[datensicherheit.de, 06.07.2026] Laut einer Meldung von Google hat die „Google Threat Intelligence Group“ (GTIG) in Abstimmung mit dem FBI und anderen Branchenpartnern Maßnahmen ergriffen, um „NetNut“ (auch bekannt als „Popa“) – eines der weltweit größten bösartigen Proxy-Heimnetzwerke – zu zerschlagen. Die Proxy-Branche sei tief vernetzt, da Betreiber ständig die Botnetz-Kapazitäten der anderen kauften und weiterverkauften – zudem gehöre „NetNut“ eben zu den größten und beliebtesten Proxy-Heimnetzwerke der Welt. Aufbauend auf der „IPIDEA“-Zerschlagung Anfang 2026 beeinträchtige diese Reduzierung des „NetNut“-Pools um Millionen von Geräten dessen einzelne Operationen und treibe das Engagement der GTIG zur Zerschlagung von Proxy-Botnetzen weiter voran.

Abbildung: FBI

FBI-Sicherstellungshinweis zu „NetNut“: „THIS WEBSITE HAS BEEN SEIZED“

316 verschiedene „NetNut“ nutzende Bedrohungscluster beobachtet

Die GTIG schätzt nach eigenen Angaben, dass „NetNut“ weltweit mindestens zwei Millionen infizierte Geräte kontrolliert (einschließlich Smart-TVs und Streaming-Boxen) – angetrieben durch trojanisierte Anwendungen und Botnetze wie „Badbox 2.0“, welche Proxy-Plugins enthielten.

• In einer einzigen Woche im Juni 2026 habe die GTIG 316 verschiedene Bedrohungscluster beobachtet – darunter Cyberkriminelle und Spionagegruppen –, welche „NetNut“ nutzten, um ihre Herkunfts-IPs zu maskieren, Password-Spraying-Angriffe durchzuführen und auf Opferumgebungen zuzugreifen.

Auch Verbraucher seien einem Risiko ausgesetzt: „NetNut“ verwandele Verbraucherhardware in Exit-Nodes, wodurch private Heimnetzwerke größeren Internet-Bedrohungen ausgesetzt würden und legitimer Benutzerverkehr von ISPs (Internet Service Provider) markiert oder blockiert werde.

Bündel an Gegenmaßnahmen ergriffen

Eine ergriffene Gegenmaßnahme war demnach der Abbau der Infrastruktur: „Deaktivierung von Google-Konten und -Diensten, die von ,NetNut’ für die Steuerung und Kontrolle von Malware (C2) ausgenutzt wurden, wodurch die kritische Backend-Infrastruktur abgeschnitten wurde.“

Zudem sei eine automatische Warnung an Benutzer ergangen und man habe eine Deaktivierung infizierter Anwendungen über „Google Play Protect“ durchgesetzt, während technische Bedrohungsinformationen in großem Umfang mit Plattformanbietern, Forschungsunternehmen und Strafverfolgungsbehörden geteilt worden seien.

Weitere Informationen zum Thema:

Google Cloud, Google Threat Intelligence Group, 02.07.2026
Threat Intelligence / Google’s Continued Disruption of Malicious Residential Proxy Networks

Google Cloud, Google Threat Intelligence Group, 28.01.2026
No Place Like Home Network: Disrupting the World’s Largest Residential Proxy Network

INFOPOINT SECURITY, Herbert Wieler, 05.07.2026
Proxy Netzwerke: Google stört NetNut-Netzwerk und warnt vor Risiken durch Residential Proxies

datensicherheit.de, 24.03.2026
Aisuru und Kimwolf: Strafverfolgungsbehörden konnten zwei der weltgrößten Botnetze ausheben / ZAC NRW und BKA sind am 19. März 2026 in einer international abgestimmten Aktion gemeinsam mit Strafverfolgungsbehörden aus Kanada und den USA gegen zwei der derzeit weltgrößten Botnetze vorgegangen

[datensicherheit.de, 14.08.2025] In den USA hat vor wenigen Tagen das FBI eine Warnung vor einer neuen Betrugsmasche mittels sogenanntem Quishing ausgesprochen: Unaufgefordert versenden demnach Betrüger dort Postpakete an ihre Opfer. Statt mit Namen und Adresse des Absenders versehen sie ihre Sendungen dabei mit einem QR-Code (QRC). „Scannt ihr Opfer diesen ein – im Glauben, hierdurch Informationen zur Identität des Absenders zu erhalten – wird es dann entweder auf eine getarnte Phishing-Website weitergeleitet oder ein gut getarnter Download von Malware wird initiiert“, berichtet Dr. Martin J. Krämer, „Security Awareness Advocate“ bei KnowBe4, in seiner aktuellen Stellungnahme. Er warnt vor dieser Masche, welche in den kommenden Monaten leicht auch nach Deutschland überschwappen könne.

Foto: KnowBe4

Dr. Martin J. Krämer legt nahe: Insbesondere Unternehmen müssten sich noch mehr einbringen und ihre Angestellten – durch Schulungen und Trainings – noch stärker gegen Betrugsversuche von Cyberkriminellen wappnen!

Auch in Deutschland setzen Betrüger bereits auf Phishing mittels QRC

Auch in Deutschland setzten Betrüger schon seit geraumer Zeit zunehmend auf Quishing – das Phishing mittels QRC. Besonders häufig komme diese Angriffstechnik hierzulande bislang vor allem an Orten mit starkem Publikumsverkehr und hoher QRC-Dichte vor – etwa an Bahnhöfen und Bushaltestellen, an Werbeplakaten, an Parkscheinautomaten und E-Ladesäulen.

• Die Betrüger überklebten einfach die originalen QR-Codes seriöser Unternehmen mit ihren eigenen QRCs, welche ihre Opfer dann auf gut getarnte Phishing-Webseiten weiterleiteten.

