Red Team

Hitachi Energy warnt vor Sicherheitslücken in älteren, nicht mehr unterstützten Firmware-Versionen (<=11.x) der RTU500 CMU-Serie, die weltweit in kritischen Infrastrukturen eingesetzt werden. Diese Schwachstellen, darunter fehlende Authentifizierung und unzureichende Autorisierung, könnten Angreifern die Manipulation der Geräte ermöglichen. Betroffene Kunden sollten dringend auf die neuesten unterstützten Firmware-Versionen (z.B. 12.7.8 oder 13.9.1) aktualisieren und zusätzliche Cybersicherheitsmaßnahmen implementieren.

Hitachi Energy warnt vor Schwachstellen in der Open-Source-Software, die die REB500-Produktversionen bis 8.3.3.1 betreffen. Authentifizierte Angreifer könnten diese nutzen, um Denial-of-Service-Angriffe (DoS) durchzuführen. Betroffen sind kritische Infrastrukturen weltweit. Es wird dringend empfohlen, auf Version 8.3.4.0 zu aktualisieren, um die Schwachstellen zu beheben.

Hitachi Energy hat eine kritische RCE-Schwachstelle (CVE-2026-34197) in der Apache ActiveMQ-Komponente seiner SOI-Produktversionen 2.0.0 bis 2.2.0 entdeckt. Diese Lücke ermöglicht es einem authentifizierten Angreifer, beliebigen Code auszuführen und die Vertraulichkeit, Integrität und Verfügbarkeit des Produkts zu gefährden. Betroffen sind Kunden weltweit, insbesondere im Energiesektor. Hitachi Energy empfiehlt dringend, den Patch SOI EP2 zu installieren, der ActiveMQ auf Version 5.19.5 aktualisiert, und die allgemeinen Sicherheitsrichtlinien zu befolgen.

Hitachi Energy warnt vor kritischen Schwachstellen in der Asset Suite (Versionen bis 9.9.0), die unauthentifizierten Zugriff auf Servlets ermöglichen. Dies kann zu Datenlecks, Integritätsverletzungen und Dienstausfällen führen und betrifft weltweit Unternehmen im Energiesektor. Betreiber sollten die betroffenen Servlets deaktivieren oder auf Version 9.9.1 aktualisieren, sobald diese verfügbar ist.

Hacker nutzen Schwachstellen in den WordPress-Plugins "Ninja Forms" und "WPC Product Bundles for WooCommerce" aus, um Backdoors zu installieren und versteckte Admin-Konten zu erstellen. Betroffen sind Hunderttausende von WordPress-Seiten, die diese Plugins in älteren Versionen verwenden. Administratoren sollten umgehend auf die neuesten Versionen der Plugins (Ninja Forms 3.15.4+ und WPC Product Bundles 8.6.7+) aktualisieren, um ihre Websites zu schützen.

Beim Pwn2Own Ireland 2026 Wettbewerb wurden am ersten Tag 32 Zero-Day-Schwachstellen in verschiedenen Geräten, darunter das Samsung Galaxy S26, Smart-Home-Geräte und Drucker, entdeckt. Sicherheitsforscher demonstrierten erfolgreiche Hacks, um diese Lücken aufzudecken. Die betroffenen Hersteller haben nun 90 Tage Zeit, Sicherheitsupdates bereitzustellen, bevor die Schwachstellen öffentlich gemacht werden.

Angreifer nutzen eine kritische Schwachstelle (CVE-2026-88771) in Citrix NetScaler ADC und NetScaler Gateway aus, um Web-Shells zu installieren und Konfigurationsdaten zu stehlen. Betroffen sind Organisationen, die diese Geräte verwenden. Es wird dringend empfohlen, die betroffenen Appliances herunterzufahren und auf Anzeichen einer Kompromittierung zu prüfen.

Russische Hacker greifen vermehrt Smartphones von ukrainischem Militärpersonal und Regierungsbeamten an, um Spionage zu betreiben und finanzielle Angriffe durchzuführen. Dabei werden sowohl Android- als auch iOS-Geräte mit bösartigen Apps und Exploits wie DarkSword kompromittiert. Betroffen sind sensible Daten wie Anmeldeinformationen und Nachrichten. Ukrainische Behörden warnen vor gefälschten Websites und raten zur Vorsicht bei unbekannten Apps und Links.

Unbekannte Angreifer nutzen eine kritische Schwachstelle (CVE-2026-88772) in Citrix NetScaler ADC und Gateway-Appliances aus, um Root-Zugriff zu erlangen und Malware wie WHIPSHOT und SLAPSHOT zu installieren. Betroffen sind Organisationen in Nordamerika und Europa, darunter Regierungs-, Finanz-, Technologie- und Bildungssektoren. Unternehmen sollten die Schwachstelle umgehend patchen, um sich vor weiterer Ausnutzung und Datenlecks zu schützen.

