RadioCSIRT – Deutsche Ausgabe Archiv
21 Episoden
8 Minuten
Willkommen zu Ihrem täglichen Cybersicherheits-Podcast.
Eine neue Initiative bringt freiwillige Cybersicherheitsexperten mit Wasserversorgern zusammen, um kritische Infrastrukturen besser gegen wachsende Bedrohungen zu schützen. Fachleute aus der DEF-CON-Franklin-Community unterstützen Versorgungsbetriebe durch Sicherheitsbewertungen, OT-Analyse und die Umsetzung angepasster Schutzmaßnahmen.
MongoDB warnt Administratoren eindringlich vor einer schwerwiegenden Remote-Code-Execution-Schwachstelle in seinem Ökosystem. Die Lücke ermöglicht nicht authentifizierten Angreifern die Ausführung beliebigen Codes auf exponierten Node.js-Servern. Öffentliche Proof-of-Concept-Exploits erhöhen das Risiko einer aktiven Ausnutzung erheblich.
Eine groß angelegte Kompromittierungskampagne mit der Malware PCPcat nutzte kritische Schwachstellen in Next.js- und React-Serverkomponenten aus. Innerhalb von 48 Stunden wurden über 59.000 Server kompromittiert, wobei Zugangsdaten, SSH-Schlüssel und Umgebungsvariablen abgegriffen wurden.
In Frankreich kam es bei La Poste und der Banque Postale infolge eines DDoS-Angriffs zu erheblichen Ausfällen. Mehrere Online-Dienste waren zeitweise nicht verfügbar, wobei laut Behörden keine Kundendaten kompromittiert wurden.
Quellen:
Cyber Volunteers / Water Utility / MSSP : https://therecord.media/cyber-volunteer-water-utility-mssp
MongoDB – Severe RCE Patch Warning : https://www.bleepingcomputer.com/news/security/mongodb-warns-admins-to-patch-severe-rce-flaw-immediately/
PCPcat – React/Next.js Servers Breach : https://thecyberexpress.com/pcpcat-react-servers-nextjs-breach/
La Poste – Outage After a Cyber Attack : https://securityaffairs.com/186064/security/la-poste-outage-after-a-cyber-attack.html
Nicht nachdenken, patchen!
Ihr Feedback ist willkommen.
E-Mail: radiocsirt@gmail.com
Website: https://www.radiocsirt.com/de
Wöchentlicher Newsletter: https://radiocsirtgermanedition.substack.com/
Eine neue Initiative bringt freiwillige Cybersicherheitsexperten mit Wasserversorgern zusammen, um kritische Infrastrukturen besser gegen wachsende Bedrohungen zu schützen. Fachleute aus der DEF-CON-Franklin-Community unterstützen Versorgungsbetriebe durch Sicherheitsbewertungen, OT-Analyse und die Umsetzung angepasster Schutzmaßnahmen.
MongoDB warnt Administratoren eindringlich vor einer schwerwiegenden Remote-Code-Execution-Schwachstelle in seinem Ökosystem. Die Lücke ermöglicht nicht authentifizierten Angreifern die Ausführung beliebigen Codes auf exponierten Node.js-Servern. Öffentliche Proof-of-Concept-Exploits erhöhen das Risiko einer aktiven Ausnutzung erheblich.
Eine groß angelegte Kompromittierungskampagne mit der Malware PCPcat nutzte kritische Schwachstellen in Next.js- und React-Serverkomponenten aus. Innerhalb von 48 Stunden wurden über 59.000 Server kompromittiert, wobei Zugangsdaten, SSH-Schlüssel und Umgebungsvariablen abgegriffen wurden.
In Frankreich kam es bei La Poste und der Banque Postale infolge eines DDoS-Angriffs zu erheblichen Ausfällen. Mehrere Online-Dienste waren zeitweise nicht verfügbar, wobei laut Behörden keine Kundendaten kompromittiert wurden.
