Die aktuellen Angriffswellen zeigen eine gef\u00e4hrliche Professionalisierung der Cyberkriminalit\u00e4t: Statt aufw\u00e4ndiger Exploits setzen die T\u00e4ter auf allt\u00e4gliche Interaktionen \u2013 einen Anruf der IT, eine geteilte Datei, einen Klick auf \u201eZulassen\u201c. CEO-Phishing-Kits, der Missbrauch von OAuth-Berechtigungen und die Kompromittierung tausender Dropbox-Konten \u00fcber alte Integrationen zeichnen das Bild einer Bedrohungslage, in der der menschliche Fehler die st\u00e4rkste Waffe des Angreifers ist.<\/p>\n
Eine als BlueKit bezeichnete Phishing-as-a-Service-Plattform zielt gezielt auf Finanzvorst\u00e4nde und CEO ab. Das Besondere: Die Angreifer setzen auf eine Browser-in-the-Middle (BitM)-Infrastruktur, die den gesamten Anmeldevorgang in Echtzeit abf\u00e4ngt, selbst wenn eine Zwei-Faktor-Authentifizierung aktiv ist. Die Opfer erhalten eine vermeintliche Dokumentenfreigabe, die sie auf eine t\u00e4uschend echte Anmeldeseite f\u00fchrt. Nach erfolgreichem Diebstahl der Session werden ausgew\u00e4hlte Opfer in einen gef\u00e4lschten Dokumenten-Betrachter geleitet, der eine legitime ScreenConnect-Instanz startet \u2013 der Angreifer hat damit Fernzugriff.<\/p>\n
Das Modell ist klar kommerziell: 250 US-Dollar f\u00fcr sieben Tage, 480 f\u00fcr 14 Tage, 940 f\u00fcr 30 Tage. Damit liegt BlueKit am oberen Ende des PhaaS-Marktes \u2013 zum Vergleich: Tycoon 2FA kostet rund 350 US-Dollar, Greatness 289 und Forg365 400 US-Dollar pro Monat. Die Kampagne nutzt au\u00dferdem ein Bot-Schutzsystem namens ZeroBot, um Sicherheitsforscher fernzuhalten. Die Analyse von ZeroBEC zeigt, dass die Angreifer nach dem Session-Diebstahl auch auf externe ScreenConnect-Instanzen setzen.<\/p>\n
Das FBI warnt vor einer Serie von OAuth-Consent-Phishing-Angriffen, die sich gegen Regierungsvertreter, Medienschaffende und andere prominente Pers\u00f6nlichkeiten richten. Die T\u00e4ter kontaktieren die Opfer \u00fcber kommerzielle Messaging-Dienste unter dem Vorwand einer Dateifreigabe oder einer Einladung zu einer Veranstaltung. Der Link f\u00fchrt zu einer b\u00f6sartigen OAuth-Anwendung, die nach Zustimmung des Opfers dauerhaften Zugriff auf Konto, Nachrichten und gespeicherte Dateien erh\u00e4lt. Einmal erteilt, bleibt dieser Zugriff bestehen \u2013 selbst wenn das urspr\u00fcngliche Passwort ge\u00e4ndert wird.<\/p>\n
Die FBI-Mitteilung (PSA260901) macht deutlich, dass die Angreifer die Opfer gezielt ausw\u00e4hlen und die Angriffe \u00fcber einen l\u00e4ngeren Zeitraum vorbereiten. Besonders t\u00fcckisch: Die Zustimmung zu einer OAuth-App wirkt f\u00fcr den Nutzer harmlos und wird selten \u00fcberpr\u00fcft. Unternehmen sollten daher regelm\u00e4\u00dfig \u00fcberpr\u00fcfen, welche Drittanbieter-Apps auf ihre Microsoft-365- oder Google-Workspace-Umgebungen zugreifen. Eine einmal erteilte Berechtigung kann nicht durch eine Passwort\u00e4nderung widerrufen werden.<\/p>\n
Dropbox hat best\u00e4tigt, dass knapp 5.000 Konten im August 2026 durch eine Schwachstelle in einer Legacy-Integration kompromittiert wurden. Die Angreifer nutzten eine alte Schnittstelle zwischen Lenovo ID und Dropbox, die ohne funktionierende Zwei-Faktor-Authentifizierung auskam. Dropbox beendete daraufhin alle Sessions, die \u00fcber eine Lenovo ID authentifiziert waren. Lenovo selbst spricht von einer \u201everalteten Integration\u201c, die nicht mehr aktiv gewartet wurde \u2013 genau der N\u00e4hrboden f\u00fcr Angriffe. Der Vorfall zeigt, dass Unternehmen nicht nur aktive Systeme sichern m\u00fcssen, sondern auch alte Schnittstellen, die noch Zugriff auf sensible Daten gew\u00e4hren.<\/p>\n
