Dropbox meldet 5.000 kompromittierte Konten bei Hack im August

Dropbox hat bekannt gegeben, dass etwa 5.000 Konten im August kompromittiert wurden, nachdem Angreifer eine alte Login-Integration mit Lenovo ID missbraucht hatten, die keine Zwei-Faktor-Authentifizierung (2FA) bot – ein zusätzlicher Anmeldeschritt neben einem Passwort. Das Unternehmen erklärte gegenüber Reuters, es habe unbefugten Zugriff auf Konten festgestellt, die mit einer Lenovo ID ohne 2FA verknüpft waren, und alle über eine Lenovo ID authentifizierten Sitzungen beendet. Lenovo sagte, das Problem betreffe eine alte Integration zwischen Lenovo ID und Dropbox, die zur unsachgemäßen Authentifizierung bestimmter Dropbox-Konten genutzt werden könnte. Dies ist eine von mehreren Bedrohungen, die im neuesten wöchentlichen ThreatsDay-Bulletin von The Hacker News behandelt werden, über die wir hier für AEU Group-Leser berichten.

Microsoft hat vor einer menschlich gesteuerten Intrusionskampagne gewarnt, die die externe Zusammenarbeit von Microsoft Teams missbraucht, um sich als IT- oder Helpdesk-Mitarbeiter auszugeben und Nutzer dazu zu bringen, eine interaktive Remote-Sitzung zu gewähren. Sobald die Fernsteuerung über Remote-Monitoring- und -Management-Tools (RMM) hergestellt ist – legitime Programme für IT-Support –, verwendet der Angreifer PowerShell, um ein bösartiges MSI-Paket herunterzuladen und still zu installieren. Dieses Paket richtet eine portable Node.js-Laufzeitumgebung und ein obfuskiertes JavaScript-Implantat ein, das persistente Befehlsausführung und Command-and-Control (C2) ermöglicht – ein Server, der Anweisungen an kompromittierte Maschinen sendet. Microsoft beschrieb das Muster als hochgradig wirkungsvoll, da es einem externen Operator interaktiven Zugriff auf interne Infrastruktur gewährt, einschließlich Aufklärung gegen Active Directory und Bewegung in Richtung Domänencontroller. Eine verwandte Operation, die von Palo Alto Networks Unit 42 als Spring Ring verfolgt wird, nutzte externe Microsoft Teams-Konten, um sich als IT-Helpdesk auszugeben und mehr als 150 Mitarbeiter in mindestens 10 Unternehmen zwischen Januar und April 2026 anzugreifen. In dieser Kampagne, die Unit 42 als Voice-Phishing (Vishing) bezeichnet, versuchten Angreifer, Opfer zur Ausführung von RMM-Tools oder benutzerdefinierter Malware zu zwingen, und in einer fortgeschrittenen Variante gingen sie von einem Vishing-Anruf zu einem Microsoft NT LAN Manager (NTLM)-Relay-Angriff auf den Domänencontroller einer Organisation über. Bis zu 26 verschiedene Angreiferidentitäten wurden hinter den Chat- und Anrufversuchen identifiziert.

Sophos hat einen neuen Bericht über die Ransomware-Operation The Gentlemen veröffentlicht, die intern als Gold Sherwood verfolgt wird und bis Ende Juli 2026 683 Opfer gemeldet hat, darunter 169 allein im Juli. Die Gruppe verwendet ein wiederholbares Affiliate-Playbook: opportunistischer Erstzugriff, schnelle Rechteausweitung, legitime Fernzugriffsmechanismen, Tool-Staging in vertrauenswürdigen Systempfaden, gezielte Datenexfiltration, aggressive Verteidigungsumgehung, Backup-Störung und Ransomware-Bereitstellung. Affiliates nutzen native Windows-Dienstprogramme, kommerzielle und Open-Source-Tools, BYOVD-basierte EDR-Killer (wobei BYOVD „bring your own vulnerable driver“ bedeutet – eine Technik, die einen legitimen, aber fehlerhaften Treiber lädt, um Sicherheitssoftware zu deaktivieren) und Manipulation von Backup-Diensten. Die Outsider-Phishing-as-a-Service-Plattform (PhaaS), betrieben von einem als ChenLun bekannten Bedrohungsakteur, bleibt widerstandsfähig, nachdem Strafverfolgungsbehörden eine Reihe von Domains abgeschaltet haben. Group-IB identifizierte über 700 neue Phishing-Seiten, die mit dem Kit innerhalb eines Monats nach Googles Zivilklage gegen seine Betreiber erstellt wurden, was zeigt, dass Affiliates es weiterhin nutzen. Kampagnen werden per SMS verbreitet, und das Kit enthält eine WebSocket-Verbindung für Live-Keylogging und Manipulation von Multi-Faktor-Authentifizierungsabfragen. ZeroBEC hat BlueKit detailliert beschrieben, einen schlüsselfertigen Phishing-Dienst, der auf CEOs von Finanzgruppen abzielt, mit Browser-in-the-Middle-Infrastruktur und Ködern zum Teilen von Dokumenten. Der Dienst verwendet ZeroBot zur Bot-Erkennung, und nach einem Credential-Diebstahl-Ablauf werden ausgewählte Opfer in einen gefälschten Dokumentenbetrachter-Workflow geleitet, der einen legitimen ScreenConnect-Client liefert, der für eine vom Angreifer kontrollierte Cloud-Instanz konfiguriert ist. Der Zugang zu BlueKit wird für 250 US-Dollar für sieben Tage, 480 US-Dollar für 14 Tage und 940 US-Dollar für 30 Tage angeboten – höher als Tycoon 2FA, Greatness und Forg365 mit etwa 350, 289 und 400 US-Dollar pro Monat.

