SecBoard
Zurück zur Übersicht
Kritisch100 / 100Konfidenz: Hoch
In CISA KEVCVSS10.0EPSS100 %Über Netz erreichbarOhne Anmeldung
▸Herleitung der Bewertung(10)

Wie der Wert zustande kommt

  • Im CISA-KEV-Katalog: CVE-2015-3306, CVE-2015-5477, CVE-2016-3081, CVE-2021-22205, CVE-2021-3199, CVE-2023-22894+25
  • Hoechster CVSS-Basiswert 10.0+18
  • EPSS 99.7 % Ausnutzungswahrscheinlichkeit binnen 30 Tagen+15
  • Hinweis auf verfuegbaren Angriffscode: exploit code+10
  • Ohne Anmeldung ueber das Netz ausnutzbar (CVE-2015-3306, CVSS-Vektor AV:N/PR:N)+10
  • Belegte Wirkungstaktik: collection, exfiltration+8
  • Datenabfluss — Thema: sensitive data | Ereignisbeleg: victim, victims+8
  • Belegte ATT&CK-Technik zum Erstzugriff+6
  • Belegte Angriffskette ueber 4 Kill-Chain-Phasen+6
  • Betrifft KRITIS-nahe Branche: behoerden+5

Woraus sich die Konfidenz ergibt

  • 3 unabhaengige Herausgeber berichten den Sachverhalt
  • Darunter eine behoerdliche Primaerquelle
  • Strukturierte CVE-Daten aus der NVD vorhanden
  • ATT&CK-Techniken ueber explizite Technik-ID belegt

Die Konfidenz misst die Belegqualität, nicht die Schwere.

Einschränkungen

  • 2 im Text genannte CVE(s) liegen uns nicht vor und gehen nicht in die Bewertung ein: CVE-2014-6278, CVE-2019-11510

Bewertung v1.2, deterministisch berechnet. Bedrohungswert und Konfidenz sind getrennte Größen.Methodik

Behörden & E-GovTech-Radar

Chinese Government-linked Cyber Threat Actors Combine Automated and Hands-on Hacking Tools to Steal Sensitive Data

CISA Alerts·
Originalartikel lesen bei CISA Alerts

Chinesische, mit der Regierung verbundene Cyber-Akteure nutzen automatisierte Tools und Botnets, um weltweit sensible Daten, auch aus kritischen US-Infrastrukturen, zu stehlen. Sie zielen auf Schwachstellen in Microsoft Exchange-Servern ab und etablieren Persistenz über VPN-Software. Betroffene Organisationen sollten ungenutzte Dienste deaktivieren, Webanwendungseingaben bereinigen, implementieren und zeitnahe Patches anwenden, um das Kompromittierungsrisiko zu mindern.

SecBoard-Einordnung

Diese Akteure kombinieren automatisierte und manuelle Hacking-Methoden, um sensible Daten zu stehlen, was zu erheblichen Sicherheitsverletzungen und potenziellen Betriebsunterbrechungen führen kann. Die Nutzung von Microsoft Exchange-Schwachstellen und VPNs für Persistenz stellt ein hohes Risiko dar.

Realistisch schlimmster Fall: Der schlimmste Fall ist der Diebstahl sensibler Daten, einschließlich E-Mails und Anmeldeinformationen, aus kritischen Infrastrukturen, was zu weitreichenden Kompromittierungen, Spionage und potenziellen Sabotageakten führen könnte.

Empfehlung: Deaktivieren Sie ungenutzte Dienste, bereinigen Sie Webanwendungseingaben, implementieren Sie und wenden Sie zeitnahe Patches an, insbesondere für Microsoft Exchange-Server und VPN-Software.

Im erfassten Bestand

  • ▸CVE-2021-22205 stand zum Zeitpunkt dieser Meldung seit 1798 Tagen im KEV-Katalog der CISA.

Gezählt im eigenen Bestand, rückwärts ab dem Erscheinungsdatum. Das ist Belegstärke, keine Aussage über die Häufigkeit in der Welt.

