in Dify könnten KI-Chats zwischen Mandanten offenlegen
LONDON (IT BOLTWISE) – Zafran Security beschreibt unter dem Namen DifyTap vier Schwachstellen in der Open-Source-Agentic-Workflow-Plattform Dify. Besonders kritisch: Authentifizierung war in Teilen offenbar nicht nötig, und fehlende Mandanten-Checks hätten private KI-Chats zwischen Kundenanwendungen sichtbar machen können. Zusätzlich greifen Angreifer laut Analyse interne Dify-APIs an, um Inhalte aus Dateivorschauen oder kompletten Uploads zu exfiltrieren. FĂĽr […]
Woche der Browser- und EDR-Angriffe: FortiBleed, Splunk-CVE und Rokarolla
BERLIN / LONDON (IT BOLTWISE) – Eine neue Welle aus kompromittierten Integrationen, bösartigen Browser-Erweiterungen und Ransomware-Ketten zeigt erneut: Viele Angriffe gewinnen durch fehlende Hygiene, nicht durch Genialität. Besonders auffällig sind die FortiBleed-Kampagne gegen FortiGate/SSL-VPN-Endpunkte, eine aktiv ausgenutzte Splunk-Schwachstelle sowie ein Android-Trojaner wie Rokarolla, der Banking-Funktionalität mit Screen-Ăśberwachung kombiniert. Dazu kommen unpatchbare Hardware-Exploits, manipulierter WordPress-Delivery und […]
Salesforce sperrt Klue-Integration nach OAuth-Token-Missbrauch
SAN FRANCISCO / LONDON (IT BOLTWISE) – Salesforce hat die App-Integration von Klue Battlecards vorerst deaktiviert, nachdem ein Missbrauch von OAuth-Tokens ungewöhnliche Aktivitäten ausgelöst haben soll. Betroffen ist nach Angaben des Unternehmens ausschlieĂźlich die Verbindung ĂĽber die Klue-App zu Salesforce, nicht aber eine Schwachstelle in der Salesforce-Plattform selbst. Parallel berichtet Klue von Zugriffen ĂĽber eine […]
INC-Ransomware als RaaS: Rust-Payload, 830 Opfer und neue Ableger
LONDON (IT BOLTWISE) – Eine Auswertung zeigt: INC entwickelt sich 2026 von einer noch jungen RaaS-Gruppe zu einem der aktivsten Akteure im Ransomware-Ă–kosystem. Seit August 2023 sollen ĂĽber 830 Opfer aufgelistet sein, und der GroĂźteil betrifft Organisationen in den USA. Besonders auffällig ist die technische Modernisierung: VerschlĂĽssungs-Komponenten wurden in Rust neu geschrieben, und die Angriffe […]
Bedrohung bleibt nach C2-Ausfall: Angreifer nutzt OpenSSH und Tailscale als Persistence
PARIS / LONDON (IT BOLTWISE) – Ein französischsprachiger Angreifer hielt trotz Offline-Schaltung seines Command-and-Control-Servers Zugriff auf eine kompromittierte Windows-Maschine. Der Trick: Er installierte OpenSSH Server und Tailscale und baute damit einen separaten, verschlĂĽsselten RĂĽckkanal ohne offene Ports. Als die Havoc-Infrastruktur Stunden später ausfiel, reaktivierten sich die Agenten automatisch, sobald der C2 wieder online war. Der […]
Malware in JetBrains-Plugins und Prompt-Diebstahl in Chrome-Erweiterungen
BERLIN / LONDON (IT BOLTWISE) – Sicherheitsforscher warnen vor zwei getrennten Angriffswellen: Erst stehlen bösartige JetBrains-Plugins bei der Eingabe von KI-API-Keys die Zugangsdaten und missbrauchen sie fĂĽr LLM-Calls. Parallel dazu wurden im Chrome Web Store ältere Adblocker-Erweiterungen entdeckt, die KI-Chatverläufe und Nutzungsdaten ĂĽber ein verstecktes Telemetrie-Backend abgreifen. Beide Fälle zeigen, wie schnell sich Angreifer von […]