Die konkrete Angriffskette ist noch nicht vollst\u00e4ndig \u00f6ffentlich, doch Reuters berichtet, dass die T\u00e4ter nach dem Login auf die Cloud-Speicher zugreifen und Daten herunterladen konnten. Opfer sollten pr\u00fcfen, ob sie noch eine Verkn\u00fcpfung zwischen Lenovo ID und Dropbox nutzen \u2013 und diese entweder entfernen oder zwingend 2FA aktivieren.<\/p>\n
Eine als Spring Ring bezeichnete Kampagne nutzt externe Microsoft-Teams-Konten, um sich als IT-Helpdesk auszugeben. In \u00fcber 150 F\u00e4llen bei zehn Unternehmen gelang es den Angreifern, Opfer zur Installation von RMM-Tools zu bewegen. Einige Varianten schlie\u00dfen einen NTLM-Relay-Angriff auf den Domain Controller ein. Die Sicherheitsforscher von Unit 42 identifizierten 26 unterschiedliche Angreifer-Identit\u00e4ten.<\/p>\n
Die als The Gentlemen bekannte Ransomware-Operation hat bis Ende Juli 2026 insgesamt 683 Opfer gemeldet, allein im Juli kamen 169 dazu. Sophos beschreibt das Vorgehen als wiederholbares Playbook: opportunistischer Erstzugriff, schnelle Privilegienausweitung, Nutzung legitimer Fernzugriffsmechanismen und gezielte Datenexfiltration vor der Verschl\u00fcsselung.<\/p>\n
Eine steuerbetreute Kampagne t\u00e4uscht Opfer in den VAE und Indien mit gef\u00e4lschten Steuerbescheiden. Die Disc-Images enthalten eine legitime, signierte ausf\u00fchrbare Datei, die eine unsignierte b\u00f6sartige DLL sideloaded. Die DLL agiert als Loader f\u00fcr drei verschl\u00fcsselte Payloads, darunter zwei signierte Treiber von Drittanbietern. Die Infrastruktur kommuniziert per UDP mit einem externen Server.<\/p>\n
Ein gef\u00e4lschter Privacy-Browser, der von einer nachgeahmten Logitech-Website (www.mxsetuplogi.com) geladen wird, simuliert Maus- und Tastatureingaben auf dem Zielrechner. Intezer beschreibt dies als einen \u00fcber das Internet ausgelieferten USB-Rubber-Ducky-Angriff. Der Einstieg gelang durch einen einzigen Tippfehler in der Domain, der \u00fcber Malvertising zu einem MSIX-Installer f\u00fchrte.<\/p>\n
Der FBI ermittelt gegen einen ID-Diebstahldienst namens Nexus, der angeblich Scans von \u00fcber 153 Millionen US-amerikanischen und kanadischen F\u00fchrerscheinen anbietet. Die Daten stammen vermutlich von einer weit verbreiteten Identit\u00e4tspr\u00fcfungsfirma namens IDScan.net. Jeder Datensatz kostet 100 US-Dollar. Der Dienst ging nach Ver\u00f6ffentlichung des Berichts offline.<\/p>\n
Sicherheitsforscher fanden auf \u00fcber 8.000 Websites sogenannte llms.txt-Dateien, die Anweisungen f\u00fcr KI-Agenten enthalten. In 120 F\u00e4llen verwiesen diese Dateien auf nicht registrierte Paketnamen bei PyPI oder npm. Ein Forscherteam registrierte einige dieser Paketnamen und erhielt innerhalb von vier Minuten die erste R\u00fcckmeldung von einem Fortune-500-Unternehmen. Ein aktiver Angriff nutzte bereits einen falschen npm-Paketnamen, um Installationsdaten zu exfiltrieren.<\/p>\n
Ein offener Brief von \u00fcber 100 Unternehmen \u2013 darunter OpenAI, Google, Microsoft, Anthropic und Perplexity \u2013 warnt vor der Beschleunigung von Angriffen durch KI. Die Unterzeichner fordern gemeinsame Verbesserungen der Cybersicherheit, da KI die Zeitfenster f\u00fcr Verteidiger drastisch verk\u00fcrze. Die Angreifer nutzen KI, um Schwachstellen in Legacy-Systemen, Fehlkonfigurationen und schwache Authentifizierung gezielt auszunutzen. Die Warnung ist deutlich: Krankenh\u00e4user, Wasserwerke und Internetinfrastruktur stehen im Fokus.<\/p>\n