Auch über reguläre Briefe und E-Mails würden Quishing-QRCs hierzulande aber zunehmend versandt. „Im Falle Letzterer nutzen die Cyberkriminellen eine bei vielen E-Mail-Sicherheitslösungen nach wie vor vorhandene Schwachstelle aus. E-Mails können sie zwar auf das Vorhandensein verdächtiger Anhänge und URLs prüfen – einen QR-Code, der in eine E-Mail eingebunden ist, meist aber eher nicht.“ Viele Sicherheitsprogramme interpretierten QRCs als einfache Bilder und ließen diese E-Mails dann unbeanstandet in das Postfach des Opfers wandern.

Betrüger versenden unaufgefordert Pakete mit einem QRC-Modell 1 bestückt

Im jüngsten Fall der USA versendeten die Betrüger nun unaufgefordert Pakete, welche sie zuvor mit einem QRC-Modell 1 bestückt hätten. Ein Scan führe das Opfer dann entweder auf eine getarnte Phishing-Webseite, „die es dazu auffordert, persönliche Informationen preiszugeben, oder lässt das Endgerät des Opfers Mal- und Spyware herunterladen, um dann in der Folge persönliche Daten einzusehen oder sogar zu stehlen“.

• Letztlich handele sich bei dieser neuartigen Quishing-Masche um eine Variante des „Brushing-Betrugs“, der schon seit einigen Jahren unter betrügerischen Online-Händlern gang und gäbe sei. Diese sendeten eigenständig Waren an einen Empfänger – ohne, dass dieser diese bestellt hätte – und verwendeten die Daten des Empfängers dann, um sich positive Produkt- und Lieferbewertungen zu erschleichen und ihre offiziellen Verkaufszahlen in die Höhe zu treiben.

„Bei dieser Variante nun haben nicht betrügerische Online-Händler, sondern Cyberkriminelle die Hand im Spiel. Nicht die Manipulation von Marktdaten, sondern die Aneignung persönlicher Daten – die dann für weitergehende Folgeangriffe genutzt werden können – steht hier im Zentrum.“

FBI rät zur Vorsicht bei nicht bestellter Ware bzw. solcher mit QRC als Absenderadresse

Das FBI rate allen, wachsam zu sein, wenn sie Pakete mit Waren erhalten, „die Sie nicht bestellt haben oder die einen QR-Code statt einer Absenderadresse tragen“. Diese neueste Quishing-Betrugsmasche mache deutlich, dass Cyberangriffe immer tiefer in unser aller physischen Alltag vordrängen.

• Krämer betont: „Es führt kein Weg daran vorbei: Die Gesellschaft muss sich noch mehr mit Phishing, Social-Engineering und (Online-)Betrug beschäftigen! Sie muss aktiver werden, selbständig verdächtiges Online-Verhalten erkennen und melden.“ Dies werde aber nur gelingen, „wenn Unternehmen sich noch mehr einbringen und ihre Angestellten – durch Schulungen und Trainings – noch stärker gegen Betrugsversuche von Cyberkriminellen wappnen“.

Effektiv helfen könne ihnen hierbei ein modernes „Human Risk Management“. Dessen Phishing-Trainings, -Schulungen und -Tests ließen sich, KI-basiert, mittlerweile personalisieren und automatisiert zum Einsatz bringen. Seine moderne Anti-Phishing-E-Mail-Technologien kombinierten – um selbst neuste „Zero Day“-Bedrohungen aufzuspüren und zu neutralisieren – KI mit „Crowdsourcing“. Mit solchen und ähnlichen Systemen werde es Unternehmen möglich sein, die „Human Risks“ ihrer Belegschaft zurückzufahren und ihre Mitarbeiter zu ihrer besten Verteidigung im Kampf gegen Cyberbedrohungen zu machen.

Weitere Informationen zum Thema:

knowbe4
KnowBe4 News und Wissenswertes / Dr. Martin J. Krämer / Recent Posts

KnowBe4
The Future of Phishing Defense: AI Meets Crowdsourcing

FEDERAL BUREAU OF INVESTIGATION, 31.07.2025
Alert Number: I-073125-PSA / Unsolicited Packages Containing QR Codes Used to Initiate Fraud Schemes

datensicherheit.de, 06.12.2024
KnowBe4 veröffentlicht Phishing-Trends im dritten Quartal 2024 – QR-Code-Phishing auf dem Vormarsch / HR- und IT-bezogene Phishing-E-Mails machen signifikanten Anteil von 48,6 Prozent der weltweit am häufigsten angeklickten Phishing-Typen aus

datensicherheit.de, 08.11.2024
Sophos X-Ops analysieren Cyber-Attacken per Quishing / „Quishing“ (Phishing mit QR-Codes) offensichtlich ein Cybercrime-Trend mit zunehmender Bedeutung

datensicherheit.de, 26.03.2024
Quishing: QR-Code-Phishing-Angriffe noch immer eine unterschätzte Gefahr / Schutz gegen QR-Code-Phishing durch phishing-resistente MFA für die Konten

datensicherheit.de, 31.01.2024
Quishing-Update: QR-Code-Routing-Angriffe nehmen zu / Sicherheitsforscher von Check Point haben eine neue QRC-Angriffsart entdeckt

datensicherheit.de, 24.10,2023
Quishing: Zunahme von QR-Code-Phishing / Sicherheitsforscher von Check Point warnen vor neuer Art von Phishing-Angriffen

[datensicherheit.de, 17.06.2025] Der aktuelle „Internet Crime Report“ des FBI zeigt auf, dass Phishing nach wie vor die häufigste Form der Internet-Kriminalität in den USA ist – demnach mit über 193.000 Beschwerden allein im letzten Jahr, 2024. Besorgniserregender als der Umfang der Angriffe erscheint jedoch die Veränderung der Taktik: „Die heutigen Angriffe sind sauberer, überzeugender und darauf ausgelegt, unter dem Radar zu fliegen.“ Die Cybersecurity-Experten von ZeroBounce verfolgen die neuesten Entwicklungen im Bereich Phishing und haben wenig bekannte Taktiken identifiziert, welche selbst erfahrene Benutzer oft übersehen. Im Folgenden sind die wichtigsten Bedrohungen dargestellt – und auch Hinweise, wie Profis diesen stets einen Schritt voraus sein können.

