Zwischenbilanz der Brisanz Cyberbedrohungen eskalieren in den ersten 6 Monaten von 2025

Die letzten paar Wochen waren in Sachen Cyber-Vorfälle nahezu bizarr. Den Opfern ist schon jetzt nicht zu lachen zumute. Die Dynamik, der Umfang und Tiefe der Vorstöße lassen weitere Nachbeben mit noch brisanteren Kon­se­quenz­en erwarten. Zeit für eine Zwischenbilanz.

Die hochkritische Zero-Day-Lücke in Microsoft SharePoint (a.k.a. ToolShell) – bestehend aus den beiden verknüpften Schwachstellen CVE 2025 53770 (Code Injection) und CVE 2025 53771 (Authentication Bypass), wurde großflächig ausgenutzt - nicht zuletzt auch gegen die nationale Behörde für nukleare Sicherheit der Vereinigten Staaten, die National Nuclear Security Administration (NNSA).

Security Insider berichtete über den Vorfall und die erforderlichen Maßnahmen hier: „Kritische SharePoint-Schwachstelle bedroht globale Unternehmen“ und wir sprachen auch mit den Security-Forschern, die die Schwachstelle entdeckten. Die Warnzeichen waren alle da.

Update: Patches und erste Untersuchungserbenisse

0-Day in SharePoint wird weltweit für Angriffe genutzt

Backdoors-as-a-Service

Microsoft betreibt seit etwa einem Jahrzehnt die DoD Government Cloud für das US-Verteidigungsministerium (DoD) und bietet dafür technischen Support. Um Pentagons Sicherheitsrichtlinien zu „flexibilisieren“, hat man in Redmond ein Zugangsmodell für externe Ingenieure mit sogenannten „digital escorts“ konzipiert: Laut einem investigativen Bericht von ProPublica agierten Mitarbeitende mit Sicherheitsfreigabe, jedoch ohne technische Expertise, als Mittelsmänner zwischen chinesischen Ingenieuren und Pentagon-Systemen, um Zugriffsbeschränkungen zu umgehen.

Die Escorts lagerten technische Aufgaben auf Entwickler in China aus und spielten den resultierenden Code auf die Cloud ein, typischerweise ungeprüft. Die Masche lief im Auftrag von Microsoft über Subunternehmer wie Insight Global und ASM Research.

Das Escort-System verstößt gegen eine Reihe von Richtlinien, nicht zuletzt auch gegen die DoD-SRG-IL5/IL6-Anforderungen. Das Zugriffsmodell bewegt sich nicht in der Grauzone — es widerspricht klar den verbindlichen DoD-Sicherheitsrichtlinien (SRG IL5/IL6). Laut internen Unterlagen wurde es an FedRAMP und DISA gemeldet. Gemäß den Sicherheitsvorgaben hätte es in dieser Form niemals autorisiert werden dürfen.

Stattdessen wurde das fragwürdige Zugriffsmodell im Umfeld besonders sensibler Informationen eingesetzt – Daten, die zwar formal unterhalb der Geheimhaltungsstufe „classified“ liegen, aber dennoch unter die Einstufung „High Impact Level“ gemäß den DoD-Sicherheitsanforderungen IL5 und IL6 fallen.

Dabei handelt es sich um sogenannte Controlled Unclassified Information (CUI), also sensible, nicht-geheime Regierungsdaten, deren Kompromittierung laut offiziellen NIST-Richtlinien zu schwerwiegenden oder gar katastrophalen Folgen für Personen, kritische Infrastrukturen oder militärische Operationen führen kann. In diese Kategorie fallen etwa Einsatzpläne, Auftragsvergabeunterlagen, IT-Systemarchitekturen und sicherheitsrelevante personenbezogene Daten.

John Sherman, damaliger Chief Information Officer im US-Verteidigungsministerium, kommentierte kürzlich ganz trocken: „Das hätte ich vermutlich wissen sollen“.