Key Facts

 

CVE-2021-22205CISA KEV
CVSS
10.0 · CRITICAL
EPSS
99.7%
Über das Netz
ja
Anmeldung nötig
nein
Nutzerinteraktion nötig
nein
Angriffskomplexität
niedrig
Beeinträchtigt
Vertraulichkeit, Integrität, Verfügbarkeit
im KEV seit
2021-11-03
Patch
unbekannt
CVE-2015-3306CISA KEV
CVSS
10.0 · CRITICAL
EPSS
99.5%
Über das Netz
ja
Anmeldung nötig
nein
Nutzerinteraktion nötig
nein
Angriffskomplexität
niedrig
Beeinträchtigt
Vertraulichkeit, Integrität, Verfügbarkeit
im KEV seit
2026-10-08
Patch
unbekannt
Zuweisende CNA
cve@mitre.org
CVE-2021-3199CISA KEV
CVSS
9.8 · CRITICAL
EPSS
20.1%
Über das Netz
ja
Anmeldung nötig
nein
Nutzerinteraktion nötig
nein
Angriffskomplexität
niedrig
Beeinträchtigt
Vertraulichkeit, Integrität, Verfügbarkeit
im KEV seit
2026-10-08
Patch
unbekannt
Zuweisende CNA
cve@mitre.org
CVE-2016-3081CISA KEV
CVSS
8.1 · HIGH
EPSS
96.1%
Über das Netz
ja
Anmeldung nötig
nein
Nutzerinteraktion nötig
nein
Angriffskomplexität
hoch
Beeinträchtigt
Vertraulichkeit, Integrität, Verfügbarkeit
im KEV seit
2026-10-08
Patch
unbekannt
Zuweisende CNA
secalert@redhat.com
CVE-2015-5477CISA KEV
CVSS
7.5 · HIGH
EPSS
99.4%
Über das Netz
ja
Anmeldung nötig
nein
Nutzerinteraktion nötig
nein
Angriffskomplexität
niedrig
Beeinträchtigt
Verfügbarkeit
im KEV seit
2026-10-08
Patch
unbekannt
Zuweisende CNA
cve@mitre.org
CVE-2023-22894CISA KEV
CVSS
4.9 · MEDIUM
EPSS
3.6%
Über das Netz
ja
Anmeldung nötig
ja
Nutzerinteraktion nötig
nein
Angriffskomplexität
niedrig
Beeinträchtigt
Vertraulichkeit
im KEV seit
2026-10-08
Patch
unbekannt
Zuweisende CNA
cve@mitre.org
CVE-2014-6278

Im Text genannt, liegt uns aber noch nicht vor.

CVE-2019-11510

Im Text genannt, liegt uns aber noch nicht vor.

Betroffen

Organisationen, die Microsoft Exchange-Server betreiben und VPN-Software nutzen, insbesondere solche in kritischen US-Infrastrukturen, sind betroffen. Die Bedrohung ist global.

Hersteller

ApacheDebianFedoraprojectGitLabHuaweiISCJuniperONLYOFFICEOpensuseProFTPDStrapiSuse