Das Aufkommen linklosen Phishings

Phishing-E-Mails ohne Links, ohne Anhänge – nur eine kurze, scheinbar harmlose Nachricht wie „Haben Sie Zeit für einen kurzen Anruf?“ oder „Können Sie mir bei dieser Aufgabe helfen?“… Diese Nachrichten sind so konzipiert, dass sie die Filter vollständig umgehen und einen Echtzeit-Betrug per Telefon oder Antwort auslösen.

„Die Menschen sind darauf trainiert, verdächtige Links zu erkennen, aber die Angreifer haben sich darauf eingestellt, indem sie diese ganz entfernen“, erläutert Vlad Cristescu, „Head of Cybersecurity“ bei ZeroBounce. Er führt aus: „Sobald Sie geantwortet haben, geben sich diese weiter als Kollege oder Führungskraft aus. Wenn Ihnen etwas seltsam vorkommt, antworten Sie nicht direkt: Vergewissern Sie sich über einen anderen Kanal, bevor Sie sich in die Kommunikation einbringen!“

Wiederholte Login-Anfragen als Hilfe von der IT-Abteilung getarnt

Angreifer überschwemmen Benutzer mit Push-Benachrichtigungen zur Multi-Faktor-Authentifizierung (MFA), nachdem sie die Anmeldedaten gestohlen haben, und schicken Ihnen dann eine E-Mail, in der sie sich als IT-Support ausgeben und sie auffordern, „nur eine zu genehmigen“, um die Warnungen zu beenden.

„Dies ist eher psychologische Kriegsführung als technische Trickserei“, so Cristescu und erläutert: „Es nutzt die Frustration und das Vertrauen der Benutzer in die IT aus. Wenn Sie mehrere MFA-Aufforderungen erhalten, die Sie nicht initiiert haben, ist das keine Störung, sondern ein Angriff. Halten Sie inne, lassen Sie es nicht zu und melden Sie es sofort!“

HTML-Anhänge, die sich als sichere Portale ausgeben

Einige Phishing-E-Mails verstecken ihre Nutzdaten in einem einfachen HTML-Anhang, der sich in Ihrem Browser öffnet und einen Anmeldebildschirm imitiert. Diese Anhänge sind besonders trügerisch, weil sie wie Rechnungen, freigegebene Dokumente oder sichere Benachrichtigungen aussehen.

„Die Benutzer denken: ‚Es ist nur eine HTML-Datei, was kann sie schon anrichten?‘“, bemerkt Cristescu. Aber ein Klick könne eine geklonte Anmeldeseite öffnen, welche die Anmeldedaten sofort abfängt. Er rät: „Unternehmen sollten HTML-Anhänge auf das Notwendigste beschränken, und Benutzer sollten unbekannte HTML-Dateien genauso behandeln wie einen verdächtigen Link – öffnen Sie ihn nur, wenn Sie sich des Absenders absolut sicher sind!“

Phishing durch Kalender-Einladungen

Angreifer verschicken jetzt Besprechungsanfragen mit bösartigen Links, welche in die Einladung oder die Schaltfläche „Beitreten“ eingebettet sind. Diese Einladungen werden direkt mit Kalendern synchronisiert und bleiben oft unhinterfragt. „Kalender-Einladungen haben diese eingebaute Glaubwürdigkeit – sie werden in der Regel nicht so genau geprüft wie E-Mails“, warnt Cristescu.

„Wenn Sie jedoch Besprechungsanfragen von unbekannten Absendern oder vage Veranstaltungstitel wie ,Synchronisierung’ oder ,Projektbesprechung’ erhalten, sollten Sie diese genauso behandeln wie Phishing-E-Mails: Deaktivieren Sie nach Möglichkeit die automatische Annahme und überprüfen Sie jede Einladung manuell, bevor Sie darauf klicken!“

Größtes Risiko ist heute Selbstüberschätzung

Modernes Phishing sei strategisch – je mehr es wie ein normales Geschäft aussieht, desto gefährlicher werde es. „Das größte Risiko ist heute Selbstüberschätzung“, unterstreicht Cristescu. Er gibt abschließend zu bedenken: „Egal, wie erfahren Sie sind, wenn Sie aufhören zu hinterfragen, was in Ihrem Posteingang – oder in Ihrem Kalender – landet, sind Sie angreifbar!“

Das eigene Bewusstsein müsse sich genauso schnell weiterentwickeln wie die Bedrohungen. „Überprüfen Sie immer die E-Mail-Adresse des Absenders, vergewissern Sie sich, dass jeder Link, auf den Sie klicken, mit der legitimen Domäne übereinstimmt, und achten Sie auf subtile Warnsignale wie Rechtschreibfehler oder ungewöhnliche Formatierungen!“ Diese kleinen Kontrollen könnten den Unterschied ausmachen, „ob man sicher bleibt oder auf einen gut gemachten Betrug hereinfällt“.

