SecBoard
Zurück zur Übersicht
Kritisch80 / 100Konfidenz: Hoch
In CISA KEVCVSS10.0EPSS100 %Über Netz erreichbarOhne Anmeldung
▸Herleitung der Bewertung(6)

Wie der Wert zustande kommt

  • Im CISA-KEV-Katalog: CVE-2015-3306, CVE-2015-5477, CVE-2016-3081, CVE-2021-3199, CVE-2023-22894, CVE-2021-22205+25
  • Hoechster CVSS-Basiswert 10.0+18
  • EPSS 99.7 % Ausnutzungswahrscheinlichkeit binnen 30 Tagen+15
  • Ohne Anmeldung ueber das Netz ausnutzbar (CVE-2015-3306, CVSS-Vektor AV:N/PR:N)+10
  • Belegte ATT&CK-Technik zum Erstzugriff+6
  • Spionagekampagne — Thema: state-sponsored | Ereignisbeleg: victim, victims+6

Woraus sich die Konfidenz ergibt

  • 3 unabhaengige Herausgeber berichten den Sachverhalt
  • Darunter eine behoerdliche Primaerquelle
  • Strukturierte CVE-Daten aus der NVD vorhanden

Die Konfidenz misst die Belegqualität, nicht die Schwere.

Einschränkungen

  • 2 im Text genannte CVE(s) liegen uns nicht vor und gehen nicht in die Bewertung ein: CVE-2014-6278, CVE-2019-11510

Bewertung v1.2, deterministisch berechnet. Bedrohungswert und Konfidenz sind getrennte Größen.Methodik

Tech-Radar

FBI disrupts Chinese hacking tools used to breach critical infrastructure

BleepingComputer·
Originalartikel lesen bei BleepingComputer

Das FBI hat sieben Domains beschlagnahmt, die von chinesischen Hackern (Flax Typhoon) genutzt wurden, um kritische Infrastrukturen weltweit anzugreifen. Betroffen sind Unternehmen und Organisationen, darunter Energieversorger und Flughäfen in den USA, Japan, Polen und Taiwan. Unternehmen sollten ihre Netzwerke auf Schwachstellen überprüfen und Sicherheitsmaßnahmen verstärken.

SecBoard-Einordnung

Die Angriffe zielen auf kritische Infrastrukturen ab, was zu erheblichen Störungen und potenziellen nationalen Sicherheitsrisiken führen kann. Die Nutzung von Spear-Phishing und Schwachstellenscans erfordert eine proaktive Verteidigung.

Realistisch schlimmster Fall: Ein erfolgreicher Angriff könnte zu weitreichenden Ausfällen kritischer Dienste wie Stromversorgung oder Flugverkehr führen, mit erheblichen wirtschaftlichen und gesellschaftlichen Folgen.

Empfehlung: Überprüfen Sie Ihre Netzwerke auf Schwachstellen, implementieren Sie robuste Sicherheitsmaßnahmen und schulen Sie Mitarbeiter im Umgang mit Spear-Phishing-Angriffen.

Im erfassten Bestand

  • ▸CVE-2021-22205 stand zum Zeitpunkt dieser Meldung seit 1800 Tagen im KEV-Katalog der CISA.

Gezählt im eigenen Bestand, rückwärts ab dem Erscheinungsdatum. Das ist Belegstärke, keine Aussage über die Häufigkeit in der Welt.

Key Facts

 