Quellen:
Cyber Volunteers / Water Utility / MSSP : https://therecord.media/cyber-volunteer-water-utility-mssp
MongoDB – Severe RCE Patch Warning : https://www.bleepingcomputer.com/news/security/mongodb-warns-admins-to-patch-severe-rce-flaw-immediately/
PCPcat – React/Next.js Servers Breach : https://thecyberexpress.com/pcpcat-react-servers-nextjs-breach/
La Poste – Outage After a Cyber Attack : https://securityaffairs.com/186064/security/la-poste-outage-after-a-cyber-attack.html
Nicht nachdenken, patchen!
Ihr Feedback ist willkommen.
E-Mail: radiocsirt@gmail.com
Website: https://www.radiocsirt.com/de
Wöchentlicher Newsletter: https://radiocsirtgermanedition.substack.com/
8 Minuten
Willkommen zu Ihrem täglichen Cybersecurity-Podcast.
CISA hat CVE-2023-52163 aufgrund aktiver Ausnutzung bei Digiever DS-2105 Pro Videorekordern in den KEV-Katalog aufgenommen. Dieser Autorisierungsfehler ermöglicht es Angreifern, Sicherheitskontrollen zu umgehen. CISA empfiehlt allen Organisationen dringend die Einspielung von Firmware-Updates, da diese Schwachstelle ein häufiger Vektor für unbefugten Zugriff in IoT-Netzwerken ist.
Genians Security Center dokumentiert die Kampagne „Artemis“ der APT37-Gruppe gegen südkoreanische Ziele mittels bösartiger HWP-Dokumente. Die Attacke nutzt OLE-Objekte und DLL Side-Loading über das Tool VolumeId zur Installation des RoKRAT-Moduls. Die Angreifer setzen Steganographie zur Verschleierung ein und missbrauchen Yandex und pCloud für C2-Kommunikation. Die Entdeckung wird durch die Nutzung legitimer Prozesskontexte erschwert.
SoundCloud bestätigt einen Datenabfluss bei 26 Millionen Konten nach der Kompromittierung eines Dashboards. Exfiltriert wurden E-Mails und Profilinfos; Passwörter sind nicht betroffen. Nachfolgende DDoS-Angriffe und verschärfte Zugriffskontrollen führten zu VPN-Verbindungsproblemen. Die Plattform hat die Überwachungsmechanismen zur Bedrohungserkennung massiv verstärkt.
Forscher von Socket Security haben zwei bösartige Chrome-Erweiterungen namens Phantom Shuttle entdeckt, die Zugangsdaten von 170 Unternehmensdomänen wie AWS und GitHub stehlen. Die Tools nutzen PAC-Skripte und injizieren Proxy-Zugangsdaten über Web-Requests. Sensible Daten werden alle fünf Minuten im Klartext an den C2-Server phantomshuttle[.]space gesendet.
Anna’s Archive hat 300 Terabyte an Spotify-Daten veröffentlicht, darunter 86 Millionen Titel. Das Scraping erfolgte über Monate durch Stream-Ripping mittels Drittanbieter-Konten. Spotify deaktivierte die Konten und führte neue Schutzmaßnahmen gegen automatisiertes Abspielen ein. Der Vorfall unterstreicht die Risiken durch großangelegtes automatisiertes Scraping von Mediendaten.
Sources:
CISA KEV Digiever : https://www.cisa.gov/news-events/alerts/2025/12/22/cisa-adds-one-known-exploited-vulnerability-catalog
APT37 Artemis : https://www.genians.co.kr/en/blog/threat_intelligence/dll
SoundCloud Breach : https://www.theregister.com/2025/12/16/soundcloud_cyberattack_data_leak/
Chrome Phantom Shuttle : https://thehackernews.com/2025/12/two-chrome-extensions-caught-secretly.html
Spotify Scraping : https://therecord.media/spotify-disables-scraping-annas
Nicht nachdenken, patchen!
Ihr Feedback ist willkommen.
E-Mail: radiocsirt@gmail.com
Website: https://www.radiocsirt.com/de
Wöchentlicher Newsletter: https://radiocsirtgermanedition.substack.com/
CISA hat CVE-2023-52163 aufgrund aktiver Ausnutzung bei Digiever DS-2105 Pro Videorekordern in den KEV-Katalog aufgenommen. Dieser Autorisierungsfehler ermöglicht es Angreifern, Sicherheitskontrollen zu umgehen. CISA empfiehlt allen Organisationen dringend die Einspielung von Firmware-Updates, da diese Schwachstelle ein häufiger Vektor für unbefugten Zugriff in IoT-Netzwerken ist.