Weitere Informationen zum Thema:

zero bounce
Accurate, fast and secure email validation service

FBI, 23.04.2025
FBI Releases Annual Internet Crime Report

FBI, INTERNET CRIME COMPLAINT CENTER, 23.04.2025
Federal Bureau of Investigation / Internet Crime Report 2024

datensicherheit.de, 15.06.2025
Angeblicher Copyrightverstoß: Phishing-Angriffskampagne bedroht europäische Content-Kreatoren / Ein „cybereason“-Blog-Beitrag meldet neue Phishing-Kampagne, deren Initiatoren es auf die Systeme und Daten europäischer Content-Kreatoren abgesehen haben

datensicherheit.de, 03.06.2025
Security Awareness Trainings: Dringender Bedarf angesichts zunehmender Cyberbedrohungen in Europa – insbesondere Phishing / Der „2025 Phishing by Industry Benchmarking Report“ von KnowBe4 zeigt einen Rückgang des „European Phish-prone Percentage“ auf fünf Prozent nach zwölf Monaten Sicherheitsschulungen

datensicherheit.de, 08.05.2025
Laut KnowBe4 Phishing-Report Q1 2025 wird interne Kommunikation am häufigsten missbraucht / Die Daten für den aktuellen Bericht wurden der „KnowBe4 HRM+ Plattform“ zwischen dem 1. Januar und dem 31. März 2025 entnommen

[datensicherheit.de, 22.02.2024] Zur Zerschlagung der „LockBit“-Ransomware-Gruppierung betont Christian Have, „CTO“ bei Logpoint, in seiner Stellungnahme, dass diese Bedrohungsakteure im Gegensatz zu vielen anderen Cyber-Kriminellen sogar Angriffe auf Krankenhäuser bzw. Kritische Infrastrukturen (KRITIS) gerichtet hatten. Mit der nun erfolgten Verhaftung laufenden Ermittlungen senden die Strafverfolgungsbehörden demnach eine klare Botschaft an andere Malware-Betreiber – nämlich dass Cyber-Kriminalität erhebliche Konsequenzen nach sich ziehe.

Foto: Logpoint

Christian Have: Ausschaltung der beiden größten Ransomware-Banden – LockBit und BlackCat – hat das Potenzial, die Bedrohungslandschaft nachhaltig zu verändern…

Schlag gegen diese Ransomware-Gruppe LockBit bedeutender Fortschritt im Kampf gegen organisierte Cyber-Kriminalität

„Wie Anfang dieser Woche bekannt gegeben wurde, ist es den europäischen und amerikanischern Strafverfolgungsbehörden gelungen, zwei Mitglieder der berüchtigten ,LockBit’-Gruppierung festzunehmen“, berichtet Have. Dieser wichtige Schlag gegen diese Ransomware-Gruppe stelle einen bedeutenden Fortschritt im Kampf gegen organisierte Cyber-Kriminalität dar.

„LockBit“ sei einer der bekanntesten Bedrohungsakteure gewesen, welcher im Gegensatz zu vielen seiner Konkurrenten dreist selbst Krankenhäuser und andere KRITIS angegriffen habe. „Mit der Verhaftung von zwei Personen und den nun laufenden Ermittlungen gegen die Entwickler und Partner der Gruppe senden die Strafverfolgungsbehörden eine klare Botschaft an andere Malware-Betreiber“, so Have und er betont: „Cyber-Kriminalität zieht erhebliche Konsequenzen nach sich!“

Cybercrime-Gruppen zunehmend entlarvt: Vor LockBit wurde BlackCat aus dem Spiel genommen

Die aktuelle Festnahme sei nur eine von vielen in den letzten Monaten – sie verdeutliche die positive Entwicklung im Bereich der strafrechtlichen Verfolgung Cyber-Krimineller. Have führt aus: „Erst im Dezember beschlagnahmte das FBI gemeinsam mit internationalen Strafverfolgungsbehörden die Server und die Leak-Site von ,BlackCat’. Letzte Woche fing das FBI die ,Mooboot’-Malware ab, die von ,Fancy Bear’ auf ,Ubiquiti’-Routern eingesetzt wurde. Die Firewall der Router wurde neu konfiguriert, damit die Angreifer keinen erneuten Zugriff erhielten.“ Die Einbeziehung des FBI in die Bemühungen, „LockBit“ auszuschalten, zeige, wie proaktiv das FBI und andere Strafverfolgungsbehörden gegen Cyber-Bedrohungen vorgingen.

Have unterstreicht abschließend: „Die Ausschaltung der beiden größten Ransomware-Banden – ,LockBit’ und ,BlackCat’ – hat das Potenzial, die Bedrohungslandschaft nachhaltig zu verändern, indem sie die Fragmentierung und Dezentralisierung von Cybercrime-Gruppen weiter vorantreibt.“ Dies verdeutliche die Notwendigkeit für Sicherheitsteams, sich von traditionellen Methoden zur Erkennung von Sicherheitsverstößen auf der Grundlage bekannter Kompromissindikatoren (Indicators Of Compromise / IOC) zu lösen. Ein Ansatz, der sich auf die Erkennung von Taktiken, Techniken und Verfahren (TTPs) konzentriere, sei nachhaltiger, da er die dynamischen Methoden der Bedrohungsakteure und neu auftretende Bedrohungen mit einbeziehe.

Weitere Informationen zum Thema:

datensicherheit.de, 22.02.2024
LockBit versuchte durch Innovation die Oberhand zu behalten / Reihe von logistischen, technischen und rufschädigenden Problemen forderte LockBit-Ransomware-Gruppierung heraus

datensicherheit.de, 21.02.2024
LockBit zerschlagen – Phönix aus der Asche als Ransomware-Bedrohungsszenario / Richard Cassidy kommentiert Ransomware-Gruppen im Zyklus von Zerschlagung und Auferstehung

heise online, Dr. Christopher Kunz, 20.02.2024
Ransomware: Lockbit durch Ermittler zerschlagen – zwei Festnahmen / Operation Cronos: Je eine Verhaftung in Polen und der Ukraine…

[datensicherheit.de, 05.04.2023] Die Generalstaatsanwaltschaft Frankfurt am Main – Zentralstelle zur Bekämpfung der Internetkriminalität (ZIT) – und das Bundeskriminalamt (BKA) sowie weitere Strafverfolgungsbehörden der Bundesländer sind nach BKA-Angaben am 4. April 2023 mit einer gemeinsamen Aktion gegen Cyber-Kriminelle der „Underground Economy“ vorgegangen. Hierzu hätten Strafverfolgungsbehörden aller Bundesländer in einer konzertierten Aktion 62 Objekte von 58 Beschuldigten durchsucht sowie zahlreiche elektronische Datenträger sichergestellt.