CVE-2021-22205CISA KEV
CVSS
10.0 · CRITICAL
EPSS
99.7%
Über das Netz
ja
Anmeldung nötig
nein
Nutzerinteraktion nötig
nein
Angriffskomplexität
niedrig
Beeinträchtigt
Vertraulichkeit, Integrität, Verfügbarkeit
im KEV seit
2021-11-03
Patch
unbekannt
CVE-2015-3306CISA KEV
CVSS
10.0 · CRITICAL
EPSS
99.5%
Über das Netz
ja
Anmeldung nötig
nein
Nutzerinteraktion nötig
nein
Angriffskomplexität
niedrig
Beeinträchtigt
Vertraulichkeit, Integrität, Verfügbarkeit
im KEV seit
2026-10-08
Patch
unbekannt
Zuweisende CNA
cve@mitre.org
CVE-2021-3199CISA KEV
CVSS
9.8 · CRITICAL
EPSS
20.1%
Über das Netz
ja
Anmeldung nötig
nein
Nutzerinteraktion nötig
nein
Angriffskomplexität
niedrig
Beeinträchtigt
Vertraulichkeit, Integrität, Verfügbarkeit
im KEV seit
2026-10-08
Patch
unbekannt
Zuweisende CNA
cve@mitre.org
CVE-2016-3081CISA KEV
CVSS
8.1 · HIGH
EPSS
96.1%
Über das Netz
ja
Anmeldung nötig
nein
Nutzerinteraktion nötig
nein
Angriffskomplexität
hoch
Beeinträchtigt
Vertraulichkeit, Integrität, Verfügbarkeit
im KEV seit
2026-10-08
Patch
unbekannt
Zuweisende CNA
secalert@redhat.com
CVE-2015-5477CISA KEV
CVSS
7.5 · HIGH
EPSS
99.4%
Über das Netz
ja
Anmeldung nötig
nein
Nutzerinteraktion nötig
nein
Angriffskomplexität
niedrig
Beeinträchtigt
Verfügbarkeit
im KEV seit
2026-10-08
Patch
unbekannt
Zuweisende CNA
cve@mitre.org
CVE-2023-22894CISA KEV
CVSS
4.9 · MEDIUM
EPSS
3.6%
Über das Netz
ja
Anmeldung nötig
ja
Nutzerinteraktion nötig
nein
Angriffskomplexität
niedrig
Beeinträchtigt
Vertraulichkeit
im KEV seit
2026-10-08
Patch
unbekannt
Zuweisende CNA
cve@mitre.org
CVE-2014-6278

Im Text genannt, liegt uns aber noch nicht vor.

CVE-2019-11510

Im Text genannt, liegt uns aber noch nicht vor.

Betroffen

Unternehmen und Organisationen, insbesondere Energieversorger, Flughäfen und Universitäten, die kritische Infrastrukturen betreiben oder Teil davon sind, in den USA, Japan, Polen und Taiwan.

Hersteller

ApacheDebianFedoraprojectGitLabHuaweiISCJuniperONLYOFFICEOpensuseProFTPDStrapiSuse