Eine staatlich geprägte Steuerbenachrichtigungskampagne verwendet Steuerbewertungsköder mit UAE- und Indien-Bezug, um Empfänger zum Öffnen eines bösartigen Disc-Images zu bewegen, so iZOOlogic. Das Disc-Image enthält eine legitime, gültig signierte kommerzielle ausführbare Datei zusammen mit einer versteckten, nicht signierten bösartigen Dynamic-Link Library (DLL) – eine Art von Datei, die Programme laden, um Code auszuführen. Dies macht DLL-Sideloading zum zentralen Mechanismus: Das vertrauenswürdige signierte Programm lädt die Datei des Angreifers. Die bösartige DLL fungiert als Loader und etabliert mehrere Ausführungs- und Persistenzmechanismen. Sie enthält drei verschlüsselte Nutzlasten: Zwei entschlüsseln zu legitim signierten Kernel-Treibern aus unabhängigen kommerziellen Produkten, und die dritte ist ein Persistenzskript. Die Angriffskette ebnet den Weg für eine Registry-residente zweite Stufe, die über UDP eine Verbindung zu einem externen Server herstellt. In einem separaten Fall hat Intezer einen gefälschten Datenschutzbrowser detailliert beschrieben, der von einer nachgeahmten Website heruntergeladen wurde und entfernte Angreiferbefehle in simulierte Maus- und Tastatureingaben umwandelt – effektiv ein USB-Rubber-Ducky-Angriff, der über das Internet geliefert wird. Die Website wurde über ein gesponsertes Suchergebnis erreicht, nachdem das Opfer einen Domänennamen falsch eingegeben hatte, und der Download war ein MSIX-Installer, der über Microsofts eigene Infrastruktur signiert war. Intezer sagte, der Angriff umgeht Endpoint Detection and Response (EDR) und liegt bei null bis zwei Erkennungen auf VirusTotal, und die Kampagne wurde bis zu einer ähnlichen Operation aus Januar 2016 zurückverfolgt, was bedeutet, dass sie seit mindestens einem Jahrzehnt aktiv ist.

Cybersicherheitsforscher haben das Backend von Prince of Persia analysiert, auch bekannt als Indy, eine iranische Hackergruppe, die für den Einsatz der Malware-Familien Foudre und Tonnerre bekannt ist, um Opfer zu profilieren und Daten von hochwertigen Zielen zu sammeln. Kaveh Azarhoosh von Whisper Security sagte gegenüber The Hacker News, das Backend sei selbstautoritativ, wobei jeder aktive Command-and-Control-Server auch die Nameserver für seine eigenen Domains betreibt. Die Forscher fanden auch eine ruhende Reserve von 58 Domains, die registriert und an die eigenen Nameserver der Gruppe delegiert, aber derzeit auf keinen Server zeigen. Azarhoosh sagte, sie seien vorbereitet, nicht live: Sobald eine einen Adresseintrag erhält, ist ein neuer Befehlsserver live und sichtbar, bevor der Server irgendetwas tut. In einem weiteren Lieferkettenrisiko deckte ein Scan von 6.214 Live-Domains, die Verteidigungsunternehmen, Fortune-500- und Big-Tech-Unternehmen gehören, llms.txt- oder llms-full.txt-Dateien auf, die im Stammverzeichnis ihrer Websites neben robots.txt platziert waren. Ein israelisches Stealth-Startup sagte, diese Dateien seien kuratierte Anweisungssätze für KI-Agenten: was zu lesen, welche APIs aufzurufen, welche Pakete zu installieren und welchen Domains zu vertrauen ist. Von den 8.265 aufgetauchten llms.txt- und llms-full.txt-Dateien enthielten 120 auf verschiedenen Websites Installationsanweisungen, die auf PyPI- oder npm-Paketnamen und Domains verwiesen, die nie registriert worden waren. Die Forscher wählten eine kleine Gruppe von Paketnamen von Unternehmen aus, von denen Sie definitiv gehört haben, und registrierten sie auf PyPI und npm, wobei sie einen minimalen Beacon einbetteten, der die Installation an eine von ihnen kontrollierte Infrastruktur meldete. Der erste Rückruf kam in weniger als vier Minuten. Mindestens ein aktiver Angriff hat diese Fehlkonfiguration ausgenutzt: Die llms.txt des Authentifizierungsanbieters Clerk enthielt einen Verweis auf ein npm-Paket namens clerk-next-fix-auth-protection anstelle seines scoped Pakets @clerk/eslint-plugin. Ein unbekannter Bedrohungsakteur registrierte ein öffentliches Paket mit diesem Namen, und das Paket übermittelte den Benutzernamen des Installierers, den Maschinennamen, das Arbeitsverzeichnis und den Zeitstempel an einen externen Server. Clerk hat das Problem inzwischen behoben.