Genians Security Center dokumentiert die Kampagne „Artemis“ der APT37-Gruppe gegen südkoreanische Ziele mittels bösartiger HWP-Dokumente. Die Attacke nutzt OLE-Objekte und DLL Side-Loading über das Tool VolumeId zur Installation des RoKRAT-Moduls. Die Angreifer setzen Steganographie zur Verschleierung ein und missbrauchen Yandex und pCloud für C2-Kommunikation. Die Entdeckung wird durch die Nutzung legitimer Prozesskontexte erschwert.
SoundCloud bestätigt einen Datenabfluss bei 26 Millionen Konten nach der Kompromittierung eines Dashboards. Exfiltriert wurden E-Mails und Profilinfos; Passwörter sind nicht betroffen. Nachfolgende DDoS-Angriffe und verschärfte Zugriffskontrollen führten zu VPN-Verbindungsproblemen. Die Plattform hat die Überwachungsmechanismen zur Bedrohungserkennung massiv verstärkt.
Forscher von Socket Security haben zwei bösartige Chrome-Erweiterungen namens Phantom Shuttle entdeckt, die Zugangsdaten von 170 Unternehmensdomänen wie AWS und GitHub stehlen. Die Tools nutzen PAC-Skripte und injizieren Proxy-Zugangsdaten über Web-Requests. Sensible Daten werden alle fünf Minuten im Klartext an den C2-Server phantomshuttle[.]space gesendet.
Anna’s Archive hat 300 Terabyte an Spotify-Daten veröffentlicht, darunter 86 Millionen Titel. Das Scraping erfolgte über Monate durch Stream-Ripping mittels Drittanbieter-Konten. Spotify deaktivierte die Konten und führte neue Schutzmaßnahmen gegen automatisiertes Abspielen ein. Der Vorfall unterstreicht die Risiken durch großangelegtes automatisiertes Scraping von Mediendaten.
Sources:
CISA KEV Digiever : https://www.cisa.gov/news-events/alerts/2025/12/22/cisa-adds-one-known-exploited-vulnerability-catalog
APT37 Artemis : https://www.genians.co.kr/en/blog/threat_intelligence/dll
SoundCloud Breach : https://www.theregister.com/2025/12/16/soundcloud_cyberattack_data_leak/
Chrome Phantom Shuttle : https://thehackernews.com/2025/12/two-chrome-extensions-caught-secretly.html
Spotify Scraping : https://therecord.media/spotify-disables-scraping-annas
Nicht nachdenken, patchen!
Ihr Feedback ist willkommen.
E-Mail: radiocsirt@gmail.com
Website: https://www.radiocsirt.com/de
Wöchentlicher Newsletter: https://radiocsirtgermanedition.substack.com/
7 Minuten
Willkommen zu Ihrem täglichen Cybersecurity-Podcast.
Pornhub warnt Premium-Abonnenten nach Datenexposition am 8. November 2025 über Analytics-Anbieter Mixpanel. Cyberkriminelle drohen, betroffene Nutzer direkt per E-Mail zu kontaktieren. Mixpanel bestreitet, dass Daten aus seinem Sicherheitsvorfall vom 8. November stammen, und gibt an, es gebe keine Beweise für Exfiltration aus seinen Systemen. Pornhub bestätigt, dass Passwörter, Zahlungsdetails und Finanzinformationen nicht kompromittiert sind, wobei die Exposition auf eine begrenzte Menge von Analytics-Ereignissen beschränkt bleibt. Angreifer nutzen diese Daten für Sextortion-Kampagnen, die gezielt identifizierte Premium-Nutzer ansprechen.