Produkte

BINDCommunity and Enterprise EditionsDocsProFTPDStrapiStrutsAgile Controller Campus FirmwareAnyoffice2 VersionenDebian Linux3 VersionenDocument ServerFedora3 VersionenFIREHUNTER6000 Firmware+8 weitere
▸ CPE-Rohbezeichner anzeigen (51)
  • cpe:2.3:a:huawei:anyoffice:v200r005c00:*:*:*:*:*:*:*
  • cpe:2.3:a:huawei:anyoffice:v200r006c00:*:*:*:*:*:*:*
  • cpe:2.3:a:huawei:logcenter:v100r001c10:*:*:*:*:*:*:*
  • cpe:2.3:a:huawei:logcenter:v100r001c20:*:*:*:*:*:*:*
  • cpe:2.3:a:onlyoffice:document_server:*:*:*:*:*:*:*:*
  • cpe:2.3:a:proftpd:proftpd:1.3.5:*:*:*:*:*:*:*
  • cpe:2.3:a:strapi:strapi:*:*:*:*:*:*:*:*
  • cpe:2.3:o:debian:debian_linux:7.0:*:*:*:*:*:*:*
  • cpe:2.3:o:debian:debian_linux:8.0:*:*:*:*:*:*:*
  • cpe:2.3:o:debian:debian_linux:9.0:*:*:*:*:*:*:*
  • cpe:2.3:o:fedoraproject:fedora:20:*:*:*:*:*:*:*
  • cpe:2.3:o:fedoraproject:fedora:21:*:*:*:*:*:*:*
  • cpe:2.3:o:fedoraproject:fedora:22:*:*:*:*:*:*:*
  • cpe:2.3:o:huawei:agile_controller-campus_firmware:v100r002c00:*:*:*:*:*:*:*
  • cpe:2.3:o:huawei:firehunter6000_firmware:v100r001c20:*:*:*:*:*:*:*
  • cpe:2.3:o:huawei:oceanstor_5300_v3_firmware:v300r001:*:*:*:*:*:*:*
  • cpe:2.3:o:huawei:oceanstor_5300_v3_firmware:v300r002:*:*:*:*:*:*:*
  • cpe:2.3:o:huawei:oceanstor_5300_v3_firmware:v300r003c00:*:*:*:*:*:*:*
  • cpe:2.3:o:huawei:oceanstor_5300_v3_firmware:v300r003c10:*:*:*:*:*:*:*
  • cpe:2.3:o:huawei:oceanstor_5500_v3_firmware:v300r001:*:*:*:*:*:*:*
  • cpe:2.3:o:huawei:oceanstor_5500_v3_firmware:v300r002:*:*:*:*:*:*:*
  • cpe:2.3:o:huawei:oceanstor_5500_v3_firmware:v300r003c00:*:*:*:*:*:*:*
  • cpe:2.3:o:huawei:oceanstor_5500_v3_firmware:v300r003c10:*:*:*:*:*:*:*
  • cpe:2.3:o:huawei:oceanstor_5600_v3_firmware:v300r001:*:*:*:*:*:*:*
  • cpe:2.3:o:huawei:oceanstor_5600_v3_firmware:v300r002:*:*:*:*:*:*:*
  • cpe:2.3:o:huawei:oceanstor_5600_v3_firmware:v300r003c00:*:*:*:*:*:*:*
  • cpe:2.3:o:huawei:oceanstor_5600_v3_firmware:v300r003c10:*:*:*:*:*:*:*
  • cpe:2.3:o:huawei:oceanstor_5800_v3_firmware:v300r001:*:*:*:*:*:*:*
  • cpe:2.3:o:huawei:oceanstor_5800_v3_firmware:v300r002:*:*:*:*:*:*:*
  • cpe:2.3:o:juniper:junos:*:*:*:*:*:*:*:*
  • cpe:2.3:o:juniper:junos:12.1:-:*:*:*:*:*:*
  • cpe:2.3:o:juniper:junos:12.1:r11:*:*:*:*:*:*
  • cpe:2.3:o:juniper:junos:12.1r:*:*:*:*:*:*:*
  • cpe:2.3:o:juniper:junos:12.1x44:-:*:*:*:*:*:*
  • cpe:2.3:o:juniper:junos:12.1x44:d10:*:*:*:*:*:*
  • cpe:2.3:o:juniper:junos:12.1x44:d15:*:*:*:*:*:*
  • cpe:2.3:o:juniper:junos:12.1x44:d20:*:*:*:*:*:*
  • cpe:2.3:o:juniper:junos:12.1x44:d25:*:*:*:*:*:*
  • cpe:2.3:o:juniper:junos:12.1x44:d30:*:*:*:*:*:*
  • cpe:2.3:o:juniper:junos:12.1x44:d35:*:*:*:*:*:*
  • cpe:2.3:o:juniper:junos:12.1x44:d40:*:*:*:*:*:*
  • cpe:2.3:o:juniper:junos:12.1x44:d45:*:*:*:*:*:*
  • cpe:2.3:o:juniper:junos:12.1x44:d50:*:*:*:*:*:*
  • cpe:2.3:o:juniper:junos:12.1x45:*:*:*:*:*:*:*
  • cpe:2.3:o:juniper:junos:12.1x45:-:*:*:*:*:*:*
  • cpe:2.3:o:juniper:junos:12.1x45:d10:*:*:*:*:*:*
  • cpe:2.3:o:juniper:junos:12.1x45:d15:*:*:*:*:*:*
  • cpe:2.3:o:juniper:junos:12.1x45:d20:*:*:*:*:*:*
  • cpe:2.3:o:opensuse:tumbleweed:-:*:*:*:*:*:*:*
  • cpe:2.3:o:suse:linux_enterprise_server:15:sp7:*:*:-:-:*:*
  • cpe:2.3:o:suse:linux_enterprise_server:15:sp7:*:*:-:sap:*:*

Prüfen

3
  • ▸Überprüfen Sie, ob alle Microsoft Exchange-Server und VPN-Software mit den neuesten Sicherheitspatches aktualisiert sind.
  • ▸Auditieren Sie alle aktiven Dienste und deaktivieren Sie ungenutzte Dienste, um die Angriffsfläche zu reduzieren.
▸ 1 weitere
  • ▸Stellen Sie sicher, dass Multi-Faktor-Authentifizierung (MFA) für alle kritischen Systeme und Fernzugriffe implementiert und erzwungen wird.

Offene Punkte

3
▸ anzeigen
  • ▸Spezifische CVEs der ausgenutzten Microsoft Exchange-Schwachstellen sind nicht angegeben.
  • ▸Details zu den verwendeten automatisierten Tools und Botnets sind nicht spezifiziert.
  • ▸Die genaue Art der VPN-Software, die für die Persistenz genutzt wird, ist nicht genannt.

Red-Team-Relevanz

Was heißt das für dein nächstes Assessment?

