Vertraute Schnittstellen werden zur Gefahr: Banking, KI, Industriesysteme und Software-Updates

Eine Reihe aktueller Sicherheitsfunde zeigt, wie Angreifer Schnittstellen ausnutzen, denen Nutzer und Betreiber vertrauen: Banking-Apps, Google-Anmeldefenster, KI-generierte Antworten, WordPress-Updates und Fernwartungszugänge zu Industriesystemen.

Die Vorfälle reichen von aktiven Malware-Kampagnen bis hin zu grundlegenden Datenschutzbedenken. Dazu kommt eine bekannte WinRAR-Schwachstelle, CVE-2023-38831, die weiterhin relevant ist, weil sie bei Ransomware-Kampagnen ausgenutzt wurde.

RemControl übernimmt Android-Banking-Sitzungen

Group-IB hat RemControl entdeckt, einen bislang undokumentierten Android-Banking-Trojaner, der erstmals im Juli 2026 beobachtet wurde. Zu seinen Zielen zählen Privatkunden von Banken in Italien, Frankreich, Spanien, Polen und Portugal sowie Nutzer im Nahen Osten und in Kanada.

Die Kampagne beginnt mit Anzeigen auf Meta, die Opfer auf gefälschte Google-Play-Store-Seiten führen. Diese geben sich als Download-Seiten für die IPTV-Anwendung TVTap aus. Nach der Installation missbraucht RemControl den Android-Bedienungshilfedienst, um mit dem Gerät zu interagieren und den Nutzer zu überwachen.

Die Malware kann gefälschte Anmeldefenster über legitimen Banking-Apps einblenden, Tastenanschläge aufzeichnen, den Bildschirm übertragen und einem Angreifer die Fernsteuerung des Geräts ermöglichen. So können Zugangsdaten abgegriffen und laufende Banking-Sitzungen manipuliert werden.

RemControl verwendet keine fest in der Anwendung hinterlegte Command-and-Control-Adresse. Stattdessen ruft die Malware den aktuellen C2-Standort über einen verschlüsselten Telegram-Dead-Drop ab. Die Betreiber können ihre Infrastruktur dadurch verlagern, ohne die Malware neu erstellen und verteilen zu müssen.

Group-IB fand außerdem Hinweise darauf, dass bei der Entwicklung künstliche Intelligenz zum Einsatz kam. In der Dokumentation für die Betreiber und in den Phishing-Einblendungen fanden sich KI-ähnliche Inhalte. Auf einer den Opfern angezeigten Seite blieb sogar versehentlich eine vollständige Antwort eines Assistenten stehen. Russische Kommentare in mehreren HTML-Dateien der Einblendungen deuten darauf hin, dass eine russischsprachige Person beteiligt war.

Die Namen der Kampagnen, Affiliate-Tags, Verbreitungsmethoden und die Nutzung von Telegram ähneln dem Affiliate-Botnetz Medusa UNKN. Eine Verbindung ist möglich, aber nicht bestätigt.

Android-Nutzer sollten keine Apps von Seiten installieren, die sie über Anzeigen erreichen – auch dann nicht, wenn diese Seiten wie Google Play aussehen. Unerwartete Anfragen des Bedienungshilfedienstes sind besonders verdächtig: Diese Berechtigung kann den Bildschirminhalt offenlegen und automatisierte Interaktionen ermöglichen.

KI-Tools geben Code preis und verfälschen die Suche nach Support

Das chinesische KI-Unternehmen Z.ai hat mehrere Funktionen von ZCode deaktiviert, nachdem Forscher herausgefunden hatten, dass die Standardeinstellungen ohne Zustimmung der Nutzer Momentaufnahmen lokaler Code-Repositories an eine Infrastruktur von Alibaba Cloud in China übermittelten. Das Unternehmen stoppte die Erstellung und Übertragung der Momentaufnahmen und veröffentlichte den Code des Assistenten zur öffentlichen Prüfung.