Intezer dokumentiert eine Kampagne der Goffee-Gruppe gegen russisches Militärpersonal und Verteidigungsorganisationen. Der im Oktober identifizierte Angriff nutzt eine schädliche XLL-Datei, die von der Ukraine und dann Russland auf VirusTotal hochgeladen wurde, mit dem Titel "enemy's planned targets". Die Datei setzt die EchoGather-Backdoor ein, um Systeminformationen zu sammeln, Befehle auszuführen und Dateien auf einen C2-Server zu exfiltrieren, der als Essenslieferungs-Website getarnt ist. Phishing-Köder umfassen gefälschte Konzerteinladungen für hochrangige Militäroffiziere und Briefe, die das russische Ministerium für Industrie und Handel imitieren und Preisrechtfertigungsdokumente für Verteidigungsverträge anfordern.
CISA und NIST veröffentlichen den Entwurf des Interagency Report 8597 zum Schutz von Identitäts-Token und Assertions gegen Fälschung, Diebstahl und missbräuchliche Nutzung. Das Dokument adressiert aktuelle Vorfälle bei großen Cloud-Anbietern, die auf Diebstahl, Modifikation oder Fälschung von Identitäts-Token zum Zugriff auf geschützte Ressourcen abzielen. Der Bericht umfasst IAM-Kontrollen für Systeme, die digital signierte Assertions und Token in Zugriffsentscheidungen verwenden. NIST fordert CSPs auf, Secure by Design-Prinzipien anzuwenden und Transparenz, Konfigurierbarkeit und Interoperabilität zu priorisieren. Bundesbehörden müssen Architektur und Bereitstellungsmodelle ihrer CSPs verstehen, um Risikolage und Bedrohungsumgebung abzustimmen.
Check Point Research hat GachiLoader dokumentiert, eine stark obfuskierte Node.js-Loader-Malware, die über das YouTube Ghost Network verbreitet wird. Die Kampagne nutzt 39 kompromittierte Konten mit über 100 Videos, die Nutzer von Spiele-Cheats ansprechen und seit Dezember 2024 220.000 Aufrufe erreichten. Die Malware implementiert Anti-Analyse-Prüfungen mit mindestens 4 GB RAM, 2 CPU-Kernen sowie Blacklists für Benutzernamen, Hostnamen und laufende Prozesse. GachiLoader deaktiviert Windows Defender und fügt Ausnahmen für C:\Users, C:\ProgramData, C:\Windows und die Erweiterung .sys hinzu. Zwei Varianten wurden beobachtet: Die erste lädt Rhadamanthys von C2-Servern herunter, die zweite setzt Kidkadi.node ein mit Vectored Overloading-Technik zum Abfangen von Systemaufrufen und Laden schädlicher PE.
Quellen:
Pornhub Sextortion: https://www.malwarebytes.com/blog/news/2025/12/pornhub-tells-users-to-expect-sextortion-emails-after-data-exposure
Goffee APT: https://therecord.media/cyber-spies-fake-new-year-concert-russian-phishing
NIST/CISA Token: https://www.cisa.gov/news-events/alerts/2025/12/22/nist-and-cisa-release-draft-interagency-report-protecting-tokens-and-assertions-tampering-theft-and
GachiLoader: https://research.checkpoint.com/2025/gachiloader-node-js-malware-with-api-tracing/
Nicht nachdenken, patchen!
Ihr Feedback ist willkommen.
E-Mail: radiocsirt@gmail.com
Website: https://www.radiocsirt.com/de
Wöchentlicher Newsletter: https://radiocsirtgermanedition.substack.com/
Pornhub warnt Premium-Abonnenten nach Datenexposition am 8. November 2025 über Analytics-Anbieter Mixpanel. Cyberkriminelle drohen, betroffene Nutzer direkt per E-Mail zu kontaktieren. Mixpanel bestreitet, dass Daten aus seinem Sicherheitsvorfall vom 8. November stammen, und gibt an, es gebe keine Beweise für Exfiltration aus seinen Systemen. Pornhub bestätigt, dass Passwörter, Zahlungsdetails und Finanzinformationen nicht kompromittiert sind, wobei die Exposition auf eine begrenzte Menge von Analytics-Ereignissen beschränkt bleibt. Angreifer nutzen diese Daten für Sextortion-Kampagnen, die gezielt identifizierte Premium-Nutzer ansprechen.