▸ Einordnung anzeigen
  • Initial Access möglich?Ja
  • Privilege Escalation relevant?Ja
  • Exploit öffentlich verfügbar?Ja
  • Detection / Logging prüfbar?Ja
  • Für Purple-Team-Szenario geeignet?Ja

Kundenfragen

  • Haben wir Exchange extern erreichbar?
  • Haben wir Active Directory / Entra extern erreichbar?
  • Können wir Reconnaissance detektieren?
  • Können wir Initial Access detektieren?

Erwähnte Akteure & Werkzeuge

Werkzeuge
NBTscanS0590

Abgleich mit dem MITRE-ATT&CK-Katalog

MITRE ATT&CK(27)

Techniken aus allen Quellen zusammengeführt — nach Stärke des Belegs sortiert.

T1133External Remote Servicesim Text genanntzugeordnet

„etablieren Persistenz über VPN-Software“

T1003.006OS Credential Dumping: DCSyncim Text genannt
T1020Automated Exfiltrationim Text genannt
T1036.003Masquerading: Rename Legitimate Utilitiesim Text genannt
T1059.001Command and Scripting Interpreter: PowerShellim Text genannt
T1059.004Command and Scripting Interpreter: Unix Shellim Text genannt
T1059.006Command and Scripting Interpreter: Pythonim Text genannt
T1059.007Command and Scripting Interpreter: JavaScriptim Text genannt
T1074.001Data Staged: Local Data Stagingim Text genannt
T1110.001Brute Force: Password Guessingim Text genannt
T1110.003Brute Force: Password Sprayingim Text genannt
T1114.002Email Collection: Remote Email Collectionim Text genannt
T1189Drive-by Compromiseim Text genannt
T1560.003Archive Collected Data: Archive via Custom Methodim Text genannt
T1595.002Active Scanning: Vulnerability Scanningim Text genannt
T1114Email Collectionzugeordnetabgeleitet

„exfiltrieren E-Mails“

T1041Exfiltration Over C2 Channelzugeordnet

„exfiltrieren E-Mails und Anmeldeinformationen“

T1190Exploit Public-Facing Applicationzugeordnet

„Sie zielen auf Schwachstellen in Microsoft Exchange-Servern ab“

T1552Unsecured Credentialszugeordnet

„exfiltrieren [...] Anmeldeinformationen“

T1003OS Credential Dumpingabgeleitet
T1021Remote Servicesabgeleitet
T1036Masqueradingabgeleitet
T1059Command and Scripting Interpreterabgeleitet
T1074Data Stagedabgeleitet
T1110Brute Forceabgeleitet
T1566Phishingabgeleitet
T1595Active Scanningabgeleitet

Mehrere Herkünfte bei derselben Technik heißt: mehrere unabhängige Wege führen dorthin.

Kill-Chain-Phasen

Wie weit im Ablauf die belegten Techniken liegen — je Technik die früheste Phase.

Auskundschaften

2

›

Bewaffnung

0

›

Zustellung

3

›

Ausnutzung

5

›

Einnistung

0

›

Fernsteuerung

0

›

Zielhandlung

12

2 Techniken ohne Phasenzuordnung (z. B. Verteidigungsumgehung, die quer zu allen Phasen läuft)

Verlauf der Belege

Wann welche Quelle den Vorgang zuerst berichtet hat — nicht der Ablauf des Angriffs selbst.

  1. CISA AlertsPrimärbeleg
    Chinese Government-linked Cyber Threat Actors Combine Automated and Hands-on Hacking Tools to Steal Sensitive Data
  2. BleepingComputerKontext
    FBI disrupts Chinese hacking tools used to breach critical infrastructure
  3. SecurityWeekKontext
    US Disrupts Chinese State-Sponsored Hacking Tools

Der Vorgang wird seit 3 Tagen berichtet.

Quellen & Belege· 3 unterschiedliche Quellen

CISA AlertsPrimärbelegPUBLICZuverlässigkeit Adiese Meldung

Behoerdliche Veroeffentlichung mit Amtspflicht zur Richtigkeit, frei zugaenglich.

BleepingComputerKontextPUBLICZuverlässigkeit C

Redaktionelle Berichterstattung, meist Zweitverwertung einer Primaerquelle.

SecurityWeekKontextPUBLICZuverlässigkeit C

Redaktionelle Berichterstattung, meist Zweitverwertung einer Primaerquelle.

  • Unabhaengigkeit meint den Herausgeber. Zwei Haeuser, die dieselbe Herstellermeldung nacherzaehlen, gelten hier weiter als zwei Belege.

Verknüpfte Intelligence

Dieselben Entitäten an anderer Stelle auf SecBoard.

Branchenlage

Behörden & E-Gov

ATT&CK-Heatmap

ATT&CK-Heatmap
Vollständigen Artikel lesen bei CISA Alerts