Mastra-npm-Welle: 144 Pakete ĂĽber Hijacked-Account mit Loader kompromittiert
LONDON (IT BOLTWISE) – Eine Angreifergruppe hat offenbar ĂĽber einen kompromittierten npm-Account im Mastra-Namespace innerhalb kurzer Zeit 144 Pakete mit einem mehrstufigen Loader ausgeliefert. Der Schadcode sitzt dabei nicht direkt in den betroffenen Bibliotheken, sondern wird ĂĽber eine zusätzlich eingetragene Drittanbieter-Abhängigkeit („easy-day-js“) nach dem Installieren aktiviert. Besonders kritisch: Der Angriff startet im postinstall-Hook, kann also […]
Maliziöse JetBrains-Plugins stehlen KI-API-Keys von Entwicklern
LONDON (IT BOLTWISE) – Eine koordinierte Malware-Kampagne im JetBrains Marketplace kombiniert KI-Assistants und Git-Tools mit einem versteckten Mechanismus zum Diebstahl von KI-API-Keys. Wie Sicherheitsforscher berichten, werden Credentials beim Klick auf „Apply“ an einen fest hinterlegten Server ĂĽber HTTP exfiltriert, während der Plugin-Betrieb ansonsten wie erwartet wirkt. Besonders kritisch: Die Angreifer scheinen auch bezahlte Nutzer mit […]
Amos Stealer: 56 Mio. E-Mails und 124 Mio. Passwörter geleakt – Fokus auf Entwicklerkonfigurationen
LONDON (IT BOLTWISE) – Eine neue Welle von Credential-Diebstählen rĂĽckt den Schutz von Entwickler-Workstations in den Mittelpunkt: Der Amos Stealer zielt unter macOS gezielt auf Keychain-Daten und kritische Konfigurationsdateien. Branchenmeldungen berichten zudem ĂĽber 56 Millionen geleakte E-Mail-Adressen und 124 Millionen Passwörter, die in Infostealer-Logs indexiert wurden. Besonders riskant ist, dass der Schadcode nicht nur Browserzugänge, […]
UNC6508: Wie Angreifer Google Workspace-Regeln fĂĽr E-Mail-Diebstahl missbrauchten
NORDAMERIKA / LONDON (IT BOLTWISE) – Eine China-gebundene Spionagegruppe (UNC6508) hat sensible Forschungs- und Verteidigungs-E-Mails abgezogen, indem sie bei Google Workspace nicht das Postfach selbst, sondern dessen Content-Compliance-Regeln missbrauchte. Der Trick: Die Angreifer erstellten Regeln, die passende Nachrichten automatisch per BCC an ein kontrolliertes Postfach kopieren lieĂźen – ohne zusätzliche Exfiltrations-Tools oder ungewöhnlichen Mail-Traffic. Technische […]
UNK_DeadDrop: Nordkorea nutzt VS‑Code-Projekte als Malware-Startkette
LONDON (IT BOLTWISE) – Sicherheitsforscher warnen vor der Kampagne UNK_DeadDrop, bei der Angreifer Entwickler-Workflows gezielt missbrauchen. Statt klassischer Downloads starten kompromittierte Projekte beim Ă–ffnen im Editor ĂĽber eine „runOn: folderOpen“-Logik automatisch Schadcode. Betroffen sind laut Berichten fast 100 Organisationen, mit Fokus auf U.S.-Ziele und Finanz- sowie Kryptosektoren. Der Ansatz deutet auf eine systematische Skalierung der […]
UNC6508 missbraucht Google Workspace-Regeln fĂĽr Mail-Exfiltration