Intezer dokumentiert eine Kampagne der Goffee-Gruppe gegen russisches Militärpersonal und Verteidigungsorganisationen. Der im Oktober identifizierte Angriff nutzt eine schädliche XLL-Datei, die von der Ukraine und dann Russland auf VirusTotal hochgeladen wurde, mit dem Titel "enemy's planned targets". Die Datei setzt die EchoGather-Backdoor ein, um Systeminformationen zu sammeln, Befehle auszuführen und Dateien auf einen C2-Server zu exfiltrieren, der als Essenslieferungs-Website getarnt ist. Phishing-Köder umfassen gefälschte Konzerteinladungen für hochrangige Militäroffiziere und Briefe, die das russische Ministerium für Industrie und Handel imitieren und Preisrechtfertigungsdokumente für Verteidigungsverträge anfordern.
CISA und NIST veröffentlichen den Entwurf des Interagency Report 8597 zum Schutz von Identitäts-Token und Assertions gegen Fälschung, Diebstahl und missbräuchliche Nutzung. Das Dokument adressiert aktuelle Vorfälle bei großen Cloud-Anbietern, die auf Diebstahl, Modifikation oder Fälschung von Identitäts-Token zum Zugriff auf geschützte Ressourcen abzielen. Der Bericht umfasst IAM-Kontrollen für Systeme, die digital signierte Assertions und Token in Zugriffsentscheidungen verwenden. NIST fordert CSPs auf, Secure by Design-Prinzipien anzuwenden und Transparenz, Konfigurierbarkeit und Interoperabilität zu priorisieren. Bundesbehörden müssen Architektur und Bereitstellungsmodelle ihrer CSPs verstehen, um Risikolage und Bedrohungsumgebung abzustimmen.
Check Point Research hat GachiLoader dokumentiert, eine stark obfuskierte Node.js-Loader-Malware, die über das YouTube Ghost Network verbreitet wird. Die Kampagne nutzt 39 kompromittierte Konten mit über 100 Videos, die Nutzer von Spiele-Cheats ansprechen und seit Dezember 2024 220.000 Aufrufe erreichten. Die Malware implementiert Anti-Analyse-Prüfungen mit mindestens 4 GB RAM, 2 CPU-Kernen sowie Blacklists für Benutzernamen, Hostnamen und laufende Prozesse. GachiLoader deaktiviert Windows Defender und fügt Ausnahmen für C:\Users, C:\ProgramData, C:\Windows und die Erweiterung .sys hinzu. Zwei Varianten wurden beobachtet: Die erste lädt Rhadamanthys von C2-Servern herunter, die zweite setzt Kidkadi.node ein mit Vectored Overloading-Technik zum Abfangen von Systemaufrufen und Laden schädlicher PE.
Quellen:
Pornhub Sextortion: https://www.malwarebytes.com/blog/news/2025/12/pornhub-tells-users-to-expect-sextortion-emails-after-data-exposure
Goffee APT: https://therecord.media/cyber-spies-fake-new-year-concert-russian-phishing
NIST/CISA Token: https://www.cisa.gov/news-events/alerts/2025/12/22/nist-and-cisa-release-draft-interagency-report-protecting-tokens-and-assertions-tampering-theft-and
GachiLoader: https://research.checkpoint.com/2025/gachiloader-node-js-malware-with-api-tracing/
Nicht nachdenken, patchen!
Ihr Feedback ist willkommen.
E-Mail: radiocsirt@gmail.com
Website: https://www.radiocsirt.com/de
Wöchentlicher Newsletter: https://radiocsirtgermanedition.substack.com/
7 Minuten
Willkommen zu Ihrem täglichen Cybersicherheits-Podcast.
Die Mehrheit neu registrierter und geparkter Domains liefert inzwischen schädliche Inhalte aus. Analysen zeigen eine zunehmende Nutzung von Domain-Parking-Diensten zur Bereitstellung von Phishing-Seiten, gefälschten Software-Updates und Weiterleitungen zu Scam-Infrastrukturen. Diese Domains werden als kurzlebige Infrastruktur eingesetzt, um Reputationsmechanismen zu umgehen und Betrugs- sowie Malware-Delivery-Kampagnen zu beschleunigen.