Dem war ein früherer Fund beim KI-Coding-Tool Grok Build von SpaceXAI vorausgegangen. Das Produkt lud vollständige Git-Repositories in einen Google-Cloud-Storage-Bucket hoch, der vom Anbieter kontrolliert wurde.

Für Unternehmen geht das Problem über Quellcode hinaus. Repositories können interne Dokumentation, Konfigurationsdaten, Entwicklungshistorien und weitere vertrauliche Informationen enthalten. Unternehmen, die Coding-Assistenten evaluieren, sollten klären, welche Daten die Systeme der Entwickler verlassen, wo sie gespeichert werden und ob die Erfassung standardmäßig aktiviert ist.

Eine separate Kampagne, über die Ariel Simon, Forscher bei Vigilance Security, berichtete, zielt auf die Informationen ab, die ChatGPT, Gemini und Google AI Overviews ausgeben. Angreifer veröffentlichen suchmaschinenoptimierte Beiträge, PDFs, Rezensionen und gefälschte Support-Seiten mit betrügerischen Telefonnummern, E-Mail-Adressen und Anmeldelinks.

Zu den genannten Zielen zählen Delta, Lufthansa, Qatar Airways, Chase, Bank of America, Airbnb und TripAdvisor. Das täuschende Material wurde in sozialen Netzwerken, auf Dateiaustauschdiensten, bei Google Sites, GitHub Pages, WordPress, Blogger, Yelp und Apple Maps entdeckt. Auch Plattformen für Spendenaktionen, Jobs und Veranstaltungen wurden genutzt, darunter Posh.vip, onecause.com, bebee.com und raiselysite.com.

Nutzer sollten eine von einer KI ausgegebene Supportnummer nicht ungeprüft für echt halten. Bevor sie Zugangsdaten, Kontoinformationen oder Zahlungsdaten weitergeben, sollten sie die Kontaktdaten auf der offiziellen Website oder in der offiziellen App des Unternehmens überprüfen.

MAX kontrolliert die Sicherheit seiner Mini-Apps über die Host-App

Forscher der University of Michigan, der University of Calgary, des Georgia Institute of Technology und des Indian Institute of Technology Delhi haben MAX untersucht, eine vom russischen Staat unterstützte Super-App des Unternehmens VK.

MAX verbindet Messaging mit Banking, E-Commerce und Behördendiensten. Die forensische Untersuchung ergab, dass die Architektur der Host-App weitreichende Kontrolle über darin ausgeführte Mini-Apps gibt.

Die Forscher dokumentierten fünf Möglichkeiten: MAX kann Bildschirme von Mini-Apps ohne besondere Systemberechtigungen oder Hinweise an den Nutzer aufnehmen, den lokalen Speicher von Mini-Apps lesen und verändern, zur Laufzeit JavaScript einschleusen, den Netzwerkverkehr vermitteln und Authentifizierungstokens sowie Sitzungskontexte kontrollieren.

In der russischen Regionalversion wird der Datenverkehr der Mini-Apps über einen GOST-TLS-Proxy geleitet. Da die Host-Plattform zwischen einer Mini-App und ihrem Netzwerkziel sitzt, ermöglicht diese Architektur möglicherweise eine Überwachung durch staatliche Stellen.

Durch die Kontrolle über Tokens kann MAX Nutzer potenziell auch bei Diensten innerhalb seines Ökosystems imitieren. Die Sicherheitsvorkehrungen einer einzelnen Mini-App können daher durch die übergeordnete Plattform, in der sie läuft, geschwächt werden.

Betreiber von Industrieanlagen sollen den Zugang von Integratoren einschränken

Das FBI und CISA haben Leitlinien für Betreiber kritischer Infrastrukturen veröffentlicht, die externe ICS-Integratoren einsetzen. Die erste Version des Merkblatts ist auf den 23. September 2026 datiert.

