Googles September-Update für Android schließt die Rekordzahl von 200 Schwachstellen, darunter eine kritische Wi-Fi-Lücke, die eine Fernausführung von Code ohne Benutzerinteraktion ermöglicht. Parallel dazu enttarnt eine Sicherheitsanalyse ein riesiges Netzwerk aus über 119.000 Fake-Shops, während eine neuartige Phishing-Kampagne sechs verschiedene Google-Dienste als Vertrauensanker missbraucht. Die aktuelle Bedrohungslage zeigt: Angreifer nutzen nicht ausgefallene Exploits, sondern alltägliche Schwachstellen in Zugriffsrechten, Vertrauensketten und veralteten Systemen.
Android: Kritische Wi-Fi-Lücke und 200 Patches im September-Update
Mit den Sicherheitsupdates für September 2026 hat Google insgesamt 200 Sicherheitslücken in Android geschlossen. Die Bandbreite reicht von hohen bis kritischen Risikostufen, darunter mehrere Schwachstellen, die eine Fernausführung von Code ohne Benutzerinteraktion ermöglichen. Besonders im Fokus steht CVE-2026-28662, ein kritischer Speicherfehler im Wi-Fi-Stack. Diese Schwachstelle kann von Angreifern aus der Ferne ausgenutzt werden, um Code mit erhöhten Privilegien auszuführen – ohne dass zusätzliche Berechtigungen oder eine Aktion des Nutzers erforderlich sind. Adam Boynton von Jamf beschreibt die Bedrohung als besorgniserregend, da ungepatchte Geräte ein direktes Einfallstor für Angreifer bieten. Organisationen sollten die Updates umgehend auf allen Geräten im Bestand ausrollen.
Google-Dienste als Phishing-Relay: Eine neue Stufe des Missbrauchs
Eine der bemerkenswertesten Kampagnen dieser Woche nutzt sechs verschiedene Google-Infrastrukturdienste als Teil einer mehrstufigen Umleitungskette. Opfer werden über Google Meet, die Google-Suche, DoubleClick, die Programmable Search Engine, die Google-Bildersuche und den Tag Manager geleitet, bevor sie auf einer Phishing-Seite landen oder einen Fernzugriffs-Trojaner installieren. Das Ziel der Angreifer: Die vertrauenswürdigen Google-Domänen umgehen die Sicherheitsfilter von E-Mail-Diensten. Die finale Phishing-Seite wird dabei nicht auf einem externen Server gehostet, sondern als Blob-URL direkt im Browser des Opfers generiert. Weil die URL nur in dieser Sitzung existiert, können Sicherheitslösungen sie nicht vorab analysieren oder blocken. Die gleiche Kampagne nutzt zudem verstärkt die Länderdomain .vu von Vanuatu – ein TLD, das in den Bedrohungsdaten der meisten Sicherheitsanbieter kaum vorkommt. KnowBe4 verzeichnete einen Anstieg von 159 Prozent bei Phishing-Seiten auf dieser Domain zwischen April und Juli 2026.
119.000 Fake-Shops: Das DoppelCart-Netzwerk
Das als DoppelCart bezeichnete Netzwerk umfasst mehr als 119.000 Domains, die als Fake-Shops getarnt sind. Die Betreiber kopieren nicht nur Produktkataloge, Beschreibungen und Bilder von über 44.000 Marken, sondern laden die Inhalte teilweise direkt von den Servern der echten Händler. Die gefälschten Seiten unterbieten die Preise der Originale und geben die Support-Adressen der echten Marken an – sodass betrogene Kunden sich direkt bei diesen beschweren. Ziel ist der Diebstahl von Kreditkartendaten. Die mediane Anzahl der Klone pro Marke liegt bei zwei, was auf eine industrielle Massenproduktion dieser Betrugsseiten hindeutet.
Shadow AI: Unkontrollierte KI-Nutzung als Sicherheitsrisiko
Das britische National Cyber Security Centre warnt vor den Gefahren sogenannter Shadow AI – also KI-Tools, die Mitarbeiter ohne Genehmigung der IT-Abteilung nutzen. Das NCSC stellt klar, dass die Übergabe sensibler Unternehmens- oder Kundendaten an öffentliche KI-Dienste das Risiko von Datenlecks, geistigem Eigentumsverlust und Verstößen gegen Regulierungsvorgaben drastisch erhöht. KI-Agenten sind komplexe Software mit potenziellen Sicherheitslücken. Gelingt es einem Angreifer, eine solche Schwachstelle auszunutzen, erhält er Zugriff auf dieselben Daten und Privilegien wie der Agent. Das Problem: Die Schatten-IT entzieht sich der Kontrolle der Sicherheitsteams, da die Nutzung oft unbemerkt bleibt.
AI-gestützte Cyberangriffe: Automatisierte Intrusionen gegen Regierungen
Ein chinesischsprachiger Angreifer setzt nach Erkenntnissen von Hunt.io die KI-Frameworks Claude Code, Alibaba Qwen und DeepSeek ein, um Intrusionen gegen Regierungs- und Finanzsysteme zu automatisieren. Die Ziele umfassen Einrichtungen in Afghanistan, Thailand, Taiwan, den USA, Vietnam und sogar auf dem chinesischen Festland. Das als SecFlow bezeichnete Orchestrierungs-Framework zerlegt Kampagnenziele in Teilaufgaben für spezialisierte KI-Agenten, die mit Tools, Zielinformationen und Netzwerkrouten versorgt werden. Ausgenutzt werden dabei alte Bekannte wie Shellshock, Log4Shell, Spring4Shell und eine Nacos-Authentifizierungsumgehung. Nach der Exploitation folgt die Installation von Web-Shells via des Tools GLUTTON, was zur Bereitstellung des Go-basierten Backdoors SecBox führt.
Browser-Erweiterungen und Wallet-Phishing: Die Angriffsfläche wächst
Vier schädliche Browser-Erweiterungen für Chrome und Firefox zielen auf Nutzer der Krypto-Plattformen Axiom Trade und Padre ab. Die Erweiterungen J7Tracker, VREO und Orbit Tracker stehlen Sitzungstoken und Wallet-Daten. Die Module sind byteweise identisch und senden die gestohlenen Informationen an vom Angreifer kontrollierte Vercel-Deployments. Der gleiche Publisher ist bereits für die früheren Erweiterungen GhostApe und GhostApe Color verantwortlich. Parallel dazu wurden 13 bösartige npm-Pakete entdeckt, die Wallet-Funktionen nachahmen. GitHub warnt, dass jeder Computer mit einem dieser Pakete als vollständig kompromittiert gelten muss.
EtherRAT-Kampagne: Vom Remote-Zugriff zur Ransomware
Eine aktuelle Angriffskette beginnt mit einem manipulierten MSI-Installer, der als Sysinternals-Tool getarnt ist und den Fernzugriffs-Trojaner EtherRAT installiert. Nach der Übernahme folgt die Bereitstellung des KI-generierten Malware-Frameworks TukTuk, das die Arweave-Blockchain als Dead-Drop-Resolver nutzt. Nach der Datenexfiltration in einen Cloud-Dienst setzten die Angreifer die Ransomware The Gentlemen ein. Die DFIR Report dokumentiert, dass die Angreifer nach der Installation von TukTuk zu manuellen Tastaturaktivitäten übergingen, Kerberoasting durchführten und schließlich das legitime Remote-Management-Tool GoTo Resolve lateral ausrollten.
FBI veröffentlicht erste Cyber-Strategie
Das FBI hat seine erste umfassende Cyber-Strategie vorgelegt. Die Behörde will feindliche Absichten und Fähigkeiten frühzeitig erkennen, Angreifer an der Profitabilität hindern, Taktiken offenlegen und Täter zur Rechenschaft ziehen. Ein Schwerpunkt liegt auf dem Einsatz von KI zur sicheren Skalierung von Abwehr- und Störungsmaßnahmen. Gleichzeitig kündigt das FBI an, „agentische KI“ einzusetzen, um Bedrohungsakteure zu erkennen, abzulenken und zu täuschen.
Die Lektion dieser Woche ist nicht „schneller patchen“. Es ist die Einsicht, dass Sicherheit an den unscheinbaren Schnittstellen bricht: Erweiterungen, die zu viel Zugriff erhalten, Pakete, die bösartige Code-Bestandteile enthalten, und Dienste, die als vertrauenswürdig gelten, aber als Relais für Phishing missbraucht werden. Angreifer brauchen keine offene Tür. Eine ungesicherte Hintertür reicht. Das ist die eigentliche Lehre, die über die Schlagzeilen dieser Woche hinaus Bestand hat.
