▸▾Herleitung der Bewertung(4)
Wie der Wert zustande kommt
- Hoechster CVSS-Basiswert 10.0+18
- EPSS 91.7 % Ausnutzungswahrscheinlichkeit binnen 30 Tagen+14
- Ohne Anmeldung ueber das Netz ausnutzbar (CVE-2026-118737, CVSS-Vektor AV:N/PR:N)+10
- Belegte ATT&CK-Technik zum Erstzugriff+6
Woraus sich die Konfidenz ergibt
- Nur ein Herausgeber — keine Gegenlesung
- Strukturierte CVE-Daten aus der NVD vorhanden
Die Konfidenz misst die Belegqualität, nicht die Schwere.
Bewertung v1.2, deterministisch berechnet. Bedrohungswert und Konfidenz sind getrennte Größen.Methodik
ThreatsDay: 59 Linux Kernel Bugs, Falcon Spyware, GSocket Backdoors + 17 More Stories
Nordkoreanische Hacker haben 6,43 Milliarden Dollar von Binance gestohlen und versuchen, die Gelder über Tausende von Wallets und Blockchains zu waschen, unter anderem durch die Schaffung von Meme-Coins. Zudem nutzen Angreifer das Open-Source-Tool GSocket, um nach der Behebung von Schwachstellen weiterhin Zugriff auf Linux-Server zu erhalten. Nutzer sollten wachsam sein, da Angreifer gefälschte Websites und gestohlene Zugangsdaten verwenden, um sich Zugang zu verschaffen.
SecBoard-Einordnung
Der Diebstahl und die Geldwäsche von Kryptowährungen stellen ein erhebliches finanzielles Risiko dar. Die Nutzung von GSocket ermöglicht Angreifern, persistenten Zugriff auf Linux-Server zu behalten, was zu langfristigen Kompromittierungen führen kann, selbst nach der Behebung ursprünglicher Schwachstellen.
Realistisch schlimmster Fall: Anhaltender unautorisierter Zugriff auf kritische Linux-Infrastrukturen, der zur Datenexfiltration, Systemmanipulation oder weiteren Kompromittierungen führen kann. Erheblicher finanzieller Verlust durch Kryptowährungsdiebstahl und -wäsche.
Empfehlung: Implementieren Sie robuste Sicherheitsmaßnahmen, um anfängliche Kompromittierungen zu verhindern, und überwachen Sie Linux-Server auf Anzeichen von GSocket-Bereitstellung. Seien Sie wachsam gegenüber Phishing-Versuchen und verdächtigen Zugriffsanfragen. Überprüfen Sie die Sicherheit von Kryptowährungstransaktionen und -plattformen.
Im erfassten Bestand
- ▸5. erfasste Meldung zu Grandoreiro innerhalb von 90 Tagen.
- ▸CVE-2026-118737 kommt damit in 3 erfassten Meldungen der letzten 90 Tage vor.
Gezählt im eigenen Bestand, rückwärts ab dem Erscheinungsdatum. Das ist Belegstärke, keine Aussage über die Häufigkeit in der Welt.
Key Facts
- CVSS
- 10.0 · CRITICAL
- EPSS
- 91.7%
- Über das Netz
- ja
- Anmeldung nötig
- nein
- Nutzerinteraktion nötig
- nein
- Angriffskomplexität
- niedrig
- Beeinträchtigt
- Vertraulichkeit, Integrität, Verfügbarkeit
- Patch
- unbekannt
- Zuweisende CNA
- security-advisories@github.com
- CVSS
- 9.8 · CRITICAL
- EPSS
- 1.8%
- Über das Netz
- ja
- Anmeldung nötig
- nein
- Nutzerinteraktion nötig
- nein
- Angriffskomplexität
- niedrig
- Beeinträchtigt
- Vertraulichkeit, Integrität, Verfügbarkeit
- Patch
- unbekannt
- Zuweisende CNA
- security-advisories@github.com
- CVSS
- 8.1 · HIGH
- EPSS
- 0.7%
- Über das Netz
- ja
- Anmeldung nötig
- nein
- Nutzerinteraktion nötig
- nein
- Angriffskomplexität
- hoch
- Beeinträchtigt
- Vertraulichkeit, Integrität, Verfügbarkeit
- Patch
- unbekannt
- Zuweisende CNA
- secure@microsoft.com
- CVSS
- 7.8 · HIGH
- EPSS
- 0.2%
- Über das Netz
- nein
- Anmeldung nötig
- ja
- Nutzerinteraktion nötig
- nein
- Angriffskomplexität
- niedrig
- Beeinträchtigt
- Vertraulichkeit, Integrität, Verfügbarkeit
- Patch
- unbekannt
Betroffen
Organisationen, die Linux-Server betreiben und Kryptowährungen nutzen oder mit ihnen in Verbindung stehen. Nutzer, die anfällig für Phishing-Angriffe sind.