Die iranische APT-Gruppe Infy ist mit einer neuen gezielten Kampagne wieder aktiv. Die Angriffe basieren auf Spear-Phishing mit präparierten Dokumenten und politischen sowie diplomatischen Ködern. Die Payloads enthalten aktualisierte Backdoors, Persistenzmechanismen über die Windows-Registry und verschleierte HTTP(S)-C2-Kanäle, was auf eine strukturierte operative Wiederaufnahme hindeutet.
Das NIST veröffentlicht neue Sicherheitsempfehlungen für den Einsatz von Smart Speakern in der häuslichen Telemedizin. Identifizierte Risiken umfassen das Abfangen unverschlüsselter Sprachkommunikation, die Offenlegung sensibler Gesundheitsdaten sowie die Nutzung dieser Geräte als Pivot-Punkte in Krankenhaus-Systeme. Die empfohlenen Maßnahmen fokussieren auf verschlüsselte Kommunikation, Network Segmentation und strikte Zugriffskontrollen.
Quellen:
Bösartiges Domain-Parking: https://krebsonsecurity.com/2025/12/most-parked-domains-now-serving-malicious-content/
APT Infy: https://thehackernews.com/2025/12/iranian-infy-apt-resurfaces-with-new.html
NIST Smart Speaker: https://www.nist.gov/news-events/news/2025/12/securing-smart-speakers-home-health-care-nist-offers-new-guidelines
Nicht nachdenken, patchen!
Ihr Feedback ist willkommen.
E-Mail: radiocsirt@gmail.com
Website: https://www.radiocsirt.com/de
Wöchentlicher Newsletter: https://radiocsirtgermanedition.substack.com/
Die Mehrheit neu registrierter und geparkter Domains liefert inzwischen schädliche Inhalte aus. Analysen zeigen eine zunehmende Nutzung von Domain-Parking-Diensten zur Bereitstellung von Phishing-Seiten, gefälschten Software-Updates und Weiterleitungen zu Scam-Infrastrukturen. Diese Domains werden als kurzlebige Infrastruktur eingesetzt, um Reputationsmechanismen zu umgehen und Betrugs- sowie Malware-Delivery-Kampagnen zu beschleunigen.
Die iranische APT-Gruppe Infy ist mit einer neuen gezielten Kampagne wieder aktiv. Die Angriffe basieren auf Spear-Phishing mit präparierten Dokumenten und politischen sowie diplomatischen Ködern. Die Payloads enthalten aktualisierte Backdoors, Persistenzmechanismen über die Windows-Registry und verschleierte HTTP(S)-C2-Kanäle, was auf eine strukturierte operative Wiederaufnahme hindeutet.
Das NIST veröffentlicht neue Sicherheitsempfehlungen für den Einsatz von Smart Speakern in der häuslichen Telemedizin. Identifizierte Risiken umfassen das Abfangen unverschlüsselter Sprachkommunikation, die Offenlegung sensibler Gesundheitsdaten sowie die Nutzung dieser Geräte als Pivot-Punkte in Krankenhaus-Systeme. Die empfohlenen Maßnahmen fokussieren auf verschlüsselte Kommunikation, Network Segmentation und strikte Zugriffskontrollen.
Quellen:
Bösartiges Domain-Parking: https://krebsonsecurity.com/2025/12/most-parked-domains-now-serving-malicious-content/
APT Infy: https://thehackernews.com/2025/12/iranian-infy-apt-resurfaces-with-new.html
NIST Smart Speaker: https://www.nist.gov/news-events/news/2025/12/securing-smart-speakers-home-health-care-nist-offers-new-guidelines
Nicht nachdenken, patchen!
Ihr Feedback ist willkommen.
E-Mail: radiocsirt@gmail.com
Website: https://www.radiocsirt.com/de
Wöchentlicher Newsletter: https://radiocsirtgermanedition.substack.com/
8 Minuten
Willkommen zu Ihrem täglichen Cybersicherheits-Podcast.