Integratoren installieren und warten möglicherweise Prozessleitsysteme, speicherprogrammierbare Steuerungen und andere Betriebstechnologie. Sie können außerdem dauerhaften Fernzugriff, detaillierte Informationen zu Anlagen und Einfluss auf physische Prozesse erhalten.

Die Behörden bringen diese Risiken mit einem Sicherheitsvorfall zwischen März und April 2025 in Verbindung. Ausländische Angreifer drangen in das Netzwerk eines US-amerikanischen Unternehmens für industrielle Automatisierung ein, zu dessen Kunden unter anderem Energieversorger und Verkehrsbetriebe gehörten.

Die Eindringlinge suchten nach Begriffen wie „customers“ und „SCADA“ und erstellten anschließend neun ZIP-Archive mit rund 800 Dateien, die sie offenbar exfiltrieren wollten. Das Material enthielt SCADA-Informationen von Kunden, Angaben zu ICS-Geräten und Schaltpläne, die spätere Angriffe auf Betriebsumgebungen erleichtern könnten.

CISA empfiehlt, für Konten von Integratoren das Prinzip der geringsten Rechte anzuwenden, Fernzugriffe zu protokollieren und Zugänge zu bevorzugen, die Betreiber ausdrücklich freigeben müssen. Unternehmen sollten zudem internetfähige Geräte identifizieren, von Integratoren bereitgestellte Hard- und Software inventarisieren, Update-Verfahren dokumentieren und Cybersicherheitsanforderungen vertraglich festlegen.

Wiederherstellungspläne sollten berücksichtigen, dass ein Integrator ausfallen oder kompromittiert werden kann. Dazu gehört, den manuellen Betrieb zu üben und sichere Offline-Kopien der für den Anlagenbetrieb erforderlichen Software aufzubewahren.

Manipulierte WordPress-Updates und eine ausgenutzte WinRAR-Schwachstelle

Am 14. September 2026 wurde ein manipuliertes Update für Admin Menu Editor Pro auf adminmenueditor[.]com hochgeladen. Kunden erhielten es als Version 2.35.

Das veränderte Paket fügte die Datei includes/wp-user-consent.php hinzu, über die eine Webshell auf WordPress-Websites installiert wurde. Der Maintainer Janis Elsts veröffentlichte noch am selben Tag eine saubere Version 2.36. Doch Angreifer kompromittierten auch diese erneut. Das deutete darauf hin, dass sie möglicherweise Root-Zugriff auf den Update-Server erlangt hatten.

Die frühesten bekannten Hinweise auf die Kompromittierung stammen vom 13. September 2026, etwa um 19:40 Uhr UTC. Elsts führte den ersten Einbruch auf dem Server auf eine Schwachstelle in einem veralteten Linux-Kernel zurück.

Mindestens 230 Kunden installierten das manipulierte Update auf insgesamt 1.500 Websites. Am 20. September war Version 2.37 für Kunden verfügbar, die keine saubere Plugin-Kopie hatten. Gleichzeitig wurden die Lizenzierungs-API und die Update-Infrastruktur grundlegend überarbeitet.

Administratoren sollten nach der unerwarteten Datei includes/wp-user-consent.php suchen, das Plugin durch eine nachweislich saubere Version ersetzen und betroffene Server auf Aktivitäten untersuchen, die über die Webshell ermöglicht wurden. Ein einfaches Plugin-Update entfernt möglicherweise keine Änderungen, die nach der Installation der Webshell vorgenommen wurden.

Die Schwachstelle CVE-2023-38831 betrifft außerdem RARLAB WinRAR-Versionen vor 6.23. Ein präpariertes ZIP-Archiv kann eine scheinbar harmlose Datei, etwa eine .JPG, und einen gleichnamigen Ordner enthalten. Wird die Täuschungsdatei geöffnet, verarbeitet WinRAR ausführbare Inhalte, die im entsprechenden Ordner abgelegt sind.

