Red Team

CISA hat zwei aktiv ausgenutzte Schwachstellen (CVE-2026-65660 in Microsoft SharePoint und CVE-2026-67279 in Mikrotik RouterOS) in ihren KEV-Katalog aufgenommen. Dies betrifft insbesondere US-Bundesbehörden, aber auch alle anderen Organisationen sind gefährdet. Es wird dringend empfohlen, diese Schwachstellen umgehend zu patchen, um Cyberangriffe zu verhindern.

Die CISA hat eine kritische Remote File Inclusion Schwachstelle (CVE-2026-87902) in WordPress Core in ihren Katalog der aktiv ausgenutzten Schwachstellen (KEV) aufgenommen. Diese Lücke stellt ein erhebliches Risiko dar und wird bereits von Cyberkriminellen ausgenutzt. Bundesbehörden sind gemäß BOD 26-04 verpflichtet, diese und ähnliche Schwachstellen umgehend zu beheben; allen anderen Organisationen wird dringend empfohlen, dies ebenfalls zu tun. Es ist entscheidend, Systeme schnellstmöglich zu patchen und auf mögliche Kompromittierungen vor der Behebung zu prüfen.

Aktuell werden zwei unbestätigte Zero-Day-Schwachstellen in Citrix NetScaler ADC und NetScaler Gateway aktiv ausgenutzt, die Remote Code Execution ermöglichen. Betroffen sind Unternehmen, die diese Appliances am Netzwerkrand für VPN, Lastverteilung und Authentifizierung nutzen. Da noch kein Patch verfügbar ist, wird Administratoren dringend geraten, die betroffenen Systeme offline zu nehmen oder zu isolieren und von einer möglichen Kompromittierung auszugehen.

Die Erpressergruppe ShinyHunters umgeht mittels URL-Encoding-Tricks Web Application Firewalls (WAFs), um die Oracle PeopleSoft-Schwachstelle CVE-2026-35273 erneut auszunutzen. Betroffen sind Organisationen weltweit, insbesondere im Bildungs-, Technologie- und Gesundheitssektor, die auf WAFs statt auf Patches vertrauten. Unternehmen sollten dringend das neueste Sicherheitsupdate installieren und ihre WebLogic-Zugriffsprotokolle auf verdächtige Anfragen an `/PSEMHUB/` oder kodierte Varianten überprüfen.

CISA hat zwei aktiv ausgenutzte Schwachstellen (CVE-2026-5430 in WSO2-Produkten und CVE-2026-71362 in Adobe Commerce/Magento) in ihren KEV-Katalog aufgenommen. Dies betrifft insbesondere US-Bundesbehörden, die diese umgehend beheben müssen. Alle Organisationen werden dringend ermutigt, diese und ähnliche Schwachstellen prioritär zu patchen, um Cyberangriffe zu verhindern.

Ein neues Windows-Botnet namens x47.c wird aktiv verkauft und nutzt KI, um auf infizierten Systemen persistent zu bleiben. Es bietet DDoS-Angriffe, Datendiebstahl und die Möglichkeit, KI-API-Guthaben zu erschöpfen. Betroffen sind Unternehmen und Einzelpersonen, deren Systeme infiziert werden, wobei insbesondere KI-Dienste durch das Leeren von API-Guthaben angegriffen werden können. Nutzer sollten ihre Systeme schützen, auf verdächtige Aktivitäten achten und starke Sicherheitsmaßnahmen implementieren, um eine Infektion zu verhindern.

Ein neues Exploit-Kit namens BlueMoon, das drei Zero-Day-Schwachstellen in Chrome und Windows ausnutzt, wurde von mehreren Spionagegruppen, darunter die chinesische APT Violet Typhoon, eingesetzt. Betroffen sind NGOs, Bergbauunternehmen, Luft- und Raumfahrtfirmen sowie Regierungs- und Finanzinstitutionen weltweit. Nutzer sollten ihre Systeme umgehend patchen, um die geschlossenen Sicherheitslücken zu beheben.

Sicherheitsforscher haben eine Methode entdeckt, bei der Angreifer mit Root-Zugriff auf einem kompromittierten Kubernetes-Knoten SPIFFE/SPIRE missbrauchen können, um Workload-Identitäten zu stehlen. Dies betrifft Organisationen, die SPIFFE/SPIRE in Kubernetes- und Cloud-Umgebungen einsetzen. Unternehmen sollten ihre Knoten härten, Root-Zugriff beschränken und privilegierte Container verbieten, um sich zu schützen.