Abbildung: BKA

Sicherstellungsbanner der „Operation Cookie Monster“

Koordinierung der Maßnahmen in Deutschland durch BKA und ZIT

Den Beschuldigten werden demnach eine Vielzahl von Betrugsdelikten im Online-Handel sowie weitere Vorbereitungs- und Verwertungstaten wie etwa Ausspähen von Daten, Fälschung beweiserheblicher Daten, Datenhehlerei und Geldwäsche vorgeworfen.

Den nun durchgeführten Maßnahmen seien gemeinsame Ermittlungen der Cybercrime-Dienststellen des Bundes und der Länder sowie der ZIT gegen kriminelle Akteure verschiedener Plattformen der „Underground Economy“ im Internet vorausgegangen.

Die entsprechenden Ermittlungsverfahren seien von den örtlich zuständigen Staatsanwaltschaften der Bundesländer übernommen worden, welche die strafprozessualen Maßnahmen in eigener Verantwortung durchgeführt hätten. Die Koordinierung der Maßnahmen sei durch das BKA und die ZIT erfolgt.

Bei Ermittlungen u.a. enge Zusammenarbeit BKA mit FBI

„Bei einer der Plattformen, die im Fokus der Ermittlungen standen, handelt es sich um die kriminelle Verkaufsplattform ,Genesis Market’.“ Bei den Ermittlungen hierzu habe das BKA eng mit dem US-amerikanischen Federal Bureau of Investigation (FBI), der niederländischen National High Tech Crime Unit (NHTCU), dem Europäischen Polizeiamt (Europol) sowie mit weiteren internationalen Partnern kooperiert.

Über „Genesis Market“ seien unter anderem gestohlene Zugangsdaten zu verschiedensten E-Commerce- und Online-Zahlungs-Diensten zum Kauf angeboten worden. Diese Plattform sei die größte ihrer Art gewesen und habe seit 2018 bestanden. Sie sei nun am 4. April 2023 von US-amerikanischen Behörden beschlagnahmt und abgeschaltet worden. Auf deutscher Seite seien Staatsanwaltschaften aus allen Bundesländern beteiligt gewesen – insgesamt werde gegen 58 Beschuldigte ermittelt.

Über die Service-Website „‘;–have i been pwned?“ können Betroffene laut BKA überprüfen, ob eigene Zugänge ausgespäht und auf „Genesis Market“ zum Verkauf angeboten wurden.

Weitere Informationen zum Thema:

‚;–have i been pwned?
Check if your email or phone is in a data breach

[datensicherheit.de, 30.01.2023] „Die gemeinsame Aktion des FBI in Abstimmung mit deutschen und niederländischen Behörden ist ein Erfolg gegen die ausgefeilten Techniken von ,Hive‘ zu einem kritischen Zeitpunkt im Kampf gegen Ransomware-Gruppen“, so
Chris Dobrec, „VP Product & Industry Solutions“ bei Armis. Allein in Deutschland seien bereits mehr als 70 Unternehmen von den Cyber-Kriminellen gehackt worden. Die Ermittlungen seien auch ein entscheidender Schritt in Richtung einer verstärkten internationalen Zusammenarbeit, um Bedrohungsakteure zum Nutzen aller an der Ausübung ihrer Tätigkeit zu hindern.

Foto: Armis

Chris Dobrec: Nicht der richtige Zeitpunkt für Unternehmen sich auszuruhen!

Wirtschaftlichen Situation erlaubt immer weniger Unternehmen, Ransomware-Lösegeld zu zahlen

„Neben diesem Erfolg der Strafverfolgungsbehörden stehen Ransomware-Gruppen unter Druck, weil sich aufgrund der wirtschaftlichen Situation immer weniger Unternehmen in der Lage befinden werden, das geforderte Lösegeld auch zu bezahlen“, betont Dobrec und warnt jedoch: „Diese Entwicklungen sind jedoch nicht der richtige Zeitpunkt für Unternehmen sich auszuruhen.“

Untersuchungen wie der „Cyberwarfare-Report“ zeigten, dass 54 Prozent der Unternehmen weltweit zwischen Mai und Oktober 2022 einen Anstieg der Bedrohungsaktivitäten im Vergleich zu den sechs Monaten davor verzeichnet hätten. Die vorübergehende Pause in den Aktivitäten der „Hive“-Gruppe bedeute nämlich keineswegs einen Rückgang der Angriffe auf breiter Front.

Unternehmen sollten den Zeitpunkt der Strafverfolgungs-Aktion zum Anlass nehmen, ihre Bemühungen, um ein proaktives Verständnis ihrer gesamten Angriffsfläche zu erneuern. Dobrec erläutert: „Sie müssen Schwachstellen in ihrer Umgebung bewerten, die Priorisierung von Abhilfemaßnahmen zu verwalten und ihre Sicherheitsabwehr von innen nach außen zu stärken. Sie können dies auch nutzen, um ihre Politik zur Zahlung von Lösegeld zu bewerten.“

IT-Experten uneinig, ob Ransomware-Lösegeld gezahlt werden sollte

Der gleichen Studie zufolge seien IT-Fachleute weltweit geteilter Meinung darüber, ob Lösegeld gezahlt werden soll: „24 Prozent der Befragten gaben an, dass ihr Unternehmen immer zahlt. 31 Prozent sagten, dass ihr Unternehmen nur zahlt, wenn Kundendaten gefährdet sind. 26 Prozent wiederum waren der Meinung, dass ihr Unternehmen nie zahlt. Weitere 19 Prozent gaben an, dass es im Zweifelsfall darauf ankommt.“

In den USA hätten die zuständigen Behörden den betroffenen Unternehmen inzwischen unter Strafandrohungen untersagt das Lösegeld zu zahlen. Es bleibe abzuwarten, „ob nicht auch andere europäische Länder diesem Beispiel folgen werden“.

