Lage auf einen Blick
Die Finanzbranche ist aktuell mit einer kritischen Bedrohungslage konfrontiert, die sich durch die aktive Ausnutzung von Schwachstellen in weit verbreiteter Backup-Software und spezifischen Finanzanwendungen auszeichnet. Neben direkten Angriffen auf die Infrastruktur werden auch Datenlecks bei Finanzinstituten und der Missbrauch legitimer Kollaborations- und Zahlungsplattformen zur Verbreitung bösartiger Inhalte beobachtet. Die Bedrohung durch Ransomware bleibt bestehen, wobei Akteure wie Play und Akira weiterhin aktiv sind. Ein weiterer Fokus liegt auf der Integrität von Dienstleistern, wie der Anklage gegen einen CEO einer Ransomware-Wiederherstellungsfirma zeigt, der heimlich Lösegelder zahlte.
Aktuelle Bedrohungen & Vorfälle
Im gelieferten Beobachtungsdatensatz fällt auf, dass die aktive Ausnutzung von Schwachstellen in Backup-Lösungen wie AhsayCBS zu einer unmittelbaren Bedrohung führt. Angreifer installieren dabei Web-Shells und Kryptominer, teilweise getarnt als legitime Software wie Microsoft Edge. Auch Schwachstellen in Plex Media Server (Plex2Shell) wurden kurz nach ihrer Offenlegung aktiv für die Installation von Kryptominern und Linux-Proxy-Backdoors genutzt. Diese Vorfälle unterstreichen die Notwendigkeit schneller Patch-Zyklen und eines umfassenden Schwachstellenmanagements, insbesondere für exponierte Systeme.
Ein Datenverlust bei der State Bank of India, bei dem Kundendatensätze im Darknet auftauchten, verdeutlicht das anhaltende Risiko von Datenlecks in der Finanzbranche. Darüber hinaus missbrauchen Angreifer zunehmend legitime Infrastrukturen – darunter Kollaborations-, Produktivitäts- und Zahlungsplattformen – als Lieferketten für bösartige Inhalte. Dies erschwert die Erkennung, da der Traffic von vertrauenswürdigen Quellen stammt.
Aktive Bedrohungsakteure
Die Ransomware-Akteure Play und Akira wurden im Beobachtungsdatensatz mehrfach genannt, was auf ihre anhaltende Aktivität und Relevanz für die Finanzbranche hindeutet. Weitere genannte Malware-Familien wie Qilin, Amadey, SocGholish, Clop, Shai-Hulud und NightClub sowie der Akteur Volt Typhoon unterstreichen die Vielfalt der Bedrohungen. Für die Verteidigung bedeutet dies, dass Finanzinstitute auf eine breite Palette von Angriffstechniken vorbereitet sein müssen, die von verschiedenen Akteuren eingesetzt werden.
Angriffsmuster in dieser Branche
Die beobachteten Angriffsmuster in der Finanzbranche umfassen:
- Ausnutzung von Schwachstellen in Drittanbieter-Software: Insbesondere Backup-Lösungen und Medien-Server werden als Einfallstore genutzt, um Web-Shells, Kryptominer und Backdoors zu installieren.
- Datenexfiltration und -lecks: Persönliche Kundendaten sind weiterhin ein primäres Ziel, was die Bedeutung robuster Datenschutzmaßnahmen und Incident Response unterstreicht.
- Missbrauch legitimer Infrastruktur: Angreifer nutzen vertrauenswürdige Plattformen zur Verbreitung von Malware, was traditionelle Perimeter-Verteidigungsstrategien herausfordert.
- Ransomware-Angriffe: Trotz der Anklage gegen einen CEO, der Lösegelder zahlte, bleibt Ransomware eine konstante Bedrohung, die auf Betriebsunterbrechungen und Erpressung abzielt.
Relevante Schwachstellen
Zwei kritische Schwachstellen in Ahsay AhsayCBS, CVE-2026-105134 (CVSS 10.0) und CVE-2026-105133 (CVSS 7.3), sind von besonderer Relevanz. Beide sind über das Netz ohne Anmeldung ausnutzbar und werden aktiv ausgenutzt, um Web-Shells und Kryptominer zu installieren. Sie betreffen ein im KEV-Katalog benanntes Produkt, was ihre Dringlichkeit unterstreicht. Oracle Financial Services Applications weisen ebenfalls mehrere kritische Schwachstellen auf, die anonymen Angreifern die Kompromittierung von Vertraulichkeit, Integrität und Verfügbarkeit ermöglichen.
Empfehlungen für Security-Teams
Quellenhinweise
- The Hacker News: AhsayCBS Flaws Exploited to Deploy Web Shells Get New Fixes After Incomplete Patches
- The Hacker News: Attackers Exploit AhsayCBS Flaws to Deploy XMRig Miners Disguised as Microsoft Edge
- The Hacker News: Hackers Exploit Plex2Shell Flaws to Install Crypto Miners and Linux Proxy Backdoor
- SecurityWeek: Plex2Shell Exploit Chain Weaponized Against Plex Servers Hours After Disclosure
- KrebsOnSecurity: U.K. Sanctions Cryptomus for RU Money Laundering
- The Record: DOJ charges ransomware recovery CEO for secretly paying hackers
- BleepingComputer: Ransomware recovery CEO charged over secret ransom payments
- CERT-Bund: [NEU] [hoch] Oracle Financial Services Applications: Mehrere Schwachstellen
- Cisco Talos: Parasitizing trust: How legitimate infrastructure becomes a delivery pipeline for attackers
- The Hacker News: State Bank of India Confirms Data Leak After 3,897 Customer Records Found on Dark Web
- BleepingComputer: OpenAI says GPT-6.1 Sol is dramatically better at migrating legacy code
- SecurityWeek: AI Platform Cairn Abused to Hack Over 100 Organizations
- BleepingComputer: Revolut outage disrupts online banking operations worldwide
- BleepingComputer: Inside the Underground Market for Know Your Client Services
- The Hacker News: OpenAI Research Model Spent 3rd-Party Test ETH Without Permission to Deploy Smart Contract
- SecurityWeek: BAE Systems Security Incident Stalls Notices From US Bankruptcy Courts
- BleepingComputer: BAE Systems cyberattack disrupts US federal court operations
- DefenseScoop Cyber: Pentagon averts cyber pay cuts — for now — with one-year C-MIP ‘transition plan’