Das FedRAMP-Programm wurde 2011 ins Leben gerufen, um verbindliche Sicherheitsstandards für Cloud-Dienste bei US-Behörden zu etablieren – basierend auf dem NIST SP 800-53. Alle autorisierten Cloud-Dienste der U.S.-Regierung sind im FedRAMP Marketplace gelistet. Einmal autorisiert, dürfen sie von allen U.S.-Bundesbehörden genutzt werden (zwar je nach Sensibilität der Daten, aber immerhin). Der Effizienz halber, versteht sich.

Eine ernsthafte Vorwarnung gab es zuletzt im Jahr 2023, als Hacker mit Stützpunkten in China in cloudbasierte Postfächer hochrangiger US-Regierungsbeamter eingedrungen waren. Sie stahlen Daten und E-Mails – darunter auch welche von der Handelsministerin, dem US-Botschafter in China und weiteren Mitarbeitern mit sicherheitsrelevanten Aufgaben. Die Signalwirkung des Vorfalls hat offenbar nicht gereicht, um die gestümperte „Cloudifizierung“ zu überdenken.

Auf dem Weg zu einem der wertvollsten Unternehmen der Welt habe Microsoft wiederholt Unternehmensgewinne über die Sicherheit seiner Kunden gestellt – so der Vorwurf von ProPublica. Der Tech-Gigant habe wiederholte Warnungen eigener Ingenieure beharrlich ignoriert.

Eine dieser Fachkräfte hatte auf eine Produktschwachstelle hingewiesen, die die US-Regierung angreifbar gemacht haben soll. Doch der Hinweis verhallte ungehört.

Security-Insider Podcast – Folge 102

Zero-Day-Lücke in SharePoint schockt Admins

Wenig später schlugen staatlich gesteuerte russische Hacker zu: Der berüchtigte SolarWinds-Hack von 2020 gilt bis heute als eine der schwerwiegendsten Supply-Chain-Attacken der Cybersicherheitsgeschichte. Über manipulierte Updates der Orion-Software verschafften sich die Angreifer über Monate hinweg Zugriff auf Netzwerke von US-Behörden, Fortune-500-Konzernen und Microsoft selbst.

Ironie des Schicksals: Ausgerechnet der Cloud-Riese, der seinen Kunden in Sicherheitsfragen gern eine Gardinenpredigt hält, wurde zum Ziel einer Attacke, weil man berechtigte Warnungen ignoriert hat. Das Vertrauen in signierte Software und die Integrität digitaler Lieferketten erlitt damit einen historischen Tiefpunkt – ein Weckruf, der in Redmond offenbar wieder ungehört verhallt.

Microsoft verteidigte die Entscheidung, die Schwachstelle nicht beseitigt zu haben, mit dem Hinweis auf „eine Vielzahl von Faktoren“. (War einer davon Geiz?)

„Es ist immer eine Gratwanderung zwischen Kosten, Aufwand und Expertise“, kommentierte Indy Crowley, Senior Program Manager für Cloud-Compliance, im Interview mit ProPublica vom 15. Juli 2025. Man suche eben nach dem, „was gerade noch so ausreicht.“ Die Entscheidung, virtuelle Begleiter zur Überwachung der Microsoft-Belegschaft in Fernost einzusetzen, sei laut Crowley „der Weg des geringsten Widerstands“ gewesen. Der Aktienkurs steigt, also war’s offensichtlich kein Fehler. Die lästigen Supply-Chain-Risiken im globalen Kräftemessen darf man ja eh nicht so verbissen sehen. Man muss halt bloß überzeugend pokern, oder?

Ab dem 18. Juli - drei Tage nach den Enthüllungen des investigativen Teams von ProPublica - warf Microsoft diesmal das Handtuch. Ab sofort dürfen Ingenieurteams aus dem Reich der Mitte keinen technischen Support für Cloud-Dienste des Pentagons mehr leisten. (Und was ist mit den Hintertüren, die sie hinterlassen haben dürften?)

Über den Einsatz von Fachkräften aus feindlich gestimmten Staaten für die Entwicklung und den Betrieb von Microsoft Azure-Diensten für Unternehmen hüllt sich Redmond in vornehmes Schweigen. Beim Thema Windows und Windows Server herrscht ebenso diesbezüglich Funkstille.

