▸▾Herleitung der Bewertung(6)
Wie der Wert zustande kommt
- Im CISA-KEV-Katalog: CVE-2026-68820+25
- Hoechster CVSS-Basiswert 7.0+13
- Ransomware-Vorfall — Thema: ransomware, ransom, leak site | Ereignisbeleg: victim, victims+10
- Belegte ATT&CK-Technik zum Erstzugriff+6
- 1 zugeordnete(r) Akteur/Malware-Eintrag aus dem MITRE-Katalog+6
- Betrifft KRITIS-nahe Branche: finanzen+5
Woraus sich die Konfidenz ergibt
- Nur ein Herausgeber — keine Gegenlesung
- Strukturierte CVE-Daten aus der NVD vorhanden
Die Konfidenz misst die Belegqualität, nicht die Schwere.
Bewertung v1.2, deterministisch berechnet. Bedrohungswert und Konfidenz sind getrennte Größen.Methodik
Lazarus Abuses South Korean Security Software to Deploy Malware Using Post-Quantum Encryption
Die Lazarus-Gruppe hat in Südkorea eine Cyber-Spionagekampagne namens „Operation FlashHole“ gestartet, die Bau-, Software- und Telekommunikationsunternehmen betrifft. Die Angreifer missbrauchen obligatorische südkoreanische Finanz-Sicherheitssoftware wie INISAFE CrossWeb EX, um Malware mit Post-Quanten-Verschlüsselung zu verbreiten. Nutzer dieser Software sollten dringend prüfen, ob ihre Systeme betroffen sind, und entsprechende Sicherheitsupdates installieren.
SecBoard-Einordnung
Die Kampagne nutzt vertrauenswürdige Sicherheitssoftware als Vektor, was die Erkennung erschwert und ein hohes Risiko für die betroffenen Sektoren darstellt. Die Verwendung von Post-Quanten-Verschlüsselung deutet auf eine langfristige Spionageabsicht hin.
Realistisch schlimmster Fall: Umfassende Kompromittierung von Systemen, Datenexfiltration und langfristige Cyber-Spionage durch die Lazarus-Gruppe, die sensible Informationen aus den betroffenen Branchen entwendet.
Empfehlung: Südkoreanische Organisationen, die INISAFE CrossWeb EX oder ähnliche obligatorische Finanz-Sicherheitssoftware verwenden, müssen umgehend prüfen, ob ihre Systeme betroffen sind, und alle Sicherheitsupdates installieren.
Im erfassten Bestand
- ▸18. erfasste Meldung zu Lazarus Group innerhalb von 90 Tagen.
- ▸CVE-2026-68820 kommt damit in 17 erfassten Meldungen der letzten 90 Tage vor.
Gezählt im eigenen Bestand, rückwärts ab dem Erscheinungsdatum. Das ist Belegstärke, keine Aussage über die Häufigkeit in der Welt.
Key Facts
- CVSS
- 7.0 · HIGH
- EPSS
- 0.3%
- Über das Netz
- nein
- Anmeldung nötig
- ja
- Nutzerinteraktion nötig
- nein
- Angriffskomplexität
- hoch
- Beeinträchtigt
- Vertraulichkeit, Integrität, Verfügbarkeit
- im KEV seit
- 2026-08-11
- Patch
- unbekannt
- Zuweisende CNA
- secure@microsoft.com
Betroffen
Südkoreanische Organisationen in den Bereichen Bau, Softwareentwicklung und Telekommunikationsausrüstung, die obligatorische Finanz-Sicherheitssoftware wie Initech's INISAFE CrossWeb EX verwenden.