Die Ausnutzung setzt eine Interaktion des Nutzers voraus, erfordert aber keine vorherigen Berechtigungen des Angreifers. Die Schwachstelle hat einen CVSS-3.1-Wert von 7,8 und den Vektor CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H.

Ausnutzungsversuche wurden zwischen April und Oktober 2023 registriert, unter anderem im Rahmen von Ransomware-Kampagnen. CISA nahm die Schwachstelle am 24. August 2023 in den Katalog bekanntermaßen ausgenutzter Schwachstellen auf und setzte für US-Bundesbehörden eine Frist zur Behebung bis zum 14. September 2023. Betroffene Organisationen müssen laut CISA die vom Hersteller bereitgestellten Gegenmaßnahmen umsetzen oder das Produkt außer Betrieb nehmen, falls keine solchen Maßnahmen verfügbar sind. Ein Upgrade auf WinRAR 6.23 oder höher beseitigt die betroffenen Versionen vor 6.23.

Social Engineering und Umgehung von Endpunktschutz entwickeln sich weiter

Eine gefälschte Aktion für Claude Max zeigt, wie sorgfältig gestaltete Oberflächen visuelle Prüfungen aushebeln können. Die Seite versprach ein kostenloses Upgrade und zeigte ein gefälschtes Google-Anmeldefenster, das direkt in den vorhandenen Browser-Tab eingebettet war.

Dieses sogenannte Browser-in-the-Browser-Fenster zeigte ein Vorhängeschloss und eine korrekt geschriebene Google-Anmeldeadresse. Es ließ sich außerdem verschieben und wirkte dadurch wie ein separates Browserfenster. Nutzer sollten darauf achten, dass die Anmeldung in einem echten Browserfenster erfolgt, und die tatsächlich vom Browser angezeigte Adresse überprüfen.

Unterdessen beschrieben die Forscher Max Hirschberger und Ogulcan Ugur im Juli 2026 die Methode Process Parameter Poisoning. Flashpoint veröffentlichte später einen Proof of Concept in Rust, der Parametermanipulation mit dem Hijacking der Thread-Ausführung kombiniert.

Anstatt Speicher im Zielprozess zu reservieren und eine Nutzlast über häufig überwachte APIs einzuschleusen, platziert die Methode beim Erstellen des Prozesses schädlichen Code in regulären Prozessinitialisierungsstrukturen. Flashpoint zufolge kann dies EDR-Produkte umgehen, die in frühen Ausführungsphasen stark auf API-Hooking angewiesen sind.

Zu den weiteren Entwicklungen gehört Exvicy, ein Malware-as-a-Service-Framework für ClickFix-Angriffe. Es nutzt kompromittierte WordPress-Seiten und gefälschte Cloudflare-CAPTCHA-Abfragen, um Nutzer zum Windows-Dialog „Ausführen“ zu leiten. Das Angebot wurde ab dem 26. Mai 2026 auf Exploit.in beworben. Zunächst kostete es 1.200 US-Dollar pro Monat, ab Mitte August dann 2.000 US-Dollar.

Canonical stellt außerdem die Behebung von Kernel-CVEs für Ubuntu auf sich überschneidende Zweiwochenzyklen um. Dadurch erscheinen wöchentlich neue Kernel-Versionen. Das Unternehmen begründete die Änderung mit einem starken Anstieg der CVE-Zahl, der vor allem durch KI verursacht werde.

Schließlich meldete das FBI zwischen Januar 2025 und Juli 2026 fast 61.000 Beschwerden über Betrugsversuche, bei denen sich Täter als Behörden- oder Strafverfolgungsmitarbeiter ausgaben. Die gemeldeten Verluste überstiegen 1,6 Milliarden US-Dollar. Typische Warnsignale sind die Aufforderung zur Geheimhaltung, anhaltender telefonischer Druck und aggressive Behauptungen, nur die betroffene Person dürfe über den angeblichen Fall sprechen.