Ransomware zwingt Sicherheitsteams, über statische Bestandsaufnahme ihrer Assets hinauszugehen

Trotz des Risikos ständiger Cyber-Angriffe steuerten viele IT- und OT-Sicherheitsexperten in der sogenannten DACH-Region ihre Sicherheitstools in gewissem Maße manuell. Die Ergebnisse zeigten, dass weniger als die Hälfte (47%) der Unternehmen über automatisierte Sicherheitssoftware zur Erkennung von APTs (Advanced Persistent Threats) verfüge – und dass, obwohl diese Bedrohungen als die gefährlichste Gruppe gälten und oft von nationalstaatlichen Angreifern unterstützt würden. Im Gegenteil: „44 Prozent dieser Unternehmen suchen manuell und mithilfe vordefinierter Warnungen nach verdächtigem Verhalten.“

Tools zur Bestandsaufnahme konzentrierten sich zumeist auf Transparenz, lieferten jedoch keine Informationen über Cyber-Bedrohungen. Dies erfordere, dass Unternehmen mit modernen hybriden Umgebungen separate Tools zur Bestandsaufnahme und Risikobewertung implementierten. Unternehmen mangele es an einem vollständigen Bild ihrer „Assets“ – „sie kennen den wichtigen Risikokontext nicht und es klaffen Sicherheitslücken, die von Cyber-Kriminellen ausgenutzt werden können“. Deshalb benötigten Sicherheitsteams eine Möglichkeit, über die statische Bestandsaufnahme all ihrer „Assets“ hinauszugehen und auch deren Sicherheitskontext zu verstehen.

Weitere Informationen zum Thema:

ARMIS
THE STATE OF CYBERWARFARE

datensicherheit.de, 30.01.2023
Hive: Zerschlagung des-Hacker-Netzwerks erheblicher Rückschlag für gefährliche kriminelle Organisation / Früherer FBI Cyber Special Agent Adam Marrè, heute CISO bei Arctic Wolf, kommentiert den Hive-Fall

datensicherheit.de, 27.01.2023
Hive: Ransomware-Gang vom FBI und deutschen Sicherheitsbehörden aus dem Spiel genommen / Eine der aktivsten Ransomware-Bande namens Hive heimlich gehackt und zerschlagen

[datensicherheit.de, 30.01.2023] Das Hacker-Netzwerk „Hive“ soll wichtige Daten der Opfer verschlüsselt sowie Unternehmen und Organisationen mit selbstentwickelten Erpressungstools unter Druck gesetzt und mit der Veröffentlichung von sensiblen Daten gedroht haben. Das FBI und deutsche Behörden haben nach eigenen Angaben diese Ransomware-Gruppe zerschlagen. „Hive“ hat demnach in den vergangenen Jahren mehr als 100 Millionen US-Dollar (rund 92 Millionen Euro) an Lösegeldzahlungen erbeutet. Der frühere „FBI Cyber Special Agent“ Adam Marrè, heute „CISO“ bei Arctic Wolf, ordnet in seiner aktuellen Stellungnahme diese Fall ein:

Foto: Arctic Wolf

Adam Marrè: Bleibt zu hoffen, dass Durchbruch der Strafverfolgungsbehörden als Abschreckung dient…

Hive-Operation gutes Beispiel, wie umfassender Zugang Aktivitäten Cyber-Krimineller vereiteln kann

Marrè führt aus: „Strafverfolgungsbehörden nutzen geheime Zugänge zu den Netzwerken und Systemen von Bedrohungsakteuren, um Beweise für strafrechtliche Ermittlungen zu unterschiedlichsten Arten von Cyber-Kriminalität zu sammeln – einschließlich Ransomware.“ Die aktuelle Operation sei nun ein gutes Beispiel dafür, „wie ein umfassender Zugang zum Erfolg führen kann, um die Aktivitäten von Cyber-Kriminellen zu vereiteln“.

Leider sei dies so nicht immer möglich. Teilweise stützetn sich – ebenfalls erfolgreiche – Ermittlungen auch auf geringere Zugangsmöglichkeiten. Ermittlungsfortschritte hingen dann häufig allein von Informanten ab und stützten sich nicht auf einen direkten technischen Zugriff.

Anzunehmen, dass CyberCrime-Markt in irgendeiner Form Ersatz für Hive hervorbringen wird

„Die Zerschlagung des ,Hive‘-Hacker-Netzwerks bedeutet einen erheblichen Rückschlag für diese gefährliche kriminelle Organisation, die es auf Gesundheitssysteme abgesehen hat und damit letztlich eine Bedrohung für Leib und Leben darstellte“, betont Marrè. Auch wenn dieser Vorstoß die Menge der Ransomware-Aktivitäten in ihrer Gesamtheit nicht wesentlich reduziere, so sei es doch ein Signal an diejenigen, „die solche Aktivitäten noch durchführen oder planen, es zu tun“.

Auch wenn anzunehmen sei, dass der CyberCrime-Markt, in irgendeiner Form einen Ersatz für den „Hive-Dienst“ hervorbringen werde, bleibe zu hoffen, dass dieser Durchbruch der Strafverfolgungsbehörden „als Abschreckung für diejenigen dient, die Angriffe auf Kritische Infrastrukturen wie Krankenhäuser ermöglichen“.

Denkbar, dass einige Hive-Mitglieder bereits vor Zerschlagung des Netzwerks bekannt waren

Die Art dieses speziellen Zugriffs werde wahrscheinlich zu Verhaftungen führen oder dazu, „dass die Strafverfolgung die beteiligten Personen überzeugt, als Informanten für weitere Ermittlungen mit ihr zusammenzuarbeiten“.

Es sei durchaus denkbar, dass einige Mitglieder der Ransomware-Gruppe „Hive“ bereits vor der Zerschlagung dieses Netzwerks bekannt gewesen seien – „die Strafverfolgungsbehörden jedoch noch nicht bereit waren oder die Zerschlagung über den technischen ,Access‘ nicht mit Verhaftungsaktionen gefährden wollten“.

