Ein Affiliate der Ransomware-Gruppen Hive und Nefilim wurde am 27. Oktober 2026 zu 70 Monaten Haft verurteilt. Im Zuge eines separaten Verfahrens gaben US-Behörden die Beschlagnahmung der Domain eines Hosting-Anbieters bekannt. Das US-Justizministerium erklärte, die Ransomware-Operation habe Unternehmen und Gesundheitsdienstleister gestört. Die Beschlagnahmung der Domain richtete sich gegen einen Dienst, dem vorgeworfen wird, kriminellen Kunden geholfen zu haben, ihre Infrastruktur online zu halten.
Ein drittes Verfahren betrifft ein mutmaßliches Kryptowährungs-Anlagebetrugssystem mit 174 identifizierten Opfern in den USA. Unabhängig davon hat Anthropic Einzelheiten zu fünf Exploit-Ketten veröffentlicht, die nach Angaben des Unternehmens ein internes KI-Modell gegen Browser und Betriebssysteme entwickelt hat. Für jedes Ziel wurden Korrekturen gemeldet.
Ransomware-Affiliate verurteilt, mutmaßlicher Administrator gesucht
Das Büro der US-Staatsanwaltschaft für den Eastern District of New York teilte mit, Richterin Pamela K. Chen habe den ukrainischen Staatsbürger Artem Aleksandrovych Stryzhak (36) in Brooklyn verurteilt. Er hatte sich im Dezember 2025 schuldig bekannt, sich an einer Verschwörung zu Betrug, Erpressung und damit verbundenen computerbezogenen Straftaten beteiligt zu haben. Spanische Behörden nahmen ihn im Juni 2024 fest. Am 30. April 2025 wurde er in die Vereinigten Staaten ausgeliefert.
Gerichtsdokumente beschreiben Stryzhak als Affiliate von Nefilim und Hive. Ein Affiliate ist ein Angreifer, der die Ransomware einer Gruppe gegen einen Anteil der Erlöse einsetzt. Er trat der Nefilim-Verschwörung etwa im Juni 2021 bei und vereinbarte mit dem Administrator Volodymyr Tymoshchuk, den Administratoren der Gruppe 20 Prozent der Lösegelder zu zahlen, die er für den Zugang zu deren Malware einzog.
Im Juni 2021 stahl Stryzhak Daten von einem Unternehmen aus der Öl- und Gasbranche. Etwa eine Woche später richtete er E-Mail-Adressen ein, die in einer an das Unternehmen geschickten Lösegeldforderung verwendet wurden. Seine Nutzung von Nefilim dauerte mindestens bis Oktober 2021 an.
Stryzhak gehörte außerdem zu den frühesten Affiliates von Hive. Er und seine Mittäter setzten Hive während der COVID-19-Pandemie gegen sieben Opfer ein, darunter Anwaltskanzleien, eine Zahnarztpraxis und ein Gesundheitsdienstleister. Verschlüsselte Dateien waren nicht mehr zugänglich. Die Täter stellten nach einer Zahlung einen Entschlüsselungsschlüssel bereit. Das FBI stellte einem von Stryzhaks Opfern während der Störungsmaßnahmen einen Schlüssel zur Verfügung, sodass die Daten ohne Lösegeldzahlung wiederhergestellt werden konnten.
Die gesamte Hive-Verschwörung griff zwischen Juni 2021 und Januar 2023 weltweit rund 1.500 Opfer an, darunter Behörden, Krankenhäuser und Unternehmen. Diese Zahl bezieht sich auf die Gruppe insgesamt und nicht nur auf Stryzhaks sieben identifizierte Hive-Opfer. Ein Krankenhaus musste bestehende Patienten ohne digitale Technik versorgen und konnte nicht sofort neue Patienten aufnehmen.
Das Springfield-Büro des FBI ermittelte im Nefilim-Fall, das Büro in Tampa im Hive-Fall. Die Behörden suchen weiterhin nach Tymoshchuk. Das US-Außenministerium hat eine Belohnung von bis zu 11 Millionen US-Dollar für Hinweise ausgesetzt, die zu seiner Festnahme, Verurteilung oder seinem Aufenthaltsort führen.