Ein mutmaßlich russischsprachiger Cyberakteur nutzte KI-Agenten, um Schwachstellen in PaperCut NG/MF auszunutzen und über 440 Instanzen zu kompromittieren. Betroffen sind hauptsächlich Bildungseinrichtungen in den USA, Europa und Australien. Unternehmen sollten ihre PaperCut-Instanzen umgehend patchen und auf verdächtige Aktivitäten überwachen.

Sicherheitsforscher haben PEEP entdeckt, ein komplexes Post-Exploitation-Toolkit, das sich als Browser-Erweiterung tarnt und Chrome/Edge in Backdoors verwandelt. Es ermöglicht Angreifern die Ausführung von Host-Befehlen, Datendiebstahl und Session-Hijacking, nachdem sie bereits Zugriff auf ein System erlangt haben. Nutzer sollten auf unbekannte Erweiterungen achten und Sicherheitspraktiken überprüfen, um solche Angriffe zu verhindern.

A cross platform C2/post-exploitation framework. · Sprache: Rust · Topics: c2, pentest-tool, post-exploitation, rat, remote-control, trojan-rat · ⭐ 711 Stars

Ein Hacker nutzte einen ungesicherten KI-Agenten (Hermes) auf einem gemieteten Server, um Post-Exploitation-Aktivitäten gegen das thailändische Finanzministerium durchzuführen. Betroffen ist die Finanzverwaltung des Landes. Es wird dringend empfohlen, KI-Systeme stets sicher zu konfigurieren und Berechtigungsabfragen für riskante Befehle zu aktivieren.

Chinesische Hacker (UTA0565) nutzten Zero-Day-Schwachstellen in Chrome und Windows über gefälschte Websites, um die CLEANGULP-Malware zu verbreiten. Betroffen sind asiatische Regierungsstellen, die mit Phishing-E-Mails getäuscht wurden. Nutzern wird dringend empfohlen, ihre Systeme zu aktualisieren und wachsam bei verdächtigen Links zu sein.

Die Bild-Sharing-Plattform Gyazo erlitt einen Datenbruch, bei dem Hacker 23,6 Millionen Nutzerdatensätze und 490 Millionen Bild-Metadaten stahlen. Betroffen sind Namen, E-Mail-Adressen, Passwort-Hashes und weitere persönliche Informationen. Gyazo hat den Dienst vorübergehend eingestellt, die Schwachstelle behoben und rät allen Nutzern, wachsam zu sein.

Ein erfahrener Angreifer nutzte eine kritische RCE-Schwachstelle (CVE-2026-39987) in Marimo-Notebooks aus, um in nur acht Sekunden von der Kompromittierung zum SSH-Bastion-Host zu gelangen. Betroffen sind alle Marimo-Versionen, wobei der Angreifer über neun Stunden hinweg über 850 Befehle ausführte und dabei handgeschriebene Skripte verwendete. Unternehmen, die Marimo einsetzen, sollten die Schwachstelle umgehend patchen und ihre Systeme auf ähnliche Aktivitäten überprüfen.

Chinesische Hacker haben eine Spear-Phishing-Kampagne gestartet, die Zero-Day-Schwachstellen in Google Chrome und Microsoft Windows ausnutzt, um die Backdoor GRIMWEDGE zu installieren. Betroffen sind mehrere Nichtregierungsorganisationen (NGOs), die durch das Anklicken eines Links in einer Phishing-E-Mail auf eine manipulierte Webseite umgeleitet wurden. Nutzer sollten wachsam sein und keine verdächtigen Links anklicken, um sich vor solchen Angriffen zu schützen.

Vier Spionagegruppen nutzten innerhalb einer Woche ein neues Exploit-Kit namens BlueMoon, das Schwachstellen in Google Chrome und Microsoft Windows ausnutzt. Betroffen sind Nutzer, die gezielte Phishing-E-Mails erhalten und schädliche Links anklicken. Es wird dringend empfohlen, Chrome und Windows umgehend auf die neuesten Versionen zu aktualisieren, um die bereits behobenen Sicherheitslücken zu schließen.

Mathspace, ein Online-Mathematikprogramm, meldete einen Datenmissbrauch, bei dem persönliche Informationen von über einer Million Personen aus Australien und Neuseeland offengelegt wurden. Hacker nutzten eine bekannte Schwachstelle in einer Metabase-Instanz, um Namen, Benutzernamen und E-Mail-Adressen zu stehlen. Betroffene sollten besonders vorsichtig bei unerwünschten Kommunikationen sein, die sich auf den Vorfall beziehen, um Phishing-Angriffe zu vermeiden.