Hersteller
Produkte
▸ CPE-Rohbezeichner anzeigen▾ CPE-Rohbezeichner ausblenden (16)
- cpe:2.3:o:microsoft:windows_10_1607:*:*:*:*:*:*:x64:*
- cpe:2.3:o:microsoft:windows_10_1607:*:*:*:*:*:*:x86:*
- cpe:2.3:o:microsoft:windows_10_1809:*:*:*:*:*:*:x64:*
- cpe:2.3:o:microsoft:windows_10_1809:*:*:*:*:*:*:x86:*
- cpe:2.3:o:microsoft:windows_10_21h2:*:*:*:*:*:*:*:*
- cpe:2.3:o:microsoft:windows_10_22h2:*:*:*:*:*:*:*:*
- cpe:2.3:o:microsoft:windows_11_23h2:*:*:*:*:*:*:*:*
- cpe:2.3:o:microsoft:windows_11_24h2:*:*:*:*:*:*:*:*
- cpe:2.3:o:microsoft:windows_11_25h2:*:*:*:*:*:*:*:*
- cpe:2.3:o:microsoft:windows_11_26h1:*:*:*:*:*:*:*:*
- cpe:2.3:o:microsoft:windows_server_2012:-:*:*:*:*:*:*:*
- cpe:2.3:o:microsoft:windows_server_2012:r2:*:*:*:*:*:*:*
- cpe:2.3:o:microsoft:windows_server_2016:*:*:*:*:*:*:*:*
- cpe:2.3:o:microsoft:windows_server_2019:*:*:*:*:*:*:*:*
- cpe:2.3:o:microsoft:windows_server_2022:*:*:*:*:*:*:*:*
- cpe:2.3:o:microsoft:windows_server_2025:*:*:*:*:*:*:*:*
Prüfen
3- ▸Überprüfen Sie die Integrität und die installierten Versionen von INISAFE CrossWeb EX und ähnlicher obligatorischer Finanz-Sicherheitssoftware auf allen Systemen.
- ▸Suchen Sie nach ungewöhnlichen Netzwerkverbindungen oder Prozessen, die von der genannten Sicherheitssoftware ausgehen.
▸ 1 weitere▾ weniger
- ▸Implementieren Sie eine strenge Überwachung von Dateisystemänderungen und Prozessausführungen, insbesondere in Bezug auf die missbrauchte Software.
Offene Punkte
3▸ anzeigen▾ ausblenden
- ▸Spezifische CVEs oder Schwachstellen, die in der Finanz-Sicherheitssoftware ausgenutzt werden, sind nicht angegeben.
- ▸Die genauen Mechanismen der Post-Quanten-Verschlüsselung und deren Implementierung in der Malware sind nicht detailliert.
- ▸Die spezifischen Indikatoren für eine Kompromittierung (IOCs) sind im Artikel nicht aufgeführt.
Red-Team-Relevanz
Was heißt das für dein nächstes Assessment?
▸ Einordnung anzeigen▾ Einordnung ausblenden
- Initial Access möglich?Ja
- Privilege Escalation relevant?Ja
- Exploit öffentlich verfügbar?Ja
- Detection / Logging prüfbar?Ja
- Für Purple-Team-Szenario geeignet?Ja
Kundenfragen
- Haben wir Windows extern erreichbar?
- Können wir Initial Access detektieren?
- Können wir Stealth detektieren?
Erwähnte Akteure & Werkzeuge
MITRE ATT&CK(5)
Techniken aus allen Quellen zusammengeführt — nach Stärke des Belegs sortiert.
„Die Angreifer missbrauchen obligatorische südkoreanische Finanz-Sicherheitssoftware... um Malware zu verbreiten.“
„Malware mit Post-Quanten-Verschlüsselung zu verbreiten.“
„Die Angreifer missbrauchen obligatorische südkoreanische Finanz-Sicherheitssoftware wie INISAFE CrossWeb EX, um Malware zu verbreiten.“
Mehrere Herkünfte bei derselben Technik heißt: mehrere unabhängige Wege führen dorthin.
Kill-Chain-Phasen
Wie weit im Ablauf die belegten Techniken liegen — je Technik die früheste Phase.
Auskundschaften
0
Bewaffnung
0
Zustellung
1
Ausnutzung
0
Einnistung
0
Fernsteuerung
0
Zielhandlung
0
1 Techniken ohne Phasenzuordnung (z. B. Verteidigungsumgehung, die quer zu allen Phasen läuft)
Quellen & Belege· 1 Quelle
Redaktionelle Berichterstattung, meist Zweitverwertung einer Primaerquelle.
- Nur eine Quelle — der Sachverhalt ist an keiner zweiten Stelle gegengelesen.
Verknüpfte Intelligence
Dieselben Entitäten an anderer Stelle auf SecBoard.
CVE-Profile
Akteursprofile
Branchenlage
ATT&CK-Heatmap