Das niederländische Institut für Vulnerability Disclosure (DIVD), eine gemeinnützige Organisation von freiwilligen Sicherheitsforschern, wurde Opfer eines KI-gesteuerten Cyberangriffs. Ein autonomer KI-Agent nutzte eine technische Schwachstelle aus, um in das Netzwerk einzudringen und post-Exploitation-Aktivitäten durchzuführen. DIVD hat eine Untersuchung eingeleitet, die Polizei und Datenschutzbehörden informiert und wird am 1. Oktober weitere Details sowie Informationen für mögliche andere Opfer der Schwachstelle bereitstellen.

Merlin is a cross-platform post-exploitation HTTP/2 Command & Control server and agent written in golang. · Sprache: Go · Topics: agent, c2, command-and-control, golang, http2, post-exploitation · ⭐ 5,609 Stars

US- und UK-Behörden warnen vor aktiv ausgenutzten Zero-Day-Schwachstellen in Citrix NetScaler ADC- und Gateway-Geräten. Betroffen sind Organisationen weltweit, die diese Produkte zur Zugangsverwaltung nutzen. Administratoren sollen umgehend Patches installieren und forensische Untersuchungen durchführen, um eine Kompromittierung auszuschließen.

Eine neue Linux-Backdoor namens ClingSTUN verwandelt infizierte Systeme in Proxys und nutzt das STUN-Protokoll zur Selbstausbreitung. Sie zielt auf Dutzende von Schwachstellen in Geräten verschiedener Hersteller wie Avtech, D-Link und TP-Link ab. Betroffene sollten verdächtige STUN-Aktivitäten, unerwartete UDP-Verbindungen und ungewöhnlichen Prozessverhalten überwachen, um die Malware zu erkennen und zu bekämpfen.

Die Ransomware-Gruppe Warlock, mutmaßlich aus China, hat kritische Infrastrukturen wie Wasserversorger, Telekommunikationsanbieter, Regierungsbehörden und Universitäten angegriffen. Sie nutzten Schwachstellen in Microsoft SharePoint aus, um sich Zugang zu verschaffen. Betroffen sind vor allem portugiesisch- und spanischsprachige Länder. Unternehmen sollten ihre SharePoint-Systeme dringend patchen und robuste EDR-Lösungen implementieren, um sich vor solchen Angriffen zu schützen.

Die Ransomware-Gruppe Warlock (Longlegs/Storm-2603) zielt weiterhin auf SharePoint-Server ab, um kritische Infrastrukturen, Regierungs- und Bildungseinrichtungen anzugreifen. Betroffen sind Organisationen weltweit, darunter Versorgungsunternehmen, Telekommunikationsanbieter und Universitäten. Unternehmen sollten SharePoint-Schwachstellen, insbesondere ToolShell und neuere Bugs wie CVE-2026-32201, umgehend patchen und ihre Sicherheitssysteme überprüfen.

Browserbasierte Angriffe sind die häufigste Ursache für Sicherheitsverletzungen, wobei Phishing für Zugangsdaten und Sitzungen sowie bösartiges Kopieren und Einfügen (ClickFix) die gefährlichsten Techniken sind. Unternehmen und deren Mitarbeiter, die Geschäftsanwendungen im Browser nutzen, sind betroffen. Es ist entscheidend, sich nicht nur auf E-Mail-Sicherheit zu verlassen, sondern auch auf moderne Phishing-Kits und neue Angriffsvektoren über Instant Messaging, soziale Medien und manipulierte Webseiten zu achten.

Microsoft hat die Malware "NeedyMantis" analysiert, die von chinesischen Hackern (Storm-3069) bei Angriffen auf Telekommunikations- und Regierungsorganisationen eingesetzt wurde. Tausende Computer wurden über eine manipulierte Daemon Tools-Software infiziert, wobei eine Backdoor auf etwa einem Dutzend Geräten installiert wurde. Betroffen sind Organisationen in Belarus, Russland und Thailand, darunter Regierungs-, Wissenschafts-, Fertigungs- und Einzelhandelsunternehmen. Microsoft empfiehlt, die detaillierte Analyse von NeedyMantis zu prüfen, um die Erkennung und Abwehr dieser hochentwickelten, modularen Malware zu verbessern.

Chinesische Hacker (UTA0565) nutzten Zero-Day-Schwachstellen in Chrome und Windows über gefälschte Websites, um die CLEANGULP-Malware zu verbreiten. Betroffen sind asiatische Regierungsstellen, die mit Phishing-E-Mails getäuscht wurden. Nutzern wird dringend empfohlen, ihre Systeme zu aktualisieren und wachsam bei verdächtigen Links zu sein.

