Bedrohungen der Woche: KI-gestützter Infostealer, Zero-Day in Industrieswitches und Flut von CVEs im Linux-Kernel

Einleitung

Die vergangene Woche stellte die Sicherheitsteams mit einer Welle von Bedrohungen auf eine harte Probe – von KI-gestützten Infostealern über Exploit-Ketten in kritischen Infrastrukturen bis hin zu einer rekordverdächtigen Veröffentlichung von Schwachstellen im Linux-Kernel. Zu den wichtigsten Vorfällen zählen die Entdeckung von Dolphin X durch Varonis, eine dreifache Zero-Day-Schwachstelle in Siemens ROX II-Switches, die von Palo Alto Networks aufgedeckt wurde, die aktive Ausnutzung einer Lücke in Zimbra durch die russische APT-Gruppe Laundry Bear sowie die Veröffentlichung von sage und schreibe 432 Kernel-CVEs innerhalb von nur 24 Stunden. Abgerundet wird das Bild durch eine Warnung vor Acrisure-Autodiebstahlsicherungen und weitere Vorfälle von Datenverstößen und Strafverfolgungsoperationen. Im Folgenden die vertiefte Analyse.

Technische Analyse

Dolphin X: Der Infostealer, der seine Opfer mit KI auswählt

Die Forscher von Varonis Threat Labs haben eine neue Malware namens Dolphin X isoliert, die eine gefährliche Neuerung einführt: ein auf künstlicher Intelligenz basierendes Verhaltens-Profiling-Modul. Der Code infiziert vorwiegend Windows-Systeme und analysiert über 300 installierte Anwendungen (von Produktivitätstools über Entwicklungsumgebungen bis hin zu Kryptowährungs-Wallets). Basierend auf der Aktivität und dem Vorhandensein sensibler Tools vergibt er einen „Wert-Score“ an den Rechner und entscheidet, ob und welche Anmeldedaten exfiltriert werden sollen: Browser-Passwörter, SSH-Schlüssel, Cloud-Token, Wallet-Seed-Phrasen. Besonders tückisch ist die Fähigkeit, Entwicklungsarbeitsplätze ins Visier zu nehmen: Eine einzige Infektion in einer CI/CD-Umgebung kann die Tür zum gesamten Produktionsökosystem öffnen.

Siemens ROX II: Drei Zero-Days für persistente Root-Kontrolle

Palo Alto Networks Unit 42 hat eine Kette von drei Zero-Day-Schwachstellen in den Industrieswitches Siemens ROX II dokumentiert, die im OT-Bereich weit verbreitet sind. Die Lücken – CVE-2025-40948, CVE-2025-40947 und CVE-2025-40949 – ermöglichen einem Angreifer, nachdem er Netzwerkzugriff erlangt hat, beliebige Dateien zu lesen, Befehle mit hohen Privilegien einzuschleusen und schließlich den Scheduler der Weboberfläche zu missbrauchen, um selbst nach einem Neustart dauerhaft präsent zu bleiben. Der Exploit gewährt persistenten Root-Zugriff und erlaubt die vollständige Kontrolle über das Gerät und den darüber laufenden Prozessverkehr.

Rekordflut von CVEs im Linux-Kernel

An einem beispiellosen Tag wurden 432 Schwachstellen im Linux-Kernel veröffentlicht. Die Rekordmenge setzt Sicherheitsteams massiv unter Druck, die eine Not-Triage durchführen müssen, um die für ihre Distributionen und Infrastrukturen relevanten Lücken zu identifizieren. Die Arten reichen von lokalen Rechteausweitungen über Denial-of-Service bis hin zur Ausführung beliebigen Codes, wobei das Risiko proportional zum Expositionsgrad der Systeme ist.

Laundry Bear und Spionage via Zimbra (CVE-2025-66376)

Eine gemeinsame Warnung von CISA und internationalen Partnern meldet die aktive Ausnutzung von CVE-2025-66376 in der Zimbra Collaboration Suite durch die russische APT-Gruppe Laundry Bear. Die Schwachstelle ist „view-based“: Das bloße Anzeigen einer bösartigen E-Mail (ohne jeglichen Klick) reicht aus, um die Exfiltration des gesamten Postfachs des Opfers auszulösen. Die stille, gezielte Kampagne richtet sich zu Spionagezwecken gegen westliche Regierungs- und Handelsorganisationen.

Fahrzeuge in Gefahr: Hardcodierter Bluetooth-Schlüssel in Acrisure-Geräten

Ein Team der UC San Diego hat einen festen, unveränderlichen Bluetooth-Kopplungsschlüssel in den Nachrüstgeräten KARR und SWDS von Acrisure entdeckt, die in über 2,2 Millionen Fahrzeugen (vorwiegend in Kalifornien) verbaut sind. Ein Angreifer in einem Umkreis von 4–5 Metern kann diesen ausnutzen, um die Türen zu entriegeln. Obwohl das Unternehmen einen Patch veröffentlicht hat, bleibt das Risiko von Fahrzeugdiebstählen oder dem Diebstahl von Gegenständen aus dem Innenraum für diejenigen konkret, die das System noch nicht aktualisiert haben.