Virtualine-Domain wegen mutmaßlich kriminellem Hosting beschlagnahmt
In einer separaten Mitteilung vom 27. Oktober teilte das Büro der US-Staatsanwaltschaft für den Eastern District of Virginia mit, die Behörden hätten eine gerichtliche Genehmigung erhalten, virtualine.net zu beschlagnahmen. Die Domain diente Virtualine, das auch als Secury, Massgod, Spamhouse, Lanedo und Omegatech bekannt ist.
Die Staatsanwaltschaft beschreibt Virtualine als „bulletproof“-Anbieter, also als Hosting-Dienst, der sich gegen Missbrauchsbeschwerden und Strafverfolgung abschotten soll. Das Unternehmen bot Server, Hosting und Domainkäufe an und warb in Cybercrime-Foren gezielt um Kriminelle.
Gerichtsunterlagen nennen eine Werbeanzeige aus dem September 2024, die illegale Aktivitäten wie Phishing, Zahlungskartenbetrug und Spam erlaubte, Inhalte über sexuellen Missbrauch von Kindern und Terrorismus jedoch ausschloss. Im März 2026 bewarb Virtualine einen zusätzlichen Schutzplan. Dieser sah vor, dass das Unternehmen auf ein offizielles Ersuchen einer Strafverfolgungsbehörde reagieren würde, indem es die Infrastruktur eines Kunden zu einer scheinbar unabhängigen Mantelgesellschaft verlagert und den Server wieder aktiviert.
Trotz dieser angeblichen Einschränkung werfen die Staatsanwälte Virtualine vor, wissentlich ein Forum gehostet zu haben, das als Vendor 1 bezeichnet wird. Dieses Forum verkaufte Zugang zu sexuellen Bildern und Videos von Minderjährigen und Erwachsenen. Außerdem bewarb es Hacker, die gegen Bezahlung in Konten von Opfern eindringen und intime Inhalte ohne Zustimmung beschaffen sollten.
Im Januar 2026, etwa einen Monat nachdem Vendor 1 eine IP-Adresse zugewiesen worden war, begann Virtualine, Hinweise zu Darstellungen sexuellen Missbrauchs von Minderjährigen zu erhalten. Die Hinweise kamen von Strafverfolgungsbehörden in Deutschland, Kanada und Australien, vom US-amerikanischen National Center for Missing and Exploited Children sowie von einem Anwalt eines Opfers. Nach Angaben der Staatsanwaltschaft hostete Virtualine den Dienst weiter und half beim Aufbau einer separaten Upload- und Download-Website. Diese war zum Zeitpunkt der Bekanntmachung noch gehostet, obwohl mindestens eine Missbrauchsbeschwerde Abbildungen von Kindern betraf.
Der Anbieter nahm Zahlungen über eine Option mit der Bezeichnung BTC [NO-AML] an. Dafür wurden nicht verwahrte Bitcoin-Adressen genutzt, die damit beworben wurden, dass Gelder nicht als illegal markiert werden. Die Staatsanwaltschaft wirft vor, dass Zahlungen, die sich auf kriminelle Gruppen zurückführen ließen, anschließend gewaschen wurden, um ihre Herkunft zu verschleiern.
Das Washingtoner Field Office des FBI ermittelte. Unterstützt wurde es von der deutschen und niederländischen Polizei, der britischen National Crime Agency, OverRIPE, Lumen und dem Büro für internationale Angelegenheiten des US-Justizministeriums.
Auslieferung im Fall eines mutmaßlichen Geldwäschesystems über 36,9 Millionen US-Dollar
Das Justizministerium kündigte am 23. Oktober an, dass Zheng Zhao, ein 44-jähriger chinesischer Staatsbürger, aus den Niederlanden ausgeliefert und im Central District of California arraigniert wurde. Ihm wird vorgeworfen, an einer internationalen Verschwörung im Bereich Kryptowährungsinvestitionen beteiligt gewesen zu sein, die von Scam-Zentren in Kambodscha aus betrieben wurde.
Gerichtsdokumente werfen den Mittätern vor, US-Opfer über unaufgeforderte Kontakte in sozialen Netzwerken, Anrufe, Textnachrichten und Dating-Dienste angesprochen zu haben. Nachdem sie Vertrauen aufgebaut hatten, bewarben sie betrügerische Investments über Websites, die echten Handelsplattformen für Kryptowährungen ähnelten. Den Opfern wurde falsch mitgeteilt, ihre Investments würden an Wert gewinnen.
