Djinn-Infostealer nutzt SimpleHelp-Authentifizierungsumgehung zum Abgreifen von Cloud- und KI-Zugangsdaten

Eine als Djinn bekannte Malware zum Diebstahl von Zugangsdaten wird mit einer Angriffskette in Verbindung gebracht, die eine kritische Schwachstelle zur Umgehung der Authentifizierung in SimpleHelp ausnutzt: CVE-2026-48558. Die Aktivitäten scheinen sich auf Konten zu konzentrieren, die Entwicklungs- und Administrationssysteme mit umfassenderen Unternehmensumgebungen verbinden können, wodurch die potenziellen Auswirkungen einer erfolgreichen Kompromittierung steigen.

Statt nur einen einzelnen Endpunkt anzugreifen, ist diese Kampagne vor allem wegen der Art des Zugriffs bemerkenswert, den sie erlangen will. Zugangsdaten für Cloud-Dienste, KI-Plattformen und andere Infrastrukturen können Angreifern einen Weg zu internen Tools, Datenspeichern und Verwaltungskonsolen eröffnen, die den Geschäftsbetrieb unterstützen.

Warum die anvisierten Konten wichtig sind

Von Administratoren und Entwicklungsteams verwendete Zugangsdaten sind oft besonders wertvoll, da sie mehrere Ebenen der Umgebung eines Unternehmens miteinander verbinden können. Werden diese Konten gestohlen, können sie Bedrohungsakteuren ermöglichen, von einem kompromittierten Dienst auf Systeme überzugreifen, die für Bereitstellung, Konfiguration, Identitätsverwaltung oder Datenverarbeitung genutzt werden.

• Cloud-Anmeldedaten können gehostete Workloads, Speicher-Buckets und Verwaltungsschnittstellen offenlegen.
• KI-bezogene Zugangsdaten können Zugriff auf Modelle, APIs oder proprietäre Daten gewähren, die für Training und Inferenz verwendet werden.
• Administrations- und Entwicklungskonten können Wege in interne Netzwerke und Unternehmensanwendungen eröffnen.

SimpleHelp-Schwachstelle dient als Einstiegspunkt

Der gemeldete Missbrauch konzentriert sich auf CVE-2026-48558, eine schwerwiegende Schwachstelle zur Umgehung der Authentifizierung in SimpleHelp. Schwachstellen dieser Art können es einem Angreifer ermöglichen, auf Funktionen zuzugreifen, die normalerweise auf authentifizierte Benutzer beschränkt sind. Sobald dieser Zugriff erlangt wurde, können schädliche Payloads wie Infostealer eingeschleust und dazu verwendet werden, sensible Anmeldedaten von infizierten Systemen zu sammeln.

Obwohl die Einzelheiten zur umfassenderen Kampagne bislang begrenzt sind, unterstreicht die Kombination aus einer Schwachstelle in einer Fernzugriffsplattform und einer auf Zugangsdaten ausgerichteten Malware erneut den anhaltenden Wert identitätsbezogener Ziele für Angreifer. Unternehmen, die Tools für Fernsupport oder -verwaltung einsetzen – insbesondere in Umgebungen, in denen Entwicklungs-, Administrations-, Cloud- und KI-Dienste miteinander verbunden sind –, können einem erhöhten Risiko ausgesetzt sein, wenn sie der Schwachstelle ausgesetzt sind.

Sicherheitsteams sollten diese Aktivitäten als Erinnerung daran verstehen, dass Schwachstellen zur Umgehung der Authentifizierung in Software für die Fernadministration in Verbindung mit Malware zum Abgreifen von Zugangsdaten schnell zu einem Einfallstor für eine umfassendere Kompromittierung werden können.