Produkte

BINDCommunity and Enterprise EditionsDocsProFTPDStrapiStrutsAgile Controller Campus FirmwareAnyoffice2 VersionenDebian Linux3 VersionenDocument ServerFedora3 VersionenFIREHUNTER6000 Firmware+8 weitere
▸ CPE-Rohbezeichner anzeigen (51)
  • cpe:2.3:a:huawei:anyoffice:v200r005c00:*:*:*:*:*:*:*
  • cpe:2.3:a:huawei:anyoffice:v200r006c00:*:*:*:*:*:*:*
  • cpe:2.3:a:huawei:logcenter:v100r001c10:*:*:*:*:*:*:*
  • cpe:2.3:a:huawei:logcenter:v100r001c20:*:*:*:*:*:*:*
  • cpe:2.3:a:onlyoffice:document_server:*:*:*:*:*:*:*:*
  • cpe:2.3:a:proftpd:proftpd:1.3.5:*:*:*:*:*:*:*
  • cpe:2.3:a:strapi:strapi:*:*:*:*:*:*:*:*
  • cpe:2.3:o:debian:debian_linux:7.0:*:*:*:*:*:*:*
  • cpe:2.3:o:debian:debian_linux:8.0:*:*:*:*:*:*:*
  • cpe:2.3:o:debian:debian_linux:9.0:*:*:*:*:*:*:*
  • cpe:2.3:o:fedoraproject:fedora:20:*:*:*:*:*:*:*
  • cpe:2.3:o:fedoraproject:fedora:21:*:*:*:*:*:*:*
  • cpe:2.3:o:fedoraproject:fedora:22:*:*:*:*:*:*:*
  • cpe:2.3:o:huawei:agile_controller-campus_firmware:v100r002c00:*:*:*:*:*:*:*
  • cpe:2.3:o:huawei:firehunter6000_firmware:v100r001c20:*:*:*:*:*:*:*
  • cpe:2.3:o:huawei:oceanstor_5300_v3_firmware:v300r001:*:*:*:*:*:*:*
  • cpe:2.3:o:huawei:oceanstor_5300_v3_firmware:v300r002:*:*:*:*:*:*:*
  • cpe:2.3:o:huawei:oceanstor_5300_v3_firmware:v300r003c00:*:*:*:*:*:*:*
  • cpe:2.3:o:huawei:oceanstor_5300_v3_firmware:v300r003c10:*:*:*:*:*:*:*
  • cpe:2.3:o:huawei:oceanstor_5500_v3_firmware:v300r001:*:*:*:*:*:*:*
  • cpe:2.3:o:huawei:oceanstor_5500_v3_firmware:v300r002:*:*:*:*:*:*:*
  • cpe:2.3:o:huawei:oceanstor_5500_v3_firmware:v300r003c00:*:*:*:*:*:*:*
  • cpe:2.3:o:huawei:oceanstor_5500_v3_firmware:v300r003c10:*:*:*:*:*:*:*
  • cpe:2.3:o:huawei:oceanstor_5600_v3_firmware:v300r001:*:*:*:*:*:*:*
  • cpe:2.3:o:huawei:oceanstor_5600_v3_firmware:v300r002:*:*:*:*:*:*:*
  • cpe:2.3:o:huawei:oceanstor_5600_v3_firmware:v300r003c00:*:*:*:*:*:*:*
  • cpe:2.3:o:huawei:oceanstor_5600_v3_firmware:v300r003c10:*:*:*:*:*:*:*
  • cpe:2.3:o:huawei:oceanstor_5800_v3_firmware:v300r001:*:*:*:*:*:*:*
  • cpe:2.3:o:huawei:oceanstor_5800_v3_firmware:v300r002:*:*:*:*:*:*:*
  • cpe:2.3:o:juniper:junos:*:*:*:*:*:*:*:*
  • cpe:2.3:o:juniper:junos:12.1:-:*:*:*:*:*:*
  • cpe:2.3:o:juniper:junos:12.1:r11:*:*:*:*:*:*
  • cpe:2.3:o:juniper:junos:12.1r:*:*:*:*:*:*:*
  • cpe:2.3:o:juniper:junos:12.1x44:-:*:*:*:*:*:*
  • cpe:2.3:o:juniper:junos:12.1x44:d10:*:*:*:*:*:*
  • cpe:2.3:o:juniper:junos:12.1x44:d15:*:*:*:*:*:*
  • cpe:2.3:o:juniper:junos:12.1x44:d20:*:*:*:*:*:*
  • cpe:2.3:o:juniper:junos:12.1x44:d25:*:*:*:*:*:*
  • cpe:2.3:o:juniper:junos:12.1x44:d30:*:*:*:*:*:*
  • cpe:2.3:o:juniper:junos:12.1x44:d35:*:*:*:*:*:*
  • cpe:2.3:o:juniper:junos:12.1x44:d40:*:*:*:*:*:*
  • cpe:2.3:o:juniper:junos:12.1x44:d45:*:*:*:*:*:*
  • cpe:2.3:o:juniper:junos:12.1x44:d50:*:*:*:*:*:*
  • cpe:2.3:o:juniper:junos:12.1x45:*:*:*:*:*:*:*
  • cpe:2.3:o:juniper:junos:12.1x45:-:*:*:*:*:*:*
  • cpe:2.3:o:juniper:junos:12.1x45:d10:*:*:*:*:*:*
  • cpe:2.3:o:juniper:junos:12.1x45:d15:*:*:*:*:*:*
  • cpe:2.3:o:juniper:junos:12.1x45:d20:*:*:*:*:*:*
  • cpe:2.3:o:opensuse:tumbleweed:-:*:*:*:*:*:*:*
  • cpe:2.3:o:suse:linux_enterprise_server:15:sp7:*:*:-:-:*:*
  • cpe:2.3:o:suse:linux_enterprise_server:15:sp7:*:*:-:sap:*:*