Weitere Vorfälle

Kurz notiert: Die Gruppe ShinyHunters hat einen unberechtigten Zugriff auf die Systeme von Abbott Cancer Diagnostics beansprucht (ohne betriebliche Beeinträchtigungen); Stadler Rail hat eine millionenschwere Lösegeldforderung nach einem Verstoß auf einer Zuliefererplattform zurückgewiesen; die deutsche Phishing-Bande Kratos wurde zerschlagen; Google hat eine Vorschau von CodeMender zur Erkennung von Code-Schwachstellen gestartet; ein Angriff auf einen Provider führte in mehreren Städten in Maine zu Internetausfällen.

Auswirkungen

Das Gesamtbild zeichnet ein Szenario mit hohem Risiko:

• Dolphin X droht mit dem gezielten Diebstahl digitaler Geheimnisse und Anmeldedaten, mit möglichen Sprüngen in Produktivumgebungen und Supply-Chain-Angriffen.
• Der Exploit auf Siemens ROX II gefährdet industrielle Netzwerke: Betriebsunterbrechungen, Manipulation von Prozessdaten, Industriespionage.
• Die 432 Linux-Kernel-CVEs erweitern die Angriffsfläche für Server, IoT und Workstations und machen das Patch-Management entscheidend.
• Der Zimbra-Angriff legt ganze E-Mail-Archive von Regierungs- und Unternehmensorganisationen offen und begünstigt anhaltende Spionage.
• Die Fahrzeug-Schwachstelle erleichtert materielle Diebstähle und untergräbt das Vertrauen in nachgerüstete Sicherheitssysteme.

Gegenmaßnahmen

Hier die wichtigsten empfohlenen Verteidigungsmaßnahmen:

• Siemens ROX II: Die von Siemens bereitgestellten Patches sofort einspielen; OT/IT-Netze segmentieren und den Zugriff auf Managementschnittstellen einschränken.
• Linux-Kernel: Eine zügige Triage mit Inventarisierungswerkzeugen durchführen und dabei exponierten Systemen Priorität einräumen; die Distributions-Bulletins überwachen und das Patchen automatisieren.
• Zimbra: Den Patch für CVE-2025-66376 unverzüglich installieren; die automatische HTML-Vorschau im Webmail deaktivieren; IMAP/POP3-Protokolle auf vergangene Datenabflüsse prüfen.
• Dolphin X: Den Endgeräteschutz durch Verhaltensanalyse verstärken; die Privilegien von Entwicklungsrechnern beschränken und CI/CD-Umgebungen segmentieren.
• Acrisure: Das Software-Update für KARR/SWDS-Geräte bei den Installationszentren anfordern und einspielen.
• Allgemein: Kontinuierliche Übersicht über die eigenen Assets wahren, Benutzer (wo nötig) sensibilisieren und die Belastbarkeit der Reaktionspläne testen.

FAQ

1. Was ist diese Woche die dringendste Bedrohung für Unternehmen?
Das hängt vom Profil der Organisation ab. Für Akteure im Industriebereich hat die Behebung der Schwachstellen in Siemens ROX II (kritische Zero-Days) absolute Priorität. Für die meisten IT-Unternehmen sind die beiden dringlichsten Aufgaben die sofortige Aktualisierung von Zimbra (sofern im Einsatz) und die beschleunigte Triage der Linux-Kernel-Schwachstellen, die Server und exponierte Geräte treffen könnten.

2. Was unterscheidet Dolphin X von herkömmlichen Infostealern?
Dolphin X verwendet einen KI-basierten Profiler, um den „Wert“ eines Opfers zu bewerten. Statt wahllos Daten zu sammeln, analysiert es die installierte Software und die Benutzeraktivität, um sich auf hochwertige Ziele (Entwickler, Administratoren, Wallet-Inhaber) zu konzentrieren, was die Effektivität des Diebstahls erhöht und das Hintergrundrauschen verringert.

3. Wie kann ich 432 neue Kernel-Schwachstellen an einem einzigen Tag handhaben?
Der erfolgversprechende Ansatz ist eine Triage anhand der tatsächlichen Exposition, nicht allein anhand des CVE-Schweregrads. Nutzen Sie Asset-Management-Werkzeuge, um zu ermitteln, welche Systeme tatsächlich betroffen sind, und priorisieren Sie dann kritische Systeme sowie jene, die von außen erreichbar sind. Automatisieren Sie das Patchen, sobald die aktualisierten Distributionspakete (Red Hat, Ubuntu, Debian, SUSE) verfügbar sind, und beobachten Sie die offiziellen Kanäle für etwaige zusätzliche Korrekturen.