Die Staatsanwaltschaft erklärt, das Netzwerk habe das gestohlene Geld über US-Mantelgesellschaften, internationale Bankkonten und digitale Wallets geschleust. Mehr als 36,9 Millionen US-Dollar an Opfergeldern flossen von US-Bankkonten, die von Mittätern kontrolliert wurden, auf ein einzelnes Konto bei der Deltec Bank auf den Bahamas. Zhao und andere sollen veranlasst haben, dass die Bank die Gelder in Tether umwandelte, den als USDT bezeichneten Stablecoin, und an eine in Kambodscha kontrollierte Wallet sendete. Die Mittäter dort verteilten die USDT anschließend an Anführer von Scam-Zentren in der Region.
Zhao wurde im August 2025 wegen Verschwörung zur Geldwäsche angeklagt. Bei einer Verurteilung drohen ihm bis zu 20 Jahre Haft. Die Vorwürfe sind bislang nur Behauptungen, und für Zhao gilt die Unschuldsvermutung. Acht Mitverschwörer haben sich schuldig bekannt, darunter ShengSheng He und Jingliang Su. Sie erhielten Strafen von 51 bzw. 46 Monaten wegen Verschwörung zum Betrieb eines nicht lizenzierten Geldübermittlungsgeschäfts.
Das Global Investigative Operations Center des Secret Service ermittelt mit Unterstützung weiterer US-Behörden und niederländischer Behörden. Das Verfahren ist Teil der Cyber-Enabled Scam Initiative der Criminal Division. Das Ministerium fordert Opfer von Betrug mit digitalen Vermögenswerten auf, diesen unter IC3.gov zu melden.
Anthropic beschreibt fünf von KI entwickelte Exploit-Ketten
In einem separaten technischen Bericht erklärt Anthropic, ein nicht veröffentlichtes internes Forschungsmodell habe Schwachstellen entdeckt und nach einer ersten Anleitung funktionierende Exploits gegen Chrome, Safari, Android, Windows und Linux geschrieben. Dabei handelt es sich nach Angaben des Unternehmens um eigene Befunde und Demonstrationen.
Für Chrome unter macOS beschreibt Anthropic eine schädliche Seite, die innerhalb weniger Sekunden den Taschenrechner startete. Dabei wurde Code außerhalb der Sandbox des Browsers ausgeführt, also der Grenze, die kompromittierte Browserkomponenten eindämmen soll. Die Kette kombinierte eine Speicherbeschädigung in der JavaScript-Engine V8, einen Ausbruch aus dem Speicherbereich-Sandboxing von V8, eine Race Condition in CacheStorage und einen Use-after-free-Fehler in der Anmeldefunktion FedCM. Ein Use-after-free liegt vor, wenn Software auf Speicher zugreift, nachdem dieser freigegeben wurde.
Die Kette umging Address Space Layout Randomization, die Codepositionen im Speicher verbirgt. Außerdem nutzte sie Return-Oriented Programming, bei dem vorhandene Codefragmente zur Steuerung der Ausführung kombiniert werden. Anthropic zufolge hat Google 62 CVEs bzw. Schwachstellenkennungen für die Befunde vergeben und bis Chrome 156 alle geschlossen. Alle waren als kritisch oder hoch eingestuft. Darunter waren 13 Sandbox-Ausbrüche und 21 Schwachstellen, durch die der Renderer kompromittiert werden könnte. Dieser Prozess verarbeitet Webseiteninhalte.
Die Safari-Kette umging die Same-Origin-Policy, also die Regel, die die Daten einer Website von denen einer anderen trennt. Laut Anthropic konnte sie den Browserverlauf, Cookies und Sitzungsdatenbanken auslesen sowie authentifizierte Anfragen an andere Domains senden und deren Antworten lesen. Ein Angreifer könnte daher die E-Mails eines angemeldeten Nutzers lesen oder Kontostände einsehen und Überweisungen versuchen.