Prüfen

3
  • ▸Überprüfen Sie Ihre Netzwerkinfrastruktur auf unbekannte oder verdächtige Domains, die mit den beschlagnahmten Domains in Verbindung stehen könnten.
  • ▸Führen Sie regelmäßige Schwachstellen-Scans und Penetrationstests durch, um potenzielle Angriffsvektoren zu identifizieren.
▸ 1 weitere
  • ▸Testen Sie die Effektivität Ihrer E-Mail-Sicherheitslösungen gegen Spear-Phishing-Angriffe und führen Sie Awareness-Trainings für Mitarbeiter durch.

Offene Punkte

3
▸ anzeigen
  • ▸Spezifische CVEs oder Schwachstellen, die von den Angreifern ausgenutzt wurden, sind nicht im Artikel genannt.
  • ▸Die genaue Art der 'MicroScan' und 'FishHub' Tools und ihre detaillierten Funktionen sind nicht spezifiziert.
  • ▸Die genauen Methoden, wie die Domains zur Bereitstellung der Tools genutzt wurden, sind nicht detailliert.

Red-Team-Relevanz

Was heißt das für dein nächstes Assessment?

▸ Einordnung anzeigen
  • Initial Access möglich?Ja
  • Privilege Escalation relevant?Unklar
  • Exploit öffentlich verfügbar?Ja
  • Detection / Logging prüfbar?Ja
  • Für Purple-Team-Szenario geeignet?Ja

Kundenfragen

  • Haben wir Exchange extern erreichbar?
  • Haben wir Active Directory / Entra extern erreichbar?
  • Können wir Initial Access detektieren?

MITRE ATT&CK(2)

Techniken aus allen Quellen zusammengeführt — nach Stärke des Belegs sortiert.

T1566Phishingzugeordnetabgeleitet

„These tools were used to scan for vulnerabilities and conduct spear-phishing attacks“

T1595Active Scanningzugeordnet

„These tools were used to scan for vulnerabilities“

Mehrere Herkünfte bei derselben Technik heißt: mehrere unabhängige Wege führen dorthin.

Kill-Chain-Phasen

Wie weit im Ablauf die belegten Techniken liegen — je Technik die früheste Phase.

Auskundschaften

0

›

Bewaffnung

0

›

Zustellung

1

›

Ausnutzung

0

›

Einnistung

0

›

Fernsteuerung

0

›

Zielhandlung

0

Verlauf der Belege

Wann welche Quelle den Vorgang zuerst berichtet hat — nicht der Ablauf des Angriffs selbst.

  1. CISA AlertsPrimärbeleg
    Chinese Government-linked Cyber Threat Actors Combine Automated and Hands-on Hacking Tools to Steal Sensitive Data
  2. BleepingComputerKontext
    FBI disrupts Chinese hacking tools used to breach critical infrastructure
  3. SecurityWeekKontext
    US Disrupts Chinese State-Sponsored Hacking Tools

Der Vorgang wird seit 3 Tagen berichtet.

Quellen & Belege· 3 unterschiedliche Quellen

CISA AlertsPrimärbelegPUBLICZuverlässigkeit A

Behoerdliche Veroeffentlichung mit Amtspflicht zur Richtigkeit, frei zugaenglich.

BleepingComputerKontextPUBLICZuverlässigkeit Cdiese Meldung

Redaktionelle Berichterstattung, meist Zweitverwertung einer Primaerquelle.

SecurityWeekKontextPUBLICZuverlässigkeit C

Redaktionelle Berichterstattung, meist Zweitverwertung einer Primaerquelle.

  • Unabhaengigkeit meint den Herausgeber. Zwei Haeuser, die dieselbe Herstellermeldung nacherzaehlen, gelten hier weiter als zwei Belege.

Verknüpfte Intelligence

Dieselben Entitäten an anderer Stelle auf SecBoard.

ATT&CK-Heatmap

ATT&CK-Heatmap
Themen
Security
Vollständigen Artikel lesen bei BleepingComputer