Künstliche Intelligenz (KI) wird zunehmend in der offensiven Cybersicherheit eingesetzt, um Effizienz und Entscheidungsqualität zu verbessern. Unternehmen wie SpecterOps nutzen KI für Red Teaming, Forschung und Analyse, wobei sie jedoch betonen, dass menschliches Urteilsvermögen und Validierung unerlässlich bleiben. Betroffene sollten verstehen, dass KI zwar nützliche Tools und Zeitersparnisse bieten kann, aber auch zu Fehlinterpretationen führen kann, wenn sie nicht korrekt implementiert und überwacht wird. Es wird empfohlen, KI-Systeme mit Bedacht zu integrieren und stets eine unabhängige Überprüfung der Ergebnisse sicherzustellen.

SpecterOps hat "Ghostwriter Skills" veröffentlicht, eine neue Sammlung von Agenten-Fähigkeiten zur Automatisierung gängiger Ghostwriter-Arbeitsabläufe. Betroffen sind Ghostwriter-Nutzer, die nun Aufgaben wie die Erstellung und Überprüfung von Berichtsvorlagen, die Prüfung der Berichtsreife und das Entwerfen von Zusammenfassungen effizienter erledigen können. Anwendern wird empfohlen, diese neuen Tools zu nutzen, um manuelle Arbeit zu reduzieren und sich auf die Analyse zu konzentrieren.

Adobe hat kritische Sicherheitslücken in Connect und Experience Manager (AEM) Forms sowie weiteren Produkten behoben. Diese Schwachstellen könnten Angreifern die Ausführung von beliebigem Code oder die Eskalation von Privilegien ermöglichen. Betroffen sind Nutzer dieser Adobe-Produkte. Es wird dringend empfohlen, die bereitgestellten Patches innerhalb der nächsten 30 Tage zu installieren.

Angreifer nutzen eine kritische Schwachstelle (CVE-2026-94127) in F5 BIG-IP Access Policy Manager (APM) aus, um unauthentifizierte Codeausführung zu ermöglichen. Betroffen sind Systeme, bei denen APM als OAuth-Autorisierungsserver fungiert. F5 hat Hotfixes veröffentlicht, die umgehend installiert werden sollten, um die Lücke zu schließen.

Eine kritische Zero-Day-Schwachstelle (CVE-2026-94127) in F5 BIG-IP Access Policy Manager (APM) wird aktiv ausgenutzt. Unauthentifizierte Angreifer können dadurch Remote Code Execution erreichen. Betroffen sind Organisationen, die BIG-IP APM mit spezifischen OAuth-Konfigurationen nutzen. F5 hat Hotfixes veröffentlicht und rät dringend zur sofortigen Installation.

F5 hat ein kritisches Zero-Day-Leck (CVE-2026-94127) in BIG-IP APM gepatcht, das bereits für Remote Code Execution-Angriffe ausgenutzt wird. Betroffen sind Instanzen, die als OAuth Authorization Server konfiguriert sind. Kunden sollten umgehend die Sicherheitsupdates installieren oder die von F5 bereitgestellten Gegenmaßnahmen anwenden und Systeme auf Kompromittierung prüfen.

Die chinesischsprachige Cybercrime-Gruppe UAT-10147 nutzt KI, um Windows- und Linux-Webserver weltweit anzugreifen. Betroffen sind Bildung, Medien, Technologie und Gaming, insbesondere in Brasilien, Bolivien, China, Kanada und Vietnam. Die Gruppe setzt SPECTRE mit EDR-Bypass und Linux-Rootkits ein. Unternehmen sollten ihre Systeme umgehend auf Schwachstellen überprüfen und Patches einspielen.

Detection-aware BloodHound attack-path scoring - find the quietest route to your objective, calibrated across audit/EDR/SIEM tiers. · Sprache: Python · Topics: active-directory, attack-paths, bloodhound, detection, opsec, pentesting · ⭐ 11 Stars

Snaky C2 — Windows EDR evasion & Red Team C2 framework based on Rust & Nim (Indirect Syscalls, KCT injection, LSB Steganography) · Sprache: Rust · Topics: backdoor, c2, c2-framework, discord-rat, discord-token, hacktool · ⭐ 10 Stars

Eine neue APT-Angriffskampagne namens "HelloNet" nutzt das ViPNet-Update-System, um bösartige Module wie "HelloInjector" und "HelloProxy" zu verbreiten. Betroffen sind große russische Organisationen aus Regierung, Energie, Transport, Bildung, Logistik und Industrie. Unternehmen sollten ihre Systeme auf die genannten Indikatoren für Kompromittierung (IoCs) und TTPs überprüfen und entsprechende Erkennungsregeln implementieren, um die Bedrohung zu identifizieren und zu neutralisieren.