Log4j-Alarm entschärft, 700 aktive AWS-Schlüssel und staatliche Bedrohungen: Die Woche der Sicherheit

Falscher Log4j-Alarm: RCE möglich, aber nur unter engen Bedingungen

Die Entwickler von Apache Log4j 2 haben die Gerüchte über eine neue kritische Schwachstelle mit Remote Code Execution (RCE) heruntergespielt. In den vergangenen Tagen war ein Bericht über einen potenziell aus der Ferne ausnutzbaren Bug kursiert; das Projektteam bestätigte, dass ein Pfad zur RCE existiert, sprach jedoch von einer „bekannten Nicht-Sicherheitslücke“ und betonte, dass die Ausnutzung sehr spezifische Umstände erfordert. Die begrenzte Zeit der Freiwilligen, so die Entwickler, könne anderswo sinnvoller eingesetzt werden. Der Schatten von Log4Shell, der Schwachstelle, die vor einigen Jahren die gesamte Branche erschütterte, erklärt die anfängliche Reaktion, doch diesmal scheint das Restrisiko begrenzt. Es wurden keine spezifischen Gegenmaßnahmen veröffentlicht; die Entwickler betrachten das Problem als Non-Finding.

Über 700 aktive AWS-Schlüssel und 28.000 offene Git-Repositories

Eine Untersuchung von Truffle Security hat mehr als 700 aktive Unternehmens-AWS-Schlüssel identifiziert, die volle Kontrolle über die Konten ermöglichten. Die Entdeckung geht aus der Überprüfung von 10.616 zwischen 2022 und 2026 offengelegten AWS-Schlüsseln hervor. Parallel dazu hat Intruder 3,5 Millionen aktive Hosts gescannt und 28.000 offene Git-Repositories gefunden. Daraus stammen über 400 AWS-Schlüssel, 107 Stripe-Schlüssel, 123 OpenAI-Schlüssel, 80 Telegram-Tokens und 17 GitHub Personal Access Tokens. Einige dieser Zugangsdaten waren noch funktionsfähig und hätten Zugriff auf Cloud-Umgebungen, privaten Quellcode und sensible Systeme ermöglichen können. Es wurden keine unmittelbaren Gegenmaßnahmen seitens der betroffenen Unternehmen bekannt gegeben.

Ransomware: LockBit zielt auf U.S. Bank, Akira trifft Paylogix, Manchester verweigert Lösegeld

U.S. Bancorp hat erklärt, dass die Ransomware-Behauptungen, die ihren Namen nennen, auf einen möglichen Vorfall bei einem Viertparteien-Dienstleister außerhalb der Bankumgebung zurückgehen. Das Unternehmen gab an, dass derzeit keine Kompromittierung von Systemen, Netzwerken oder Daten-Repositories der Bank festgestellt wurde, obwohl LockBit damit gedroht hat, angeblich gestohlene Daten zu veröffentlichen. In einem anderen Fall teilte Paylogix mit, dass Angreifer im November mehrere Tage lang Dateien aus seinem Netzwerk entwendet haben, wodurch Sozialversicherungsnummern, Finanz- und Versicherungsdaten, medizinische Daten, Reisepassnummern und Steuernummern offengelegt wurden. Mindestens 67.789 Personen sind in South Carolina, New Hampshire und Vermont betroffen; der Angriff wurde von der Gruppe Akira für sich reklamiert. Manchester Airports Group schließlich erlebte einen Zugriff auf personenbezogene Daten von rund 8,7 Millionen Kunden, darunter E-Mail-Adressen, Telefonnummern, Fahrzeugkennzeichen und Postleitzahlen. Es wurde ein Lösegeld für die Rückgabe der Daten gefordert, aber das Unternehmen weigerte sich zu zahlen. Es erklärte, dass Flughafenbetrieb, Passagiersicherheit und Flugsicherheit nicht beeinträchtigt wurden.

Carhartt-Datenleck heruntergespielt: Hälfte der E-Mails war synthetisch

Troy Hunt hat herausgefunden, dass ein großer Teil der Daten, die dem mutmaßlichen Carhartt-Datenleck zugeschrieben wurden, tatsächlich aus synthetischen TPC-DS-Benchmarkdaten bestand, die mit echten Kundeninformationen vermischt waren. Seine Analyse schätzt, dass etwa die Hälfte der 24,8 Millionen E-Mail-Adressen fiktive Datensätze waren, wodurch die ursprünglichen Behauptungen von ShinyHunters über die Menge der gestohlenen echten Daten erheblich relativiert werden. Die Entdeckung warnt vor der Tendenz, Zahlen zu Datenschutzverletzungen aufzublähen, ohne die Qualität der Datensätze zu prüfen.

Mobile Banking-Malware: KI als Verstärker gegen 800 Apps in EMEA

Zimperium hat 30 Familien mobiler Malware identifiziert, die aktiv mehr als 800 Banking- und Fintech-Apps in 44 Ländern der EMEA-Region ins Visier nehmen. Die Untersuchung zeigt einen zunehmenden Einsatz künstlicher Intelligenz entlang der Angriffskette: von lokalisierten Ködern und Exploit-Skripten bis hin zu überzeugenderen Phishing-Seiten und Overlays. KI ermöglicht es, Kampagnen an lokale Sprachen und Kontexte anzupassen, wodurch Angriffe schwerer zu erkennen sind. Es wurden keine Hinweise gegeben, wie diese Bedrohung spezifisch abgemildert werden kann.

Staatliche Bedrohungen: Russisches Cyber-Training und US-Sanktionen gegen Iran

Durchgesickerte Register der Bauman-Universität enthüllen ein langjähriges Programm, das rund 250 Studenten – Berufssoldaten und Reservisten – für russische Militärgeheimdienst- und Cyberoperationen ausgebildet hat. Das Material umfasst offensive und defensive Techniken, Malware-Analyse, nachrichtendienstliche Tätigkeiten und militärische Verwendungen; die Absolventen werden mit Einheiten in Verbindung gebracht, die den russischen Gruppen APT28 und Sandworm zugeordnet werden. Auf iranischer Seite hat das US-Finanzministerium Cyber-Akteure mit Verbindungen zum MOIS sanktioniert und ihnen vorgeworfen, kritische Infrastrukturen zu kompromittieren und Cyber-Diebstähle aus finanziellen Gründen zu begehen. Die benannten Personen sind Keyvan Fayyaz Ghareh Blagh, Saber Shahbazi Balujeh und Mohammad Reza Kadkhoda'i, denen Eindringen und Datendiebstahl vorgeworfen werden. Vier der 17 vom FBI angeklagten iranischen Cyber-Akteure wurden in die Maßnahme aufgenommen.

Minimus schließt und wird von Echo übernommen

Minimus, Anbieter von Container-Image-Härtung, hat die Einstellung des Geschäftsbetriebs angekündigt, nachdem das Unternehmen 2025 51 Millionen Dollar eingesammelt hatte, und erklärt, dass das wirtschaftliche und investitionsbezogene Klima eine Fortführung nicht zugelassen habe. Die Schließung erfolgt weniger als einen Monat nach der Präsenz auf der Black-Hat-Konferenz. Kurz nach der Ankündigung erklärte Echo, das Unternehmen und seine Technologie übernommen zu haben.