Weitere Informationen zum Thema:

tagesschau, 26.01.2023
Deutschland und USA / Hackernetzwerk „Hive“ zerschlagen

datensicherheit.de, 30.01.2023
Nach Erfolg gegen Hive: Ransomware-Gruppen unter Druck / Ransomware-Bedrohung unterstreicht dennoch Priorität in Fragen der Visibilität

datensicherheit.de, 27.01.2023
Hive: Ransomware-Gang vom FBI und deutschen Sicherheitsbehörden aus dem Spiel genommen / Eine der aktivsten Ransomware-Bande namens Hive heimlich gehackt und zerschlagen

[datensicherheit.de, 27.01.2023] Tenable meldet in einer aktuellen Stellungnahme, dass am späten 26. Januar 2023 Berichte kursierten, wonach das FBI und deutsche Sicherheitsbehörden eine der aktivsten Ransomware-Bande namens „Hive“ heimlich gehackt und zerschlagen haben soll. Mit diesem Manöver sei es den Behörden gelungen zu verhindern, „dass die Gruppe mehr als 130 Millionen Dollar an Ransomware-Forderungen von mehr als weiteren 300 Opfern erpressen konnte“. Satnam Narang, „Senior Staff Research Engineer“ bei Tenable, kommentiert diesen Vorfall:

Foto: Tenable

Satnam Narang: Ransomware stellt für die meisten Unternehmen heute ständig die größte Bedrohung dar!

Schlag gegen Hive beispielloser Schritt im Kampf gegen Ransomware

„Die von den Sicherheitsbehörden ergriffenen Maßnahmen, um den Betrieb der ,Hive‘-Ransomware-Gruppe von innen heraus zu stören, sind ein beispielloser Schritt im Kampf gegen Ransomware, die für die meisten Unternehmen heute ständig die größte Bedrohung darstellt“, unterstreicht Narang.

Dies könnte zwar das Ende der „Hive“-Ransomware-Gruppe bedeuten, aber seine Mitglieder und Partner stellten weiterhin eine Bedrohung dar. Narang warnt: „Wenn wir aus vergangenen Störaktionen gegen Ransomware-Gruppen etwas gelernt haben, dann dass andere Gruppen aufstehen werden, um die hinterlassene Lücke zu füllen.“

Aber: Hive-Affiliates könnten leicht zu anderen Affiliate-Programmen von Ransomware-Gruppen wechseln

Sogenannte Affiliates, „die normalerweise für die Durchführung der meisten dieser Angriffe verantwortlich sind“, könnten leicht zu anderen Affiliate-Programmen von Gruppen wechseln, „die weiterhin betriebsbereit sind, und Mitglieder von Ransomware-Gruppen können ihr Wissen ebenfalls an diese Gruppen weitergeben“.

Narang führt aus: „Einer der wichtigsten Wege, wie Ransomware-Gruppen Aufmerksamkeit und Bekanntheit erlangen, ist die Veröffentlichung ihrer erfolgreichen Angriffe auf Datenleck-Sites im DarkWeb.“ Es würde ihn demnach nicht überraschen, „wenn Ransomware-Gruppen die Bedrohung sehen, die durch die Wartung dieser Sites entsteht, und aufhören, diese Angriffe öffentlich aufzulisten in einem Versuch, unter dem Radar zu bleiben“.

Weitere Informationen zum Thema:

Frankfurter Allgemeine Zeitung, Gustav Theile, 27.01.2023
Zerschlagene Hackergruppe Hive: Wenn das FBI schwäbischen Polizisten dankt

WDR, 27.01.2023
Hacker-Netzwerk „Hive“ zerschlagen – was steckt dahinter?

datensicherheit.de, 26.08.2021
Ransomware Groups to Watch: Emerging Threats / Aktuelle Analyse von Palo Alto Networks zu Ransomware-Gruppen

[datensicherheit.de, 26.01.2023] „Nach mehreren Berichten unter anderem bei ,Bleeping Computer’ machte das FBI bekannt, dass hinter dem Cyber-Angriff auf die Krypto-Bridge ,Horizon’ des Unternehmens Harmony im Juni 2022 die Gruppe ,APT38‘ steckt“, führt Kevin Bocek, „VP Security Strategy & Threat Intelligence“ bei Venafi, in seiner aktuellen Stellungnahme aus. Damals seien „Alt-Coins im Wert von 100 Millionen US-Dollar entwendet“ worden.

Foto: Venafi

Kevin Bocek: Keine Überraschung, dass der Angriff auf Harmony „Lazarus“ zugeschrieben wird…

Lazarus-Gruppe dafür bekannt, Krypto-Währungen zu stehlen

Die „Lazarus“-Gruppe bzw. „APT38“ sei dafür bekannt, sogenannte Krypto-Währungen zu stehlen – indem Maschinenidentitäten ausgenutzt würden. Bocek kommentiert: „Daher ist es keine Überraschung, dass der Angriff auf Harmony diesem Unternehmen zugeschrieben wird. Bei der Offenlegung der Sicherheitsverletzung lieferte Harmony Beweise dafür, dass seine privaten Schlüssel – eine Kernkomponente der Maschinenidentität – kompromittiert wurden, was ,Lazarus, die Tür öffnete und es der Gruppe ermöglichte, Daten zu entschlüsseln und Gelder abzuschöpfen.“ Dies zeige, welchen Einfluss Maschinenidentitäten hätten – „wenn sie in die falschen Hände geraten“.

Die Untersuchungen von Venafi hätten auch gezeigt, dass Angriffe von nordkoreanischen Bedrohungsgruppen – wie „Lazarus“ – oft finanzieller Natur seien. Cyber-kriminelle Aktivitäten seien „zu einem wesentlichen Bestandteil der Finanzierung des nordkoreanischen Staates geworden und ermöglichen, internationale Sanktionen zu umgehen und seine Waffenprogramme zu finanzieren“. Nordkoreanische APT-Gruppen hätten zahllose Cyber-Angriffe in über 30 Ländern durchgeführt, wobei das Volumen der Aktivitäten seit 2017 Berichten zufolge um 300 Prozent gestiegen sei.