Amazon gibt bekannt, eine mit Nordkorea verbundene Infiltration bei einer IT-Rekrutierung identifiziert zu haben. Ein als in den USA ansässig deklarierter Systemadministrator wurde durch eine Tastenanschlag-Latenz von über 110 Millisekunden zu den Servern in Seattle erkannt, was auf interkontinentale Fernsteuerung hinweist. Die Kontrollinfrastruktur wurde bis nach China zurückverfolgt. Amazon gibt an, seit April 2024 mehr als 1.800 betrügerische Rekrutierungsversuche im Zusammenhang mit Nordkorea blockiert zu haben, mit einem vierteljährlichen Anstieg von 27 %.
Ein russischer APT-Akteur führt eine Phishing-Kampagne durch, die auf Regierungsbehörden auf dem Balkan und im Baltikum abzielt. Die Angriffe beruhen auf HTML-Anhängen, die als PDFs getarnt sind und institutionelle Köder sowie gefälschte Authentifizierungsformulare enthalten. Die Zugangsdaten werden über formcarry.com exfiltriert, mit Wiederverwendung von JavaScript-Code und Regex, die seit mindestens 2023 beobachtet wurde.
Microsoft bestätigt einen globalen Ausfall von Microsoft Teams, der das Senden und Empfangen von Nachrichten in allen Regionen und bei allen Kunden beeinträchtigt hat. Der Vorfall beginnt um 14:30 Uhr Ostküstenzeit und wird eine Stunde später vollständig behoben. Es werden keine Indikatoren für böswillige Aktivitäten mitgeteilt.
Eine Malware-Kampagne nutzt Microsoft Office-Dokumente, SVG-Dateien und komprimierte Archive aus, um Windows-Systeme zu kompromittieren. Die Angreifer nutzen CVE-2017-11882 aus, verwenden PNG-Steganographie und Process Hollowing über RegAsm.exe, um RATs und Stealer bereitzustellen, darunter AsyncRAT, Remcos und PureLog Stealer.
In den Vereinigten Staaten werden ATM-Jackpotting-Angriffe einer kriminellen Gruppe zugeschrieben, die die Ploutus-Malware über physischen Zugriff auf Geldautomaten einsetzt. Die Kompromittierung beruht auf der Modifikation oder dem Austausch der Festplatten der Geldautomaten, was die Kontrolle über das Geldausgabemodul ermöglicht. Die Verluste werden seit 2020 auf über 40 Millionen Dollar geschätzt.
Quellen:
Amazon: https://www.clubic.com/actualite-592366-amazon-infiltre-par-un-espion-nord-coreen-finalement-repere-a-cause-de-sa-frappe-clavier.html
Russischer APT: https://strikeready.com/blog/russian-apt-actor-phishes-the-baltics-and-the-balkans/
Microsoft Teams: https://www.bleepingcomputer.com/news/microsoft/microsoft-confirms-teams-is-down-and-messages-are-delayed/
SVG / Office: https://cybersecuritynews.com/hackers-weaponize-svg-files-and-office-documents/
ATM Ploutus: https://www.theregister.com/2025/12/19/tren_de_aragua_atm/
Nicht zu viel nachdenken. Patchen.
Ihr Feedback ist willkommen.
E-Mail: radiocsirt@gmail.com
Website: https://www.radiocsirt.com/de
Wöchentlicher Newsletter: https://radiocsirtgermanedition.substack.com/
Amazon gibt bekannt, eine mit Nordkorea verbundene Infiltration bei einer IT-Rekrutierung identifiziert zu haben. Ein als in den USA ansässig deklarierter Systemadministrator wurde durch eine Tastenanschlag-Latenz von über 110 Millisekunden zu den Servern in Seattle erkannt, was auf interkontinentale Fernsteuerung hinweist. Die Kontrollinfrastruktur wurde bis nach China zurückverfolgt. Amazon gibt an, seit April 2024 mehr als 1.800 betrügerische Rekrutierungsversuche im Zusammenhang mit Nordkorea blockiert zu haben, mit einem vierteljährlichen Anstieg von 27 %.