Betroffene Organisationen sollten dringend die am 21. Juli veröffentlichten Sicherheitsupdates installieren – also drei Tage nach der offiziellen Offenlegung der Zero-Day-Schwachstellen. Voraussetzung dafür ist jedoch ein Upgrade auf unterstützte SharePoint-Versionen wie etwa die SharePoint Subscription Edition oder SharePoint 2019. Ältere Releases, insbesondere SharePoint 2016 und früher, erhalten laut Microsoft keinen Patch und bleiben somit verwundbar.

Zusätzlich zu den Upgrades und Patches seien die Rotation von Machine Keys via PowerShell oder Central Admin und die Aktivierung von AMSI (Antimalware Scan Interface) zwingend erforderlich. Da all dies anscheinend aber nicht ausreicht, empfiehlt Redmond auch noch den Einsatz einer korrekt konfigurierten Lösung zur Bedrohungserkennung und -abwehr am Endpoint sowie eine fortlaufende Log-Analyse & IOC-Suche (kurz für „Indicators of Compromise“), also im Endeffekt: Hilf dir doch selbst, Kunde!

Microsofts Produkte standen dementsprechend im Zentrum einiger der brisantesten Cyber-Vorfälle der jüngsten Zeit.

Digitale (Un-)Souveränität

Die bittersüße Abhängigkeit von Microsofts Cloud

Authenticode Stuffing

In der Welt der Windows-Sicherheit galt lange: Wurde eine Datei digital signiert, kann man ihr grundsätzlich vertrauen. Doch genau dieses Vertrauen verliert neulich seine Berechtigung – durch eine Technik namens Authenticode Stuffing.

Was harmlos klingt, ist in Wahrheit ein massiver Angriff auf das Vertrauen in signierte Softwarepakete, mit potenziellen Auswirkungen auf Managed Service Provider, Behörden, kritische Infrastrukturen und die Unternehmens-IT und -OT im Allgemeinen.

Bei Authenticode Stuffing nutzen Angreifer eine Schwachstelle im Signaturprozess, ohne die Signatur ungültig zu machen: Sie hängen Payloads mit schädlichem Code hinter die Signatur dran, ohne diese selbst zu beschädigen. Windows erkennt den Zusatz nicht als Manipulation, da die eigentliche, signierte Struktur intakt bleibt. Ergebnis: Die Datei wirkt vertrauenswürdig, ist es aber nicht.

Diese Technik unterläuft klassische Vertrauensmodelle, inklusive vieler EDR-Systeme (Endpoint Detection und Response), Application Whitelisting und Zero-Trust-Verifizierungen.

Besonders brisant wurde die Technik durch Angriffe auf legitime IT-Tools ausgenutzt. Betroffen waren unter anderem SonicWall-VPN-Installationspakete und Updates von GlobalScape EFT, die als Türöffner für den erstmaligen Zugang der Täter zu Opfer-Systemen dienten.

Termine

Das war der Microsoft Patchday 2025

In mehreren Fällen wurde die Technik in Kombination mit Cobalt Strike Beacons oder Command-und-Control-Shellcode eingesetzt, um post-exploitativen Zugriff auf Systeme zu erlangen. Die Angreifer nutzten teils öffentlich verfügbare Tools wie osslsigncode oder modifizierte PE-Patcher, um den Authenticode-Wrapper zu manipulieren - ohne Warnungen in Windows auszulösen.

Wie ist das möglich? Authenticode Stuffing ist kein einfacher Dateianhang. Der Schadcode wird so eingebettet, dass er innerhalb der Struktur des PE-Headers oder als „Overlay“ im Dateianhang versteckt bleibt – nach der Signatur, aber vor der Ausführung, sodass keine Windows-Warnung ausgelöst wird. Viele Sicherheitslösungen prüfen nur die Signatur oder den Hash der signierten Sektion – nicht aber den Anhang danach.

In Kombination mit LOLBins (Living-off-the-Land Binaries) wie mshta.exe, regsvr32.exe oder sogar PowerShell lässt sich damit vollständig unauffälliger Code ausführen, obwohl die Datei offiziell „vertrauenswürdig“ zu sein scheint.