LONDON (IT BOLTWISE) – Eine China-gesponserte Spionagegruppe hat offenbar Google-Workspace-Compliance-Regeln umgeschrieben, um gezielt E-Mails aus Forschungs- und Verteidigungsumgebungen abflieĂźen zu lassen. Ausgangspunkt war laut Sicherheitsauswertung ein Backdoor im REDCap-Umfeld, die Anmeldedaten stahl und später Admin-Rechte ermöglichte. Die eigentliche Exfiltration verlief dann ungewöhnlich „ohne Malware“ ĂĽber eine vorhandene Mail-Funktion, die Inhalte anhand von Stichworten kopiert. FĂĽr […]
UNK_DeadDrop: Nordkoreanische Hacker missbrauchen VS-Code-Projekte als Malware-Chain
LONDON (IT BOLTWISE) – Nordkoreanische Akteure nutzen mit UNK_DeadDrop gezielt Entwickler-Workflows: Phishing fĂĽhrt zu GitHub-Repositories, die beim Ă–ffnen in VS Code automatisch schädlichen Code starten. Die Kampagne zielt auf macOS, Linux und Windows und installiert dabei im Kern bösartige VSIX-Erweiterungen, die Anmeldedaten und Wallet-Informationen aus Browser-Extensions exfiltrieren. Experten ordnen das Vorgehen als weiteres Anzeichen fĂĽr […]
SearchLeak: One-Click-Exfiltration ĂĽber Microsoft 365 Copilot Enterprise Search
LONDON (IT BOLTWISE) – KĂĽnstliche Intelligenz kann manchmal auch als Angriffsvektor dienen: Forschende zeigen mit SearchLeak, wie ein einzelner Klick auf einen scheinbar vertrauenswĂĽrdigen Microsoft-Link Daten aus der Microsoft-365-Copilot-Enterprise-Suche abziehen könnte. Der Weg kombiniert drei Schwächen, darunter eine Parameter-zu-Prompt-Injection und ein Timing-Problem beim Streaming von Antwortinhalten. Kritisch ist vor allem der Zugriff auf E-Mails, Kalenderdetails […]
Atomic Arch: Tausende AUR-Pakete mit eBPF-Rootkit und Credential-Stealer
LONDON (IT BOLTWISE) – Eine aktuelle Supply-Chain-Attacke im Arch Linux User Repository (AUR) betrifft laut Branchenberichten Tausende Pakete und kombiniert einen Rust-basierten Credential-Stealer mit einem eBPF-Rootkit. Die Malware wird ĂĽber kompromittierte AUR-„Adoptionen“ ausgeliefert, sobald Nutzer ein scheinbar legitimes PKGBUILD bauen. Auffällig ist, dass kein CVE veröffentlicht wurde und offizielle Arch-Repositorys unberĂĽhrt bleiben. Sonatype bewertet die […]
China-nexus-Angreifer manipulieren Linux-Login (PAM/OpenSSH) seit rund zehn Jahren
LONDON (IT BOLTWISE) – Eine China-nexus Threat-Group soll ĂĽber nahezu ein Jahrzehnt unentdeckt geblieben sein, weil sie nicht primär Malware einsetzte, sondern zentrale Linux-Zugangskomponenten wie PAM und OpenSSH veränderte. Sicherheitsforscher berichten, dass dadurch persistenter Zugriff entstand und Anmeldedaten abflossen, ohne gängige Schutzalarme auszulösen. FĂĽr Unternehmen bedeutet das: Die härtesten Kontrollen reichen nicht, wenn vertrauenswĂĽrdige Authentifizierungsbausteine […]
OpenClaw-Tests zeigen Prompt- und Agent-Phishing: Fix in Version 2026.4.23
LONDON (IT BOLTWISE) – Zwei Sicherheitsstudien belegen, dass der selbst gehostete KI-Agent OpenClaw ĂĽber scheinbar harmlose Kontakte und normale E-Mails sowohl fremden Code ausfĂĽhren als auch Daten abflieĂźen lassen kann. Während Imperva vor allem eine Schwachstelle beim Zusammenbau von Eingaben in den Prompt beschreibt, ordnet Varonis das Problem als Agent-Phishing ein, bei dem der Agent […]
#Sophos
#AmazonPrime
#Bestseller
