Die aktuellen Angriffswellen zeigen eine gefährliche Professionalisierung der Cyberkriminalität: Statt aufwändiger Exploits setzen die Täter auf alltägliche Interaktionen – einen Anruf der IT, eine geteilte Datei, einen Klick auf „Zulassen“. CEO-Phishing-Kits, der Missbrauch von OAuth-Berechtigungen und die Kompromittierung tausender Dropbox-Konten über alte Integrationen zeichnen das Bild einer Bedrohungslage, in der der menschliche Fehler die stärkste Waffe des Angreifers ist.
CEO-Phishing als Dienstleistung: Der Aufstieg von BlueKit
Eine als BlueKit bezeichnete Phishing-as-a-Service-Plattform zielt gezielt auf Finanzvorstände und CEO ab. Das Besondere: Die Angreifer setzen auf eine Browser-in-the-Middle (BitM)-Infrastruktur, die den gesamten Anmeldevorgang in Echtzeit abfängt, selbst wenn eine Zwei-Faktor-Authentifizierung aktiv ist. Die Opfer erhalten eine vermeintliche Dokumentenfreigabe, die sie auf eine täuschend echte Anmeldeseite führt. Nach erfolgreichem Diebstahl der Session werden ausgewählte Opfer in einen gefälschten Dokumenten-Betrachter geleitet, der eine legitime ScreenConnect-Instanz startet – der Angreifer hat damit Fernzugriff.
Das Modell ist klar kommerziell: 250 US-Dollar für sieben Tage, 480 für 14 Tage, 940 für 30 Tage. Damit liegt BlueKit am oberen Ende des PhaaS-Marktes – zum Vergleich: Tycoon 2FA kostet rund 350 US-Dollar, Greatness 289 und Forg365 400 US-Dollar pro Monat. Die Kampagne nutzt außerdem ein Bot-Schutzsystem namens ZeroBot, um Sicherheitsforscher fernzuhalten. Die Analyse von ZeroBEC zeigt, dass die Angreifer nach dem Session-Diebstahl auch auf externe ScreenConnect-Instanzen setzen.
OAuth-Consent-Phishing: Wenn Berechtigungen zur Falle werden
Das FBI warnt vor einer Serie von OAuth-Consent-Phishing-Angriffen, die sich gegen Regierungsvertreter, Medienschaffende und andere prominente Persönlichkeiten richten. Die Täter kontaktieren die Opfer über kommerzielle Messaging-Dienste unter dem Vorwand einer Dateifreigabe oder einer Einladung zu einer Veranstaltung. Der Link führt zu einer bösartigen OAuth-Anwendung, die nach Zustimmung des Opfers dauerhaften Zugriff auf Konto, Nachrichten und gespeicherte Dateien erhält. Einmal erteilt, bleibt dieser Zugriff bestehen – selbst wenn das ursprüngliche Passwort geändert wird.
Die FBI-Mitteilung (PSA260901) macht deutlich, dass die Angreifer die Opfer gezielt auswählen und die Angriffe über einen längeren Zeitraum vorbereiten. Besonders tückisch: Die Zustimmung zu einer OAuth-App wirkt für den Nutzer harmlos und wird selten überprüft. Unternehmen sollten daher regelmäßig überprüfen, welche Drittanbieter-Apps auf ihre Microsoft-365- oder Google-Workspace-Umgebungen zugreifen. Eine einmal erteilte Berechtigung kann nicht durch eine Passwortänderung widerrufen werden.
Dropbox-Kontoübernahme: Alte Integrationen als Einfallstor
Dropbox hat bestätigt, dass knapp 5.000 Konten im August 2026 durch eine Schwachstelle in einer Legacy-Integration kompromittiert wurden. Die Angreifer nutzten eine alte Schnittstelle zwischen Lenovo ID und Dropbox, die ohne funktionierende Zwei-Faktor-Authentifizierung auskam. Dropbox beendete daraufhin alle Sessions, die über eine Lenovo ID authentifiziert waren. Lenovo selbst spricht von einer „veralteten Integration“, die nicht mehr aktiv gewartet wurde – genau der Nährboden für Angriffe. Der Vorfall zeigt, dass Unternehmen nicht nur aktive Systeme sichern müssen, sondern auch alte Schnittstellen, die noch Zugriff auf sensible Daten gewähren.
Die konkrete Angriffskette ist noch nicht vollständig öffentlich, doch Reuters berichtet, dass die Täter nach dem Login auf die Cloud-Speicher zugreifen und Daten herunterladen konnten. Opfer sollten prüfen, ob sie noch eine Verknüpfung zwischen Lenovo ID und Dropbox nutzen – und diese entweder entfernen oder zwingend 2FA aktivieren.