Ein russischer APT-Akteur führt eine Phishing-Kampagne durch, die auf Regierungsbehörden auf dem Balkan und im Baltikum abzielt. Die Angriffe beruhen auf HTML-Anhängen, die als PDFs getarnt sind und institutionelle Köder sowie gefälschte Authentifizierungsformulare enthalten. Die Zugangsdaten werden über formcarry.com exfiltriert, mit Wiederverwendung von JavaScript-Code und Regex, die seit mindestens 2023 beobachtet wurde.
Microsoft bestätigt einen globalen Ausfall von Microsoft Teams, der das Senden und Empfangen von Nachrichten in allen Regionen und bei allen Kunden beeinträchtigt hat. Der Vorfall beginnt um 14:30 Uhr Ostküstenzeit und wird eine Stunde später vollständig behoben. Es werden keine Indikatoren für böswillige Aktivitäten mitgeteilt.
Eine Malware-Kampagne nutzt Microsoft Office-Dokumente, SVG-Dateien und komprimierte Archive aus, um Windows-Systeme zu kompromittieren. Die Angreifer nutzen CVE-2017-11882 aus, verwenden PNG-Steganographie und Process Hollowing über RegAsm.exe, um RATs und Stealer bereitzustellen, darunter AsyncRAT, Remcos und PureLog Stealer.
In den Vereinigten Staaten werden ATM-Jackpotting-Angriffe einer kriminellen Gruppe zugeschrieben, die die Ploutus-Malware über physischen Zugriff auf Geldautomaten einsetzt. Die Kompromittierung beruht auf der Modifikation oder dem Austausch der Festplatten der Geldautomaten, was die Kontrolle über das Geldausgabemodul ermöglicht. Die Verluste werden seit 2020 auf über 40 Millionen Dollar geschätzt.
Quellen:
Amazon: https://www.clubic.com/actualite-592366-amazon-infiltre-par-un-espion-nord-coreen-finalement-repere-a-cause-de-sa-frappe-clavier.html
Russischer APT: https://strikeready.com/blog/russian-apt-actor-phishes-the-baltics-and-the-balkans/
Microsoft Teams: https://www.bleepingcomputer.com/news/microsoft/microsoft-confirms-teams-is-down-and-messages-are-delayed/
SVG / Office: https://cybersecuritynews.com/hackers-weaponize-svg-files-and-office-documents/
ATM Ploutus: https://www.theregister.com/2025/12/19/tren_de_aragua_atm/
Nicht zu viel nachdenken. Patchen.
Ihr Feedback ist willkommen.
E-Mail: radiocsirt@gmail.com
Website: https://www.radiocsirt.com/de
Wöchentlicher Newsletter: https://radiocsirtgermanedition.substack.com/
2 Minuten
Willkommen bei RadioCSIRT: Ihr tägliches Update zur Cybersicherheit
Nach dem Erfolg der französischen Edition mit über 500 Episoden in weniger als zwei Jahren startet RadioCSIRT nun auch auf Deutsch. In dieser Episode Null stellt Marc Frédéric Gomez das Konzept des Podcasts vor: eine tägliche, fachkundige und völlig unabhängige Zusammenfassung der wichtigsten Cyber-News. Entwickelt für Experten (CERT, SOC, CISO) und Sicherheits-Enthusiasten, ist es unser Ziel, Bedrohungen in Echtzeit zu analysieren, um digitale Assets besser zu schützen. „Alleine geht man schneller, gemeinsam kommt man weiter.“ Willkommen in der Community!
Nach dem Erfolg der französischen Edition mit über 500 Episoden in weniger als zwei Jahren startet RadioCSIRT nun auch auf Deutsch. In dieser Episode Null stellt Marc Frédéric Gomez das Konzept des Podcasts vor: eine tägliche, fachkundige und völlig unabhängige Zusammenfassung der wichtigsten Cyber-News. Entwickelt für Experten (CERT, SOC, CISO) und Sicherheits-Enthusiasten, ist es unser Ziel, Bedrohungen in Echtzeit zu analysieren, um digitale Assets besser zu schützen. „Alleine geht man schneller, gemeinsam kommt man weiter.“ Willkommen in der Community!