Signierte Software wird seltener geprüft und seltener geblockt. Unternehmen setzen auf automatisierte Updates, EDR-Ausnahmen (Endpoint Detection and Response) für Werkzeuge wie RMMs (Remote Monitoring und Management) oder VPN-Clients – genau diese Tools wurden angegriffen. Wird ein Paket upstream manipuliert, verteilt ein Unternehmen potenziell selbst die Malware an tausende Endpunkte. In Logs wirkt alles wie eine legitime Wald-und-Wiesen-Installation – die schädliche Aktivität beginnt oft verzögert und ist gut getarnt.

Bereits im Mai 2024 war ein manipuliertes Installationspaket von ConnectWise RMM aufgeflogen, das über Authenticode Stuffing mit Malware erweitert worden war – unter Beibehaltung der offiziellen Signatur. ConnectWise RMM vermarktet sich als eine professionelle Remote Monitoring und Management-Plattform für IT-Dienstleister und Managed Service Providers.

Als das Problem aufgetaucht war, hätte Microsoft Gegenmaßnahmen ergreifen können. Bei der Paketverteilung über MSIX, Windows Package Manager (WinGet) oder Intune könnte eine verpflichtende Kombination aus Signatur und geprüften Hash-Werten die Stuffing‑Manipulation unterbinden. Man hätte verpflichtende Richtlinien für Code-Signing-Hygiene einführen können.

Stattdessen versucht man offenbar, das Problem auszusitzen.

Über ein Jahr nach dem Bekanntwerden der Verwundbarkeit prüft Windows bei signierten PE-Dateien immer noch nur die Signatur-relevanten Abschnitte statt der gesamten Datei. Und dann wundert man sich, warum Sicherheitspannen nicht aufhören.

Authenticode Stuffing ist kein trivialer Exploit, es ist ein Paradigmenbruch: Angreifer schlagen genau dort zu, wo sich Unternehmen in falscher Sicherheit wiegen.

Angesichts der Bedrohungslage durch Supply-Chain-Angriffe wie SolarWinds (2020), 3CX (2023) und ConnectWise (2024) ist eine Neuausrichtung des Trust-Modells überfällig.

Es wäre naiv zu glauben, dass die digitalen Raubzüge raffinierter Hacker bloß auf Microsofts Versäumnisse abzielen. Die Unverfrorenheit der Täter kennt keine Grenzen.

1. Halbjahr 2025

Die Top Malware in Deutschland

Chaos RAT: Malware-Vertrieb via GitHub

Im Juli 2025 wurden in der Arch‑Linux-Gemeinde drei bösartige AUR‑Pakete entfernt, über die Chaos RAT als Teil eines Installationsskripts verteilt wurde. Die Pakete sahen aus wie harmlose Browser-Patches („librewolf-fix-bin“, „zen-browser-patched-bin“), installierten jedoch heimlich den RAT (kurz für Remote Access Trojan, auch Remote Administration Tool) – eine Art von Malware, die Angreifern verdeckten Zugriff auf kompromittierte Systeme ermöglicht, sei es für Reconnaissance, Datenklau, APT‑Bridging oder Initial Access zum Auslösen groß angelegter Attacken, aber auch Mining.

Chaos RAT operiert unter Windows und Linux (teilweise auch FreeBSD), wodurch es Server, Workstations und cloudbasierte Systeme gleichermaßen trifft. Besonders gefährlich ist es für Firmen mit gemischten Linux-/Windows-Systemlandschaften, DevOps- und Cloud-zentrierten Arbeitsprozessen. Wer nur auf signaturbasierte Erkennung setzt, bleibt bei Chaos RAT auf der Strecke.

Weil Chaos RAT als ein legitimes Open-Source-Projekt getarnt ist, wird es in der rechtlichen Grauzone als ein edukatives Werkzeug ganz offiziell auf Microsoft GitHub und woanders vertrieben — eine bizarre Realität der modernen Cyberwelt.

Viele Malware-Familien von Quasar RAT, über XMRig, Sliver