LONDON (IT BOLTWISE) – Russische, nordkoreanische und chinesische Angreifer erweitern ihre Kampagnen und setzen dabei zunehmend auf Zero-Click-Exploits, KI-gestützte Schadcode-Entwicklung und neue Verschleierungstechniken. Im Fokus stehen nicht nur Messaging-Dienste und Exchange-Server, sondern auch industrielle Umgebungen wie Steuerungssysteme in der Wasserinfrastruktur. Mehrere Vorfälle zeigen, dass klassische Schutzmaßnahmen gegen Phishing und bekannte Schadmuster allein nicht mehr reichen. Für IT- und Security-Teams wird damit vor allem die Kombination aus Patch-Disziplin, Angriffserkennung und adaptivem Monitoring entscheidend.
Die aktuelle Bedrohungswelle fällt weniger durch einzelne „neue“ Exploits auf als durch die Breite der Angriffswege. Laut Warnmeldungen internationaler Sicherheitsbehörden und privater Forschungseinrichtungen haben staatlich unterstützte Akteure aus Russland, Nordkorea, China und Iran ihre Operationen in den vergangenen Monaten intensiviert. Besonders häufig werden dabei Einstiegspunkte gewählt, die sich mit klassischen Toolketten schwer abfangen lassen: verschleierte Initialzugriffe über verschlüsselte Messenger, Schwachstellen in weit verbreiteter Unternehmenssoftware und Angriffe, die ohne Nutzerinteraktion auskommen. Für Verantwortliche in kritischen Infrastrukturen verschiebt sich damit der Fokus von reiner E-Mail-Härtung hin zu einer durchgängigen Sicherheitskette von Identität über Anwendungen bis hin zu Betriebsumgebungen.
Konkretes Beispiel aus dem Kommunikations- und Identitätsumfeld: Den Angaben von US-Behörden zufolge richten sich russische Gruppen gezielt gegen Nutzer verschlüsselter Messenger wie Signal und WhatsApp. Dabei wird beschrieben, dass Phishing-Methoden zum Einsatz kommen, um Sicherheitscodes abzugreifen; betroffen seien demnach tausende Konten aus dem Umfeld von Journalisten, militärischen Akteuren sowie Regierungsstellen. Signal hebt zwar laut Darstellung hervor, dass die Kernverschlüsselung intakt bleibt, doch selbst ein korrekt verschlüsselter Kanal schützt nicht vor kompromittierten Kontozugängen, wenn Codes oder Session-Elemente zuvor abgegriffen werden. Für Security-Teams bedeutet das: Der eigentliche Risikokern sitzt nicht nur im Kryptografie-Design, sondern im Bereich der Kontosteuerung, Login-Prozessen und der Schutzfähigkeit gegen Social-Engineering.
Während Messaging-Kampagnen oft an Endnutzerpfade andocken, geht es bei Angriffen auf Unternehmensplattformen zunehmend darum, so früh wie möglich persistent zu werden. Nach Angaben zu einer russischen Gruppe, die unter dem Namen „Laundry Bear“ geführt wird, nutzte TA488 eine Schwachstelle mit hoher Schwere in Microsoft Exchange Server. Die als CVE-2026-42897 erfasste Lücke wird als Grundlage für einen „Half-Click“-Ansatz beschrieben: Schon das Öffnen einer bösartigen E-Mail im Outlook Web Access genüge, um eine persistente Browser-Implantation namens OWAReaper zu installieren. Laut Quelle hat Microsoft im Juli einen Patch veröffentlicht, gleichzeitig bleiben jedoch ungepatchte Umgebungen ein direkter Angriffshebel. Aus technischer Sicht ist das ein Lehrstück dafür, wie stark der Sicherheitsgewinn durch Patch-Tempo und Segmentierung ausfallen kann: Selbst ein kurzfristig vorhandenes Zeitfenster zwischen Veröffentlichung und tatsächlicher Bereitstellung lässt sich missbrauchen.
Auch „interaktionsfreie“ Varianten werden parallel weiter verfeinert. In einer separaten Kampagnenbeschreibung berichten das britische National Cyber Security Centre (NCSC) und Partner von einem Zero-Click-Angriff derselben Gruppierung auf die Zimbra Collaboration Suite. Der Angriff erfordere demnach keinerlei Nutzerinteraktion und sei offenbar zunächst in der Ukraine getestet worden, bevor er gegen NATO-Mitgliedstaaten eingesetzt worden sei. Forscher bringen dabei die Vermutung in die Diskussion, dass KI bei der Entwicklung des Schadcodes eine Rolle spielen könnte. Technisch ist das vor allem für Detektions- und Response-Teams relevant: Wenn kein „Klick-Event“ in Logs sichtbar ist, wird die Erkennung stärker von Telemetrie abhängig, etwa von Anomalien in Authentifizierungspfaden, ungewöhnlichen Netzwerkverbindungen oder Artefakten im Browser- und Session-Kontext.