Eine weitere Entwicklung: Microsoft k\u00fcndigt an, ab Oktober 2026 die Memory-Integrity (Hypervisor-Protected Code Integrity) standardm\u00e4\u00dfig auf allen unterst\u00fctzten Windows-Ger\u00e4ten zu aktivieren. Dieser Schritt soll Kernel-Angriffe erschweren, ohne dass Administratoren eingreifen m\u00fcssen.<\/p>\n
Der rotte Faden durch alle Vorf\u00e4lle ist klar: Ein Passwortwechsel allein schlie\u00dft nicht alle T\u00fcren. Angreifer, die einmal eine OAuth-Berechtigung oder eine Fernzugriffs-Session ergattert haben, k\u00f6nnen auch nach Passwort\u00e4nderung weiter zugreifen. Unternehmen m\u00fcssen daher nach einem Vorfall nicht nur Passw\u00f6rter zur\u00fccksetzen, sondern alle aktiven Sessions beenden, unbekannte App-Zugriffe entfernen und installierte Fernwartungstools \u00fcberpr\u00fcfen.<\/p>\n
Die zunehmende Standardisierung von Sicherheitseinstellungen \u2013 wie Microsofts Ausweitung der Memory Integrity \u2013 hilft langfristig. Doch alte Konto-Verkn\u00fcpfungen, schwache Anmeldeoptionen und vertraute Software bleiben Einfallstore. Die sicherste Regel der Woche: Pr\u00fcfen, wer bereits Zugriff hat, bevor man etwas Neues installiert oder autorisiert.<\/p>\n","protected":false},"excerpt":{"rendered":"
Die aktuellen Angriffswellen zeigen eine gef\u00e4hrliche Professionalisierung der Cyberkriminalit\u00e4t: Statt aufw\u00e4ndiger Exploits setzen die T\u00e4ter auf allt\u00e4gliche Interaktionen \u2013 einen Anruf der IT, eine geteilte Datei, einen Klick auf \u201eZulassen\u201c. CEO-Phishing-Kits, der Missbrauch von OAuth-Berechtigungen und die Kompromittierung tausender Dropbox-Konten \u00fcber alte Integrationen zeichnen das Bild einer Bedrohungslage, in der der menschliche Fehler die st\u00e4rkste […]<\/p>\n","protected":false},"author":5,"featured_media":53955,"comment_status":"closed","ping_status":"","sticky":false,"template":"","format":"standard","meta":{"fifu_image_url":"https:\/\/cards.overcentral.com\/cards\/de\/51103.png","fifu_image_alt":"Cyberkriminelle nutzen CEO-Phishing-Kits, hacken 5000 Dropbox-Konten und setzen OAuth-Fallen ein","footnotes":""},"categories":[6671],"tags":[],"class_list":["post-51103","post","type-post","status-publish","format-standard","has-post-thumbnail","category-scherheit"],"fifu_image_url":"https:\/\/cards.overcentral.com\/cards\/de\/51103.png","fifu_image_alt":"Cyberkriminelle nutzen CEO-Phishing-Kits, hacken 5000 Dropbox-Konten und setzen OAuth-Fallen ein","_links":{"self":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/51103","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/users\/5"}],"replies":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/comments?post=51103"}],"version-history":[{"count":1,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/51103\/revisions"}],"predecessor-version":[{"id":51108,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/51103\/revisions\/51108"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/media\/53955"}],"wp:attachment":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/media?parent=51103"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/categories?post=51103"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/tags?post=51103"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}