DNS hijacking versteckt Glücksspielseiten auf vertrauenswürdigen Domains
DNS hijacking ermöglichte es laut Infoblox, nicht autorisierte Glücksspielseiten unter legitimen Schul- und Regierungsdomains erscheinen zu lassen. DNS, das Domain Name System, steuert, zu welchem Onlinedienst ein Domainname Besucher weiterleitet. Bei zwei voneinander unabhängigen Operationen verschafften sich Angreifer offenbar Zugriff auf die DNS-Verwaltung und erstellten records, die den Domaininhabern möglicherweise nicht auffielen. Die daraus hervorgegangenen hostnames übernahmen die vertrauenswürdigen institutionellen namespaces und waren dadurch für die Sichtbarkeit in Suchmaschinen und die Generierung von Traffic nützlich.
Eine Gruppe, die einem Akteur namens Hidden Hawk zugeschrieben wird, fügte einzelne CNAME records hinzu, die einen hostname auf einen anderen umleiten, und verwies institutionelle Adressen auf Glücksspielseiten, die hauptsächlich auf Cloudflare Pages gehostet wurden. Bei einer separaten Operation, die eine Domain der indischen Regierung betraf, wurden ganze Subzones an externe authoritative nameservers delegiert. Ein wildcard ermöglichte anschließend die Kontrolle zahlreicher hostnames außerhalb der DNS-Umgebung des Opfers. Beide Techniken erzeugten scheinbar institutionelle Adressen, die per DNS auf illegale Glücksspiel-Doorway-Pages verwiesen und vom etablierten Ruf der kompromittierten Domains profitierten.
Die Offenlegung von Zugangsdaten war ein weiteres wiederkehrendes Problem. Hudson Rock erklärte, seine erweiterte FortiBleed-Untersuchung habe 975 zusätzliche Domains und 40.573 offengelegte Secrets identifiziert, darunter 37.076 records lokaler Benutzer und 1.576 Active Directory LDAP bind records. Das Material stammte aus 1.703 FortiGate-Quelldateien, die 1.689 Host-IDs zugeordnet waren und ungefähr aus dem Februar 2026 stammten. Unabhängig davon wurden bei einem Scan von 7,25 Millionen öffentlichen Gitee-Repositories 26.400 eindeutige Zugangsdaten gefunden, deren fortbestehende Gültigkeit bestätigt wurde. Dazu gehörten Tausende access keys für Cloud-Dienste sowie die Zugangsdaten eines Organisationsadministrators für eine bedeutende unternehmensweite AI-Plattform.
Cequence verfolgte außerdem einen Scanner, der sich als etwa 32 AI-Bots ausgab, darunter ChatGPT, Claude und Perplexity, und dabei ungefähr 90 Dateipfade abfragte, die häufig für Passwörter, Cloud-Zugangsdaten, private SSH keys und .env-Konfigurationsdateien verwendet werden. Der Akteur wechselte zwischen verschiedenen Identitäten, sendete von jeder Adresse innerhalb von etwa acht Sekunden jeweils 50 bis 190 Anfragen und verwendete zufällige Pfade, um Websites zu erkennen, die auf jede Anfrage eine Antwort liefern. Die Aktivität betraf mehrere Branchen und blieb mindestens von Ende September bis Ende Oktober aktiv.
Mehrere Schwachstellen erforderten sofortige Aufmerksamkeit. Fortinet veröffentlichte abgestimmte Updates für FortiOS, FortiManager und FortiAnalyzer, die kritische Schwachstellen und solche mit hohem Schweregrad beheben, die mithilfe eines AI-gestützten Ansatzes gefunden worden waren. Technische Einzelheiten wurden jedoch bis zum 10. November 2026 zurückgehalten. Wordfence erklärte, weiterhin Anfragen im Zusammenhang mit den PHP2Shell-Schwachstellen CVE-2026-109618 und CVE-2026-109619 auf mehr als 5 Millionen geschützten Websites zu beobachten. Bis zum 28. Oktober hatte das Unternehmen keine durch eine der beiden Schwachstellen verursachte Kompromittierung von WordPress festgestellt und betonte, dass Scanversuche keine erfolgreiche Ausnutzung belegen.
Angreifer nutzten CVE-2026-42589 aktiv aus, eine mit 9,8 bewertete Gotenberg-Schwachstelle für remote code execution, die im Mai 2026 gepatcht wurde. remote code execution bedeutet, dass ein Angreifer ein verwundbares System von einem anderen Ort aus Befehle ausführen lassen kann. VulnCheck registrierte innerhalb von 30 Tagen 1.358 Ausnutzungsereignisse von 128 Quell-IP-Adressen. Bei den beobachteten Angriffen wurde eine Go-basierte reverse shell namens cache_base installiert, die Informationen über den Host sammelte, einen Command-Server kontaktierte, das Opfer registrierte und remote shell access öffnete.
