Mutmaßlich mit China verbundene Gruppe nimmt Universitäten über Roundcube-Schwachstellen ins Visier

Sicherheitsforscher berichten, dass ein mutmaßlich China-naher Bedrohungscluster Schwachstellen in Roundcube-Webmail ausnutzt, um Physik- und Ingenieurabteilungen an Universitäten in den USA und Kanada ins Visier zu nehmen. Die von Proofpoint als UNK_MassTraction bezeichnete Aktivität trat erstmals im Mai 2026 auf und scheint sich auf Administratoren und Lehrkräfte an Hochschulen mit Forschungsbeziehungen zu den Bereichen nationale Sicherheit, Astrophysik und Teilchenphysik zu konzentrieren.

Die Kampagne nutzte Phishing-E-Mails, die von kompromittierten Konten sowie von Domains mit unzureichenden E-Mail-Authentifizierungsschutzmaßnahmen versendet wurden. Proofpoint zufolge schienen die Betreiber im Voraus zu wissen, welche Organisationen verwundbare Roundcube-Installationen betrieben. Dies deutet auf eine vorherige Aufklärung vor dem Versand der E-Mails hin.

So funktioniert der Angriff

Die Anfangsphase beruht auf einer Cross-Site-Scripting-Schwachstelle in Roundcube, darunter die bereits behobene Schwachstelle CVE-2024-42009. Öffnet das Ziel die Nachricht im Roundcube-Client, wird schädliches JavaScript im Browser ausgeführt und startet eine Payload namens IceCube. Dieser Code ist darauf ausgelegt, gespeicherte Zugangsdaten, Sitzungscookies und Daten zur Zwei-Faktor-Authentifizierung zu stehlen und zugleich grundlegende Browserinformationen wie Spracheinstellungen und Bildschirmgröße zu erfassen.

IceCube versucht anschließend, eine zweite Roundcube-Schwachstelle, CVE-2025-49113, auszunutzen, um nach der Authentifizierung eine Remotecodeausführung zu erlangen. Bei Erfolg können die Angreifer entweder eine als SquareShell bekannte Webshell oder ein Go-basiertes Tool zur Fernverwaltung namens VShell installieren. In einigen Fällen verwendet die Angriffskette außerdem ein Shellskript, das SNOWLIGHT herunterlädt, einen ELF-Loader, der zuvor bei Angriffen im Zusammenhang mit chinesischen Bedrohungsakteuren beobachtet wurde.

• Diebstahl von Zugangsdaten über im Browser gespeicherte Sitzungsdaten
• Ausnutzung nach der Authentifizierung für serverseitigen Zugriff
• Bereitstellung einer Webshell oder von VShell zur Persistenz
• Alternative Bereitstellung von SNOWLIGHT, wenn die primäre Methode fehlschlägt

Proofpoint zufolge enthält die JavaScript-Payload außerdem sogenannte verzögerte Trigger, die auf Benutzeraktionen wie das Schließen der Seite, den Wechsel zwischen Tabs oder das Wegbewegen der Maus achten. Treten diese Ereignisse ein, versucht die Malware, den Exploit erneut auszuführen, und signalisiert dem Command-and-Control-Server, dass der Benutzer die Sitzung verlassen hat. Anschließend beseitigt sie Spuren, indem sie Sitzungen auf dem Server beendet und eine Abmeldung erzwingt.

Die Forscher stellten fest, dass dies der erste öffentlich bekannte Fall ist, in dem eine mit China verbundene Gruppe mit der Ausnutzung von Roundcube in Verbindung gebracht wird. Zuvor wurde eine ähnliche missbräuchliche Nutzung von Roundcube häufiger staatlich unterstützten russischen Akteuren zugeschrieben. Proofpoint zufolge zeigt die Kampagne, dass E-Mail-Server zunehmend als hochwertige Einstiegspunkte betrachtet werden – ähnlich wie VPN-Appliances und andere nach außen exponierte Systeme.