Cybersicherheit, fünf neue Risiken: von der US-Telekommunikation bis zu Coding-Agenten

Die am 6. August 2026 zusammengetragenen Meldungen beschreiben unterschiedliche Bedrohungen, die jedoch eines gemeinsam haben: das Streben nach dauerhaftem Zugriff auf Telekommunikationsinfrastrukturen, Software-Repositories, Entwicklungswerkzeuge und KI-Agenten.

Chinesische Präsenz im US-amerikanischen Telekommunikations-Backbone

Der 49-seitige Bericht Stranger Pings des parteiübergreifenden Select Committee on China des US-Kongresses weist auf ein verbleibendes Risiko durch chinesische Betreiber im US-amerikanischen Telekommunikations-Backbone hin.

Nach Einschätzung des Ausschusses verfügen einige Unternehmen aus der Volksrepublik China weiterhin über vertrauenswürdige Positionen in der US-Kommunikationsinfrastruktur. Diese Zugänge könnten bei künftigen Cyberoperationen genutzt werden, um die Präsenz aufrechtzuerhalten, Aktivitäten zu verschleiern und die Verfügbarkeit, Vertraulichkeit und Integrität der Kommunikation zu beeinträchtigen.

Das Risiko steht auch im Zusammenhang mit der Kampagne Salt Typhoon. Ein chinesischer Provider soll zudem Verträge mit US-Unternehmen um eine Richtlinie ergänzt haben, die Übertragungen verbietet, die gegen chinesische Gesetze verstoßen – darunter politische Informationen sowie Inhalte, die als schädlich für die nationale Sicherheit, die öffentliche Ordnung oder die soziale Stabilität eingestuft werden.

Konkrete operative Gegenmaßnahmen wurden nicht genannt.

SideWinder verbreitet Rust-Backdoors über PDF und ClickOnce

Die Gruppe SideWinder verbreitet PDF-Dokumente über Phishing. Die Dateien enthalten ClickOnce-Anwendungen, die eine mehrstufige Angriffskette starten und zur Installation von in Rust entwickelten Backdoors führen.

Die Malware kann die Windows-Registrierung verändern, um Persistenz zu erreichen, Informationen über den Host zu sammeln und Befehle von externen Servern zu empfangen. Die Command-and-Control-Infrastruktur kann auch auf kostenlosen Serverless-Plattformen wie Cloudflare Workers aufbauen.

Die Kombination aus Phishing, ClickOnce und leicht verfügbarer Infrastruktur erschwert die Unterscheidung zwischen schädlichem und legitimen Datenverkehr. Technische Indicators of Compromise und konkrete Anweisungen zur Bereinigung wurden nicht veröffentlicht.

Flooding Dropper greift die npm-Lieferkette an

Die Kampagne Flooding Dropper betraf Hunderte npm-Pakete und -Konten. Der Name der Operation spricht von 850 schädlichen Paketen, während Sonatype 846 Softwarekomponenten meldet.

Die Verbreitung wurde durch die automatisierte Erstellung von Konten und Paketen ermöglicht. Zu den wiederkehrenden Merkmalen gehören die Begriffe bigops und bnpl sowie Versionsnummern aus der Reihe 35.x.y.

Während der Installation laden die Pakete über verschiedene Delivery-Methoden eine zweite Payload herunter und führen sie aus. Die Varianten unterscheiden sich in ihrer Syntax, um signaturbasierte Erkennungen zu umgehen, behalten jedoch dasselbe Verhalten bei.

Ein JavaScript-Loader ermittelt das Betriebssystem und lädt die passende Payload für Windows, Linux oder macOS von im Programm kodierten Remote-Hosts. Die Ausführung erfolgt im Hintergrund.

Unter Windows kann der Loader nach Sandboxes und virtuellen Maschinen suchen, ETW und AMSI manipulieren, über geplante Tasks Persistenz einrichten und eine verschlüsselte Payload starten.

Um das Risiko zu reduzieren, sollten Pakete und Abhängigkeiten vor der Installation überprüft, Aktivitäten nach der Installation kontrolliert, Verbindungen zu Remote-Hosts überwacht und unerwartet angelegte geplante Tasks erkannt werden.

Ein Repository kann bereits vor dem ersten Prompt Code ausführen

Eine Untersuchung von Datadog zeigt ein Risiko bei Coding-Agenten: Das Vertrauen in ein Repository kann dazu führen, dass vom Projekt kontrollierter Code ausgeführt wird, noch bevor der erste Prompt übermittelt wurde.

Codex-MCP-Konfigurationen und Einstellungen der Umgebung Claude Code können automatische Ausführungspfade einrichten, ohne dass das Modell antwortet oder die explizite Genehmigung eines Shell-Befehls vorliegt. Dadurch kann bereits das einfache Klonen eines Repositorys zum Angriffsvektor werden.

Das Problem betrifft auch agentische Skills. Datadog hatte bereits im Mai darauf hingewiesen, dass diese Komponenten Anweisungen und Kontext in den Agenten einführen. Dynamische Befehle können ausgeführt werden, bevor das Modell den Skill anzeigt, sodass Schutzmechanismen gegen Prompt Injection auf Modellebene nicht eingreifen können.

Ein Repository sollte daher wie ausführbarer Code behandelt werden. Nicht vertraute Projekte sollten vorsichtshalber in kurzlebigen Umgebungen ohne Zugang zu Zugangsdaten oder sensiblen Daten geöffnet werden – auch nach einer scheinbar positiven manuellen Prüfung.

Ein DeepSeek-Agent soll ein KI-Unternehmen angegriffen haben

Eine nicht näher identifizierte chinesische Gruppe soll einen DeepSeek-KI-Agenten verwendet haben, um das Netzwerk eines in Tel Aviv ansässigen Unternehmens für künstliche Intelligenz anzugreifen.

Auf Grundlage der verfügbaren Informationen sind weder die eingesetzten Techniken noch die konkreten Ziele oder Folgen der Operation bekannt. Auch Gegenmaßnahmen wurden nicht genannt.