Pillar Security veröffentlichte Einzelheiten zu CVE-2026-93348, einer mit 8,6 bewerteten Schwachstelle im Modellladeprozess von Unsloth. Eine feindlich präparierte Modellkonfiguration konnte Python-Code mit den Zugriffsrechten des Model Loaders auf Datensätze, Modelldateien, Hugging Face tokens und Cloud-Zugangsdaten ausführen. Das Problem wurde in unsloth_zoo 2026.8.14 behoben. XBOW berichtete separat über eine nicht authentifizierte, kritische Schwachstelle für remote code execution in einem öffentlich zugänglichen Logistikrechner der U.S. Election Assistance Commission. Bei der betroffenen Anwendung handelte es sich weder um eine Wahlmaschine noch um ein Wählerregistrierungssystem, doch eine präparierte Anfrage konnte innerhalb ihres Backend-Containers Code als root ausführen.
Auch Software-Lieferketten und vertrauenswürdige Verwaltungstools spielten eine bedeutende Rolle. JFrog und SafeDep fanden bei elf Eigentümern 42 übernommene GitHub-Repositories, die Execution Hooks für AI-Coding-Assistenten und integrierte Entwicklungsumgebungen enthielten. Polymorphe Wrapper mit einer Größe zwischen 12,9 und 13,7 MB wurden zu demselben versteckten Veröffentlichungs-Payload decodiert. Der zugehörige npm-Worm aus der Miasma-Familie stahl Zugangsdaten, verbreitete sich über Pakete und Repositories und enthielt eine Komponente, die das Home-Verzeichnis löschte, wenn ein Opfer ein gestohlenes GitHub token widerrief. Kompromittierte Projekte starteten außerdem Workflows, die über CVE-2026-41940 auf cPanel-Systeme zielten. Huntress beobachtete unterdessen, wie Angreifer die legitimen Mobile-Device-Management-Plattformen Hexnode und Rippling missbrauchten, nachdem sie Benutzer dazu gebracht hatten, Geräte zu registrieren oder Management Agents zu installieren. Dadurch entstand ein privilegierter Zugangsweg für betrügerische Remote-Management-Tools.
Huntress brachte zudem mehrere Vorfälle im September und Oktober mit kompromittierter Kameraverwaltungssoftware in Verbindung. Bei der Operation wurde das legitime Programm WpcMon.exe verwendet, um durch Sideloading schädliche DLL files zu laden und ausgehende Verbindungen herzustellen. Eine weitere treiberbasierte Technik kam bei der Ransomware-Operation The Gentlemen zum Einsatz, die laut Acronis mehr als 800 Opfer für sich beansprucht hatte. Ihre Affiliates greifen Windows-, Linux-, NAS- und BSD-Systeme an und nutzten die verwundbaren Treiber Safetica ProcessMonitorDriver, geführt unter CVE-2025-70795, sowie Lenovo BootRepair.sys, um Sicherheitsprozesse zu beenden.
Unter Android erlaubte die gepatchte Microsoft-Authenticator-Schwachstelle CVE-2026-80097, auch AuthMask genannt, einer schädlichen Anwendung ohne zusätzliche Berechtigungen, sich als installierte First-Party-App von Microsoft auszugeben. Wenn ein Benutzer den angezeigten Authentifizierungsablauf abschloss, konnte Authenticator der schädlichen App authentication tokens für ein angemeldetes Arbeitskonto übergeben. Microsoft erklärte, eine erfolgreiche Ausnutzung könne den Zugriff auf Ressourcen mit den Rechten des betroffenen Benutzers ermöglichen. Google kündigte außerdem an, dass eine kommende Android-Version Apps daran hindern wird, über WRITE_CONTACTS direkt in Kontakte zu schreiben. Stattdessen werden Apps standardmäßige Kontaktaktionen verwenden, an denen der Benutzer beteiligt ist. Dadurch wird der umfassende Hintergrundzugriff reduziert, den die bestehende Berechtigung gewährt.
Mobile-Banking-Kunden sind einem separaten Crimeware-Dienst namens MR ROBOT ausgesetzt. CloudSEK beschrieb eine vermietete Plattform, deren Affiliates einen Telegram-Bot und ein Webpanel verwenden, um maßgeschneiderte Android-Banking-Trojaner zu erstellen. Die Malware zielt auf OTPs, Karteninformationen, UPI PINs und Kontozugangsdaten und kann Anrufe weiterleiten, um Prüfungen zu umgehen. Sie imitiert etwa 36 Apps von Banken, Versorgungsunternehmen und Behörden und wird über gefälschte App-Store-Seiten sowie Ködernachrichten verbreitet. Schätzungen zufolge fing einer der Affiliates 5.407 Nachrichten von 153 infizierten Geräten ab.
Zu den weiteren Malware-Entwicklungen gehörte NIK C2, das Cisco Talos als AI-integriertes command-and-control framework beschrieb.