Hersteller
Produkte
▸ CPE-Rohbezeichner anzeigen▾ CPE-Rohbezeichner ausblenden (2)
- cpe:2.3:a:flowiseai:flowise:*:*:*:*:*:*:*:*
- cpe:2.3:a:flowiseai:flowise:3.0.5:*:*:*:*:*:*:*
Prüfen
3- ▸Überprüfen Sie Linux-Server auf die Präsenz von GSocket-Artefakten oder ungewöhnlichen Netzwerkverbindungen, die auf ein Remote Access Tool hindeuten könnten.
- ▸Führen Sie regelmäßige Audits von Zugriffsrechten und -protokollen auf Linux-Systemen durch, um unautorisierte Aktivitäten zu erkennen.
▸ 1 weitere▾ weniger
- ▸Schulen Sie Mitarbeiter im Erkennen von Phishing-Versuchen und der Verifizierung von Website-Authentizität, insbesondere im Kontext von Kryptowährungsplattformen.
Offene Punkte
3▸ anzeigen▾ ausblenden
- ▸Die spezifischen anfänglichen Schwachstellen, die zur Kompromittierung der Linux-Server führten, sind nicht genannt.
- ▸Es ist nicht spezifiziert, welche spezifischen Branchen oder geografischen Regionen am stärksten betroffen sind.
- ▸Die genauen Methoden, mit denen die gestohlenen Zugangsdaten erlangt wurden, sind nicht detailliert.
Red-Team-Relevanz
Was heißt das für dein nächstes Assessment?
▸ Einordnung anzeigen▾ Einordnung ausblenden
- Initial Access möglich?Ja
- Privilege Escalation relevant?Ja
- Exploit öffentlich verfügbar?Möglich
- Detection / Logging prüfbar?Ja
- Für Purple-Team-Szenario geeignet?Möglich
Kundenfragen
- Haben wir Palo Alto extern erreichbar?
- Haben wir Active Directory / Entra extern erreichbar?
- Können wir Resource Development detektieren?
- Können wir Initial Access detektieren?
Erwähnte Akteure & Werkzeuge
Abgleich mit dem MITRE-ATT&CK-Katalog
MITRE ATT&CK(6)
Techniken aus allen Quellen zusammengeführt — nach Stärke des Belegs sortiert.
„Angreifer verwenden gefälschte Websites und gestohlene Zugangsdaten, um sich Zugang zu verschaffen.“
„GSocket ist ein Remote Access Tool, das für die Kommunikation mit kompromittierten Systemen verwendet wird.“
„Die Schaffung von Meme-Coins zur Geldwäsche könnte als eine Form der Ressourcennutzung interpretiert werden.“
„Angreifer nutzen das Open-Source-Tool GSocket, um nach der Behebung von Schwachstellen weiterhin Zugriff auf Linux-Server zu erhalten.“
Mehrere Herkünfte bei derselben Technik heißt: mehrere unabhängige Wege führen dorthin.
Kill-Chain-Phasen
Wie weit im Ablauf die belegten Techniken liegen — je Technik die früheste Phase.
Auskundschaften
0
Bewaffnung
1
Zustellung
1
Ausnutzung
0
Einnistung
0
Fernsteuerung
0
Zielhandlung
0
1 Techniken ohne Phasenzuordnung (z. B. Verteidigungsumgehung, die quer zu allen Phasen läuft)
Quellen & Belege· 1 Quelle
Redaktionelle Berichterstattung, meist Zweitverwertung einer Primaerquelle.
- Nur eine Quelle — der Sachverhalt ist an keiner zweiten Stelle gegengelesen.
Verknüpfte Intelligence
Dieselben Entitäten an anderer Stelle auf SecBoard.
ATT&CK-Heatmap