Das US-amerikanische Federal Bureau of Investigation untersucht einen neuen Identitätsdiebstahlsdienst namens Nexus, der behauptet, digitale Scans von über 153 Millionen Führerscheinen von Personen in den USA und Kanada zu besitzen. Der unabhängige Sicherheitsjournalist Brian Krebs berichtete, der Dienst soll Bilder abschöpfen, die von einem weit verbreiteten Identitätsverifizierungsunternehmen namens IDScan.net gesammelt wurden. Nexus startete am 31. August 2026 im Dark Web und prahlt auch mit mehr als 10 Millionen Ausweiskarten, mehr als drei Millionen Reisedokumenten oder internationalen IDs und mindestens 579.000 medizinischen Karten. Jeder Datensatz kann für 100 US-Dollar freigeschaltet werden. Kurz nach der Veröffentlichung des Enthüllungsberichts ging Nexus offline, und IDScan.net untersucht den Vorfall auf seiner Seite. Microsoft hat angekündigt, ab Oktober 2026 den Speicherintegritätsschutz auf geeigneten Geräten auszuweiten. Speicherintegrität basiert auf Virtualization-based Security und hilft, kritische Teile von Windows vor Manipulation zu schützen, und bildet eine Grundlage für moderne Sicherheitsfunktionen wie Hotpatch-Updates. Google sagte, es erweitere die Android Ready SE-Initiative, um Siliziumhersteller, Gerätehersteller, Wallet-Entwickler und staatliche Aussteller zusammenzubringen, um zertifizierte Hardware-Sicherheit für digitale Identität zu skalieren – ein Schritt, der auf hochsichere, manipulationssichere digitale Nachweise abzielt. Eine Koalition von über 100 Unternehmen, darunter Anthropic, Google, OpenAI, Microsoft, Perplexity und andere, veröffentlichte einen offenen Brief, der zu kollektivem Handeln bei der Cyberverteidigung aufruft und davor warnt, dass KI-gestützte Angriffe mit der Verbesserung der Modelle weiter verbreitet und ausgefeilter werden und dass Krankenhäuser, Wasseraufbereitungsanlagen und Internetinfrastruktur gefährdet sind.

Eine neue Ransomware-Gruppe namens VantaCore hat mindestens sieben russische Unternehmen mit einem proprietären Ransomware-Stamm angegriffen und Lösegeld in Millionenhöhe gefordert. Das Sicherheitsunternehmen F6 bewertete die Gruppe als Rebranding einer bekannten pro-ukrainischen Gruppe, die als Thor verfolgt wird. Die Angriffe verwenden auch VantaCoreLoader zur Verbreitung von Ransomware, VantaCoreRAT als Backdoor zum Sammeln von Systeminformationen und Ausführen von Befehlen sowie SnowKiller zum Beenden von Sicherheitssoftware mittels BYOVD-Technik. In separaten Strafverfolgungsnachrichten wurden zwei nigerianische Staatsangehörige, Adebola Festus Adekunle, 26, und Mudasiru Afeez Olawale, 24, in die USA ausgeliefert, um sich für finanziell motivierte Sextortion von Minderjährigen strafrechtlich zu verantworten, die in Mississippi und North Carolina zu Todesfällen führte. Beiden drohen Höchststrafen von lebenslanger Haft.

Für Website-Betreiber beginnen viele dieser Angriffe mit einem kompromittierten Login oder einem nicht gepatchten Plugin. Deshalb ist es eine praktische Verteidigung, Ihre Hosting-Umgebung aktuell und überwacht zu halten. AEU Hosting bietet verwaltetes WordPress-Hosting, das durchgängig abgesichert ist, sodass Website-Betreiber die Chance verringern können, von der Art von Fehlkonfiguration und ungepatchter Software getroffen zu werden, die diese Kampagnen ausnutzen.