Diese Kette kombinierte einen JavaScriptCore-Use-after-free-Fehler, einen Ausbruch aus der Speicherisolierung Gigacage von WebKit und eine Schwachstelle im Mechanismus für die prozessübergreifende Kommunikation der Sandbox. Sie veränderte Browserdaten und ein Sicherheitsflag, führte aber keinen beliebigen Code aus. Einige Verhaltensweisen von Komponenten wurden nur in Kombination ausnutzbar. Laut Anthropic bestätigte Apple den Bericht noch am selben Tag und stellte umgehend eine Korrektur bereit, die Nutzern zur Verfügung steht.
Für Android berichtet das Unternehmen, Fotos und persönliche Daten über USB von einem gesperrten Telefon extrahiert zu haben. Quellcodeanalyse, Reverse Engineering der Google-Play-Dienste und Tests auf einem physischen Pixel 9 führten zu einer Kette, die Beschränkungen für Übertragungen bei gesperrtem Gerät, die Autorisierung von Peers und die sechsstellige Bestätigung der Kopplung umging. Ein Ausweichmechanismus übertrug anschließend Dateiinhalte, obwohl eine separate Beschränkung für rohe Dateiübertragungen galt. Laut Anthropic hat Google das Problem behoben.
Die Windows-Schwachstelle CVE-2026-33096 betrifft einen Lesezugriff außerhalb des Speicherbereichs in der QUIC-Implementierung des Kernels, einem Transportprotokoll, das von HTTP/3 verwendet wird. Anthropic zufolge könnten wenige Pakete einen Windows-Rechner, der HTTP/3 über die native Implementierung beantwortet, zum Absturz bringen und neu starten. Wiederholte Anfragen könnten ihn nicht verfügbar machen. Die Schätzung von mehreren Millionen aus dem Internet erreichbarer Server ist eine Einschätzung des Unternehmens. Microsoft habe die Schwachstelle behoben, so Anthropic. Das Modell habe sie durch Binäranalyse gefunden. Dazu gehörte die Rekonstruktion und der Vergleich des Programmverhaltens, bevor der resultierende Code auf Schwachstellen untersucht wurde.
Die Linux-Kette richtete sich gegen Server mit einem Listener für Multipath TCP. Laut Anthropic könnte ein nicht authentifizierter Angreifer aus der Ferne einen zeitabhängigen Use-after-free-Fehler ausnutzen, um Befehle als root auszuführen, also mit dem privilegiertesten Konto und ohne Interaktion des Nutzers. Eine Stufe legte einen Kernel-Zeiger offen, um Speicherpositionen zu verraten. Eine weitere überschrieb einen Callback-Zeiger, um die Ausführung über vorhandene Kernelfunktionen umzuleiten. Fehlgeschlagene Versuche konnten lediglich einen fehlgeschlagenen Verbindungsaufbau hinterlassen, sodass wiederholte Versuche möglich waren. Die Demonstration benötigte 48 Minuten, um einen Zeiger preiszugeben, und weitere fünf Minuten, um einen Befehl auszuführen.
Anthropic führt diese Schwachstelle unter CVE-2026-98432. Die Korrektur sei upstream zusammengeführt und in alle gepflegten stabilen Linux-Kernel-Zweige zurückportiert worden. Außerdem meldet das Unternehmen lokale Rechteausweitungen in OpenBSD, FreeBSD und Linux, Sandbox-Ausbrüche sowie Schwachstellen in Webanwendungen.
Das Unternehmen erklärt, es habe jede Schwachstelle nach einem Offenlegungsverfahren gemeldet, das den Anbietern 90 Tage zur Behebung und weitere 45 Tage vor einer weiteren technischen Diskussion einräumt. Seine Forschungsplattform führt Scanning-Agenten parallel aus, verfolgt die Code-Abdeckung, sucht nach Varianten bestätigter Fehler und unterzieht die Befunde einer Überprüfung und Risikobewertung.
Für Entwicklungsteams empfiehlt Anthropic, Code bereits zum Zeitpunkt von Pull Requests zu scannen. Außerdem hat das Unternehmen ein Plugin mit Sicherheitsempfehlungen für Claude Code veröffentlicht. Sein erweitertes Cyber Verification Program bietet qualifizierten Sicherheitsfachleuten erweiterte Funktionen und weniger blockierende Klassifikatoren, darunter Zugang zu Claude Opus 5.5, Claude Sonnet 5.5 und Claude Mythos 5.1. Die praktische Empfehlung lautet, den eigenen Code von Verteidigern im Rahmen der Entwicklung zu scannen.
