Ein Schweizer Gericht hat einen ukrainischen IT-Spezialisten wegen seiner Rolle bei der Entwicklung von Ransomware, die bei Angriffen auf Unternehmen, darunter der Schienenfahrzeughersteller Stadler Rail, eingesetzt wurde, zu fast 13 Jahren Haft verurteilt. Das Zürcher Gericht brachte den Angeklagten mit den Ransomware-Familien Lockergoga, MegaCortex und Nefilim in Verbindung. Während das Gericht ihn als technischen Mitwirkenden und nicht als Leiter der Operationen einstufte, schätzten die Staatsanwälte die mit den Kampagnen verbundenen Schäden auf rund 123 Millionen US-Dollar. Gegen die Entscheidung kann Berufung eingelegt werden.
Unabhängig davon wurden Unternehmen, die SAP-Software einsetzen, dazu aufgefordert, die Behebung von CVE-2026-44756 zu priorisieren, einer Schwachstelle mit maximalem Schweregrad, die die Extended-Passport-Verarbeitung betrifft. Das von Onapsis OVERPASS genannte Problem könnte es einem nicht authentifizierten Angreifer ermöglichen, Speicherbeschädigungen auszulösen, bevor Authentifizierungsprüfungen stattfinden. Forscher erklärten, dass sich in Testumgebungen über HTTP, HTTPS und NGRFC eine Remote-Code-Ausführung erreichen ließ. Zu den potenziell betroffenen SAP-Produkten gehören S/4HANA, NetWeaver und Business Suite, wobei insbesondere öffentlich über das Internet erreichbare Bereitstellungen als problematisch gelten.
KI-Agenten und Software-Lieferketten
Der Bericht „2026 AI Risk and Resilience“ von Mandiant beschreibt einen Wandel: Angreifer nutzen nicht mehr nur Chatbots für Recherchen, sondern setzen während Eindringungsaktivitäten autonome Agenten ein. Der Bericht nannte Beispiele, bei denen ein kompromittierter Codierungsassistent verwendet wurde, sowie den Einsatz eines Sprachmodells zur Unterstützung bei der Fehlerbehebung an Tools zur Datenexfiltration, nachdem CI/CD-Zugangsdaten gestohlen worden waren. Zudem wurden operative Risiken durch unzureichend kontrollierte Agenten hervorgehoben, darunter ein Fall, in dem ein Buchhaltungsagent in eine kostspielige Schlussfolgerungsschleife geriet.
CrowdStrike berichtete, dass ein npm-basierter Information Stealer namens PhantomRaven über typosquattete Pakete verbreitet wurde. Die Malware sammelt Host-Informationen und CI/CD-Umgebungsvariablen von Diensten wie GitHub Actions, GitLab CI, Jenkins und CircleCI. CrowdStrike schätzte ein, dass der Autor möglicherweise auch an Bug-Bounty-Programmen teilnimmt und die gestohlenen Daten möglicherweise dazu verwendet, betroffene Unternehmen zu identifizieren, anstatt sie über kriminelle Foren zu verkaufen.
Weitere Patches und Empfehlungen
- Defiant erklärte, dass Angreifer versucht haben, eine kritische Upload-Schwachstelle im Plugin WooCommerce Wholesale Lead Capture auszunutzen, um PHP-Webshells auf WordPress-Websites zu platzieren. Administratoren sollten auf Version 2.0.3.2 aktualisieren und Upload-Verzeichnisse auf verdächtige Dateien überprüfen.
- TP-Link veröffentlichte Firmware-Updates für zwei Schwachstellen bei Tapo-C200-Kameras, darunter eine Umgehung der Authentifizierung und eine Denial-of-Service-Schwachstelle.
- NIST und CISA veröffentlichten endgültige Leitlinien zum Schutz signierter Token und Identitätsassertionen, die in Cloud-Single-Sign-on-, Föderations- und API-Zugriffssystemen verwendet werden.