APT-Gruppen wie Lazarus können eigene Schadsoftware als legitime Software eines echten Entwicklers ausgeben

Bocek berichtet: „Die Angriffskampagnen richteten sich gegen verschiedene Sektoren, darunter Energie, Finanzen, Regierung, Industrie, Technologie und Telekommunikation.“ Seit Januar 2020 hätten nordkoreanische Bedrohungsakteure diese Sektoren in Argentinien, Australien, Belgien, Brasilien, Kanada, China, Dänemark, Estland, Deutschland, Hongkong, Ungarn, Indien, Irland, Israel, Italien, Japan, Luxemburg, Malta, den Niederlanden, Neuseeland, Polen, Russland, Saudi-Arabien, Singapur, Slowenien, Südkorea, Spanien, Schweden, der Türkei, Großbritannien, der Ukraine und den Vereinigten Staaten von Amerika angegriffen.

„Die Verwendung von Code-Signing-Maschinenidentitäten macht es besonders schwer, die Attacken der APT abzuwehren.“ Durch den Diebstahl von Code-Signatur-Maschinenidentitäten seien nordkoreanische Cyber-Kriminelle in der Lage, ihre eigene Schadsoftware als legitime Software eines echten Entwicklers auszugeben.

Ohne bessere Koordinierung und Zusammenarbeit zwischen Unternehmen und Regierungen haben cyber-kriminelle Akteure wie Lazarus leichtes Spiel

Außerdem könnten sie damit „verheerende Angriffe auf die Lieferkette“ durchführen. „Das Problem ist, dass es derzeit nicht genügend Bewusstsein und Sicherheit für die Bedeutung von Maschinenidentitäten gibt“, warnt Bocek. Dieser Mangel an Aufmerksamkeit ermögliche es nordkoreanischen Cyber-Kriminellen, „einen ernsthaften blinden Fleck in der Software-Lieferkette auszunutzen“. Er betont: „Jedes Unternehmen, dass ein finanziell lohnendes Ziel bietet, wird deshalb auf kurz oder lang angegriffen werden.“

Ohne eine bessere Koordinierung und Zusammenarbeit zwischen Unternehmen und Regierungen, um die Taktiken nordkoreanischer Cyber-Krimineller zu bekämpfen, würden diese Bedrohungen nur noch schlimmer werden – „und andere globale Parias werden ihre eigenen Möglichkeiten erkennen“. Da Gruppen wie „Lazarus“ immer wieder Maschinenidentitäten ausnutzten, sollten Unternehmen eine Kontrollebene für die Verwaltung von Maschinenidentitäten einrichten. Bocek erläutert abschließend: „Dadurch erhalten sie den nötigen Einblick, die Konsistenz und die Belastbarkeit, die sie benötigen, um das Risiko von Sicherheitsverstößen zu reduzieren.“

Weitere Informationen zum Thema:

BLEEPING COMPUTER, Bill Toulas, 24.01.2023
FBI: North Korean hackers stole $100 million in Harmony crypto hack

Venafi, Brooke Crothers, 24.08.2022
Machine Identity Management / North Korea Cyber Threat Group ‘Lazarus’ Targets M1 Mac with Signed Executables

Harmony, Matthew Barrett, 14.06.2022
Harmony’s Horizon Bridge Hack

Venafi, Yana Blachman, 24.06.2021
Machine Identity Management / North Korean Cyberattacks Can Inspire Other Rogue Nations

[datensicherheit.de, 17.11.2022] Die CISA (CYBERSECURITY & INFRASTRUCTURE SECURITY AGENCY) und das FBI (Federal Bureau of Investigation) haben am 16. November 2022 einen gemeinsamen Bericht veröffentlicht, wonach vom Iran gesponserte Angreifer die IT einer US-Bundesbehörde erfolgreich attackiert haben sollen – eine „Log4Shell“-Schwachstelle in einem ungepatchten „VMware Horizon“-Server ausnutzend. Die Angreifer hätten dann Krypto-Mining-Software installiert und sich seitlich zum Domänen-Controller bewegt, um Anmeldeinformationen zu kompromittieren. Bob Huber, „Chief Security Officer“ bei Tenable, kommentiert in seiner aktuellen Stellungnahme den Vorfall:

Foto: Tenable

Bob Huber: Fast drei von vier Organisationen immer noch anfällig für Angriffe durch Log4Shell-Sicherheitslücke

Tenable wird Warnung veröffentlichen, in der Auswirkungen von Log4Shell untersucht werden

„Der Angriff gegen eine US-Regierungsbehörde ist realistischerweise einer der vielen Verstöße, die ans Licht kommen werden, wenn Kriminelle ,Log4Shell’ erfolgreich ausnutzen“, so Huber.

In den kommenden Tagen werde Tenable eine Warnung veröffentlichen, „in der die Auswirkungen von ,Log4Shell’ untersucht werden, in der wir festgestellt haben, dass fast drei von vier Organisationen immer noch anfällig für Angriffe durch diese Sicherheitslücke sind“.

Vollständige Behebung von Log4Shell schwierig zu erreichen

Die Realität sei, dass eine vollständige Behebung von „Log4Shell“ angesichts seiner Verbreitung und der Tatsache, dass jedes Mal, wenn ein Unternehmen neue Assets hinzufügt, es die Schwachstelle erneut einführen könnte, schwierig zu erreichen sei.

Abschließend betont Huber: „Der beste Weg, um Angreifer zu vereiteln ist es, bei den Sanierungsbemühungen fleißig und konsequent zu bleiben.“

Weitere Informationen zum Thema:

CYBERSECURITY & INFRASTRUCTURE SECURITY AGENCY, 16.11.2022
CISA and FBI Release Advisory on Iranian Government-Sponsored APT Actors Compromising Federal Network