Nicht weniger anspruchsvoll sind die Muster, die Nordkorea in den Vordergrund rückt. Laut Beschreibung entwickelt die Gruppe UNC5342 eine Methode namens „EtherHiding“, bei der Konfigurationsdaten in Ethereum-Smart-Contracts gespeichert werden, um den Datenverkehr schwerer blockierbar zu machen. Ergänzend kommen Social-Engineering-Tricks zum Einsatz, die sich als macOS-Systemupdates oder Absturzberichte tarnen, um einen Remote-Access-Trojaner auf Basis von Node.js zu installieren. Der Schadcode zielt dabei auf 157 Kryptowährungs-Wallets sowie Cloud-Zugangsdaten für AWS und Azure ab. Daneben wird Kimsuky (APT43) mit „Quishing“ in Verbindung gebracht: bösartige QR-Codes sollen E-Mail-Sicherheitsfilter umgehen und zu Websites führen, die Geräte ausspähen und Zugangsdaten stehlen; das FBI bewertet diese Technik als widerstandsfähig gegenüber Multi-Faktor-Authentifizierung und schwerer erkennbar für Standardsoftware. Für Unternehmen ist der praktische Effekt klar: QR-basiert getarnte Phishing-Ketten umgehen oft die klassischen Gateways, weshalb Endpoint-Browsing-Kontrollen, URL-Reputation, samt isoliertem Öffnen in kontrollierten Umgebungen stärker ins Zentrum rücken müssen.
Dass Angriffe zunehmend auch physisch nahe Betriebsbereiche erreichen, zeigen die Berichte zu US-Wassersystemen. Laut FBI und Umweltbehörde EPA wurden seit dem 27. Juli 2026 koordinierte Cyberangriffe auf Wasserwerke in mindestens sieben Bundesstaaten verfolgt; dabei sollen speicherprogrammierbare Steuerungen (PLCs) vom Typ Allen-Bradley MicroLogix ins Visier geraten sein. Ein durchgesickertes Memo des Water Information Sharing and Analysis Center (WaterISAC) nennt als primäres Ziel einen Druckabfall, was zu Wasserverunreinigungen führen könne; gleichzeitig heißt es, dass keine bestätigte Kontamination vorgelegen habe und einige Versorger auf manuellen Betrieb umstellen sowie Abkochanweisungen ausgeben mussten. Die Ermittler bringen die Aktionen laut Darstellung mit iranisch unterstützten Gruppen in Verbindung; für die Security-Praxis bleibt daraus die entscheidende Konsequenz: Segmentierung zwischen IT und OT, härtbare Netzwerke an der Steuerungsperipherie sowie ein anwendungsnahes Monitoring auf Engineering- und Prozesspfaden sind in solchen Szenarien häufig wichtiger als zusätzliche reine E-Mail-Scanner.
Auf der anderen Seite des Spektrums arbeitet China laut Beschreibung an einer neuen Angriffsfähigkeit: „KI-Agenten“ sollen Angriffe autonom orchestrieren können. Demnach habe ein Akteur unter Verwendung des DeepSeek-KI-Modells einen Agenten namens Hermes eingesetzt, um Schwachstellen in internet-exponierter Infrastruktur zu scannen und auszunutzen. Betroffen seien unter anderem CVE-2026-3055 in Citrix NetScaler und CVE-2026-34486 in Apache Tomcat gewesen; die Auswirkungen dieser konkreten Kampagne seien zwar begrenzt geblieben, gleichzeitig belege das Szenario aber die technische Richtung, in die sich Bedrohungsakteure entwickeln. Zusätzlich wird von einer langjährigen Spionagekampagne zurückliegender Jahre berichtet, die chinesischsprachige Akteure adressiert und in der In-Memory-Backdoors wie OctLurk und SilkLurk erwähnt werden. Weil diese Werkzeuge im Arbeitsspeicher laufen, seien sie demnach schwerer erkennbar als klassische Festplatten-basierte Muster, wodurch sich Erkennung und Forensik stärker auf Memory- und Behavioral-Signale stützen müssen.
Am Ende laufen mehrere Linien zusammen: Zero-Click-Exploits reduzieren die Wirksamkeit von Nutzer-Trainings, Code-Diebstahl bei verschlüsselten Diensten verschiebt Risiken in den Kontozugang und neue Verschleierung über Plattformen wie Blockchain erhöht die Hürde für einfache Blocklisten. Damit geraten Security-Strategien in eine Phase, in der „mehr Tools“ nicht automatisch „mehr Sicherheit“ bedeutet. Stattdessen sollten Unternehmen besonders dort investieren, wo die Angriffslogik ansetzt: ein belastbares Patch- und Exposure-Management für Schlüsselprodukte, harte Abwehr gegenüber Session-/Code-Abgriffen, kontrollierte Browserpfade für QR- und URL-basierte Einstiege sowie Monitoring, das Anomalien auch ohne sichtbares Klick-Ereignis erkennt. Die Frage lautet dann nicht mehr, ob der nächste Angriff kommt, sondern ob das eigene Setup schnell genug Antworten liefert, um die Zeit zwischen Erstzugriff und nachhaltiger Eindringtiefe zu verkürzen.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Zero-Click-Exploits & KI: Russische, nordkoreanische und chinesische Kampagnen erhöhen Druck" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Zero-Click-Exploits & KI: Russische, nordkoreanische und chinesische Kampagnen erhöhen Druck" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Zero-Click-Exploits & KI: Russische, nordkoreanische und chinesische Kampagnen erhöhen Druck« bei Google Deutschland suchen, bei Bing oder Google News!