Weitere Bedrohungen im Überblick
Teams-Vishing in großem Stil
Eine als Spring Ring bezeichnete Kampagne nutzt externe Microsoft-Teams-Konten, um sich als IT-Helpdesk auszugeben. In über 150 Fällen bei zehn Unternehmen gelang es den Angreifern, Opfer zur Installation von RMM-Tools zu bewegen. Einige Varianten schließen einen NTLM-Relay-Angriff auf den Domain Controller ein. Die Sicherheitsforscher von Unit 42 identifizierten 26 unterschiedliche Angreifer-Identitäten.
Ransomware mit wiederholbarem Playbook
Die als The Gentlemen bekannte Ransomware-Operation hat bis Ende Juli 2026 insgesamt 683 Opfer gemeldet, allein im Juli kamen 169 dazu. Sophos beschreibt das Vorgehen als wiederholbares Playbook: opportunistischer Erstzugriff, schnelle Privilegienausweitung, Nutzung legitimer Fernzugriffsmechanismen und gezielte Datenexfiltration vor der Verschlüsselung.
Signierte Software, versteckte Payload
Eine steuerbetreute Kampagne täuscht Opfer in den VAE und Indien mit gefälschten Steuerbescheiden. Die Disc-Images enthalten eine legitime, signierte ausführbare Datei, die eine unsignierte bösartige DLL sideloaded. Die DLL agiert als Loader für drei verschlüsselte Payloads, darunter zwei signierte Treiber von Drittanbietern. Die Infrastruktur kommuniziert per UDP mit einem externen Server.
Rubber Ducky über das Internet
Ein gefälschter Privacy-Browser, der von einer nachgeahmten Logitech-Website (www.mxsetuplogi.com) geladen wird, simuliert Maus- und Tastatureingaben auf dem Zielrechner. Intezer beschreibt dies als einen über das Internet ausgelieferten USB-Rubber-Ducky-Angriff. Der Einstieg gelang durch einen einzigen Tippfehler in der Domain, der über Malvertising zu einem MSIX-Installer führte.
153 Millionen Führerscheine zum Verkauf
Der FBI ermittelt gegen einen ID-Diebstahldienst namens Nexus, der angeblich Scans von über 153 Millionen US-amerikanischen und kanadischen Führerscheinen anbietet. Die Daten stammen vermutlich von einer weit verbreiteten Identitätsprüfungsfirma namens IDScan.net. Jeder Datensatz kostet 100 US-Dollar. Der Dienst ging nach Veröffentlichung des Berichts offline.
KI-Instruktionen werden zur Falle
Sicherheitsforscher fanden auf über 8.000 Websites sogenannte llms.txt-Dateien, die Anweisungen für KI-Agenten enthalten. In 120 Fällen verwiesen diese Dateien auf nicht registrierte Paketnamen bei PyPI oder npm. Ein Forscherteam registrierte einige dieser Paketnamen und erhielt innerhalb von vier Minuten die erste Rückmeldung von einem Fortune-500-Unternehmen. Ein aktiver Angriff nutzte bereits einen falschen npm-Paketnamen, um Installationsdaten zu exfiltrieren.
Die Rolle der Künstlichen Intelligenz im Cyberkrieg
Ein offener Brief von über 100 Unternehmen – darunter OpenAI, Google, Microsoft, Anthropic und Perplexity – warnt vor der Beschleunigung von Angriffen durch KI. Die Unterzeichner fordern gemeinsame Verbesserungen der Cybersicherheit, da KI die Zeitfenster für Verteidiger drastisch verkürze. Die Angreifer nutzen KI, um Schwachstellen in Legacy-Systemen, Fehlkonfigurationen und schwache Authentifizierung gezielt auszunutzen. Die Warnung ist deutlich: Krankenhäuser, Wasserwerke und Internetinfrastruktur stehen im Fokus.
Eine weitere Entwicklung: Microsoft kündigt an, ab Oktober 2026 die Memory-Integrity (Hypervisor-Protected Code Integrity) standardmäßig auf allen unterstützten Windows-Geräten zu aktivieren. Dieser Schritt soll Kernel-Angriffe erschweren, ohne dass Administratoren eingreifen müssen.
Was Unternehmen jetzt tun sollten
Der rotte Faden durch alle Vorfälle ist klar: Ein Passwortwechsel allein schließt nicht alle Türen. Angreifer, die einmal eine OAuth-Berechtigung oder eine Fernzugriffs-Session ergattert haben, können auch nach Passwortänderung weiter zugreifen. Unternehmen müssen daher nach einem Vorfall nicht nur Passwörter zurücksetzen, sondern alle aktiven Sessions beenden, unbekannte App-Zugriffe entfernen und installierte Fernwartungstools überprüfen.
Die zunehmende Standardisierung von Sicherheitseinstellungen – wie Microsofts Ausweitung der Memory Integrity – hilft langfristig. Doch alte Konto-Verknüpfungen, schwache Anmeldeoptionen und vertraute Software bleiben Einfallstore. Die sicherste Regel der Woche: Prüfen, wer bereits Zugriff hat, bevor man etwas Neues installiert oder autorisiert.