Angreifern ist es gelungen, Schwachstellen in RMM-Software (Remote Monitoring and Management) auszunutzen, was Tausende von Kundengeräten von MSPs (Managed Service Provider) gefährdet. Betroffen sind Unternehmen, die RMM-Tools wie N-central nutzen, da diese Software weitreichenden administrativen Zugriff bietet. MSPs sollten ihre RMM-Software dringend auf acht kritische Kontrollen testen, darunter Endpunkterkennung, Patch-Management und Zugriffskontrollen, um ihre Kunden zu schützen.

Aktuell warnen Behörden vor Cyberangriffen auf Citrix NetScaler und die Helpdesk-Software Zammad. Betroffen sind Nutzer von NetScaler, die als SAML-SP oder -IDP fungieren, sowie Zammad-Installationen mit bestimmten Versionsnummern. Es wird dringend empfohlen, die entsprechenden Updates für Citrix NetScaler und Zammad (Version 7.2.0) zu installieren, um die kritischen Sicherheitslücken zu schließen. Für Zammad-Nutzer, die nicht sofort aktualisieren können, wird das Offline-Nehmen der Software oder die Nutzung eines Prüfskripts empfohlen.

Ein neuer Zero-Day-Exploit für Citrix Netscaler-Geräte ist im Umlauf, der Abstürze und Codeausführung verursacht. Betroffen sind alle Netscaler-Admins, insbesondere jene mit der neuesten Betriebssystemversion, da der Exploit eine Umgehung einer kürzlich gepatchten Lücke sein könnte. Da noch keine Patches verfügbar sind, sollten Betroffene den Kundendienst kontaktieren und erhöhte Wachsamkeit zeigen.

Angreifer nutzen zunehmend Browser-basierte Angriffe, um Endpoint Detection and Response (EDR)-Systeme zu umgehen, da diese oft keine bösartigen Prozesse auf dem Endpunkt erzeugen. Dies betrifft Unternehmen, die stark auf SaaS-Anwendungen setzen, da sensible Aktionen wie Daten-Uploads oder OAuth-Genehmigungen direkt im Browser stattfinden. Unternehmen sollten ihre Sicherheitsstrategien anpassen, um Browser- und Identitäts-Workflows stärker zu überwachen und nicht nur auf EDR zu vertrauen.

SpecterOps hat in Zusammenarbeit mit OpenAI den neuen Kurs "Adversary Intelligence: LLM Tradecraft" veröffentlicht. Dieser richtet sich an Sicherheitsexperten, die verstehen möchten, wie moderne LLMs und Agentensysteme funktionieren, wie sie ausgenutzt und gesichert werden können. Der Kurs soll die Wissenslücke bei der Anwendung und Absicherung dieser Technologien schließen.

Das Dutch Institute for Vulnerability Disclosure (DIVD) wurde Opfer eines KI-gesteuerten Angriffs, der zwei Zero-Day-Schwachstellen in der Ticketing-Lösung Zammad ausnutzte. Betroffen sind Zammad-Versionen 6.3.0 bis 6.5.4, wobei Angreifer Fernzugriff und Privilegienerhöhung erlangen konnten. Zammad-Nutzer sollten dringend auf Version 7 aktualisieren oder ihre Instanzen offline nehmen und nach Kompromittierungsindikatoren suchen.

Die chinesischsprachige Cybercrime-Gruppe UAT-10147 nutzt KI, um Windows- und Linux-Webserver weltweit anzugreifen. Betroffen sind Bildung, Medien, Technologie und Gaming, insbesondere in Brasilien, Bolivien, China, Kanada und Vietnam. Die Gruppe setzt SPECTRE mit EDR-Bypass und Linux-Rootkits ein. Unternehmen sollten ihre Systeme umgehend auf Schwachstellen überprüfen und Patches einspielen.

Detection-aware BloodHound attack-path scoring - find the quietest route to your objective, calibrated across audit/EDR/SIEM tiers. · Sprache: Python · Topics: active-directory, attack-paths, bloodhound, detection, opsec, pentesting · ⭐ 11 Stars

Snaky C2 — Windows EDR evasion & Red Team C2 framework based on Rust & Nim (Indirect Syscalls, KCT injection, LSB Steganography) · Sprache: Rust · Topics: backdoor, c2, c2-framework, discord-rat, discord-token, hacktool · ⭐ 10 Stars

Eine neue APT-Angriffskampagne namens "HelloNet" nutzt das ViPNet-Update-System, um bösartige Module wie "HelloInjector" und "HelloProxy" zu verbreiten. Betroffen sind große russische Organisationen aus Regierung, Energie, Transport, Bildung, Logistik und Industrie. Unternehmen sollten ihre Systeme auf die genannten Indikatoren für Kompromittierung (IoCs) und TTPs überprüfen und entsprechende Erkennungsregeln implementieren, um die Bedrohung zu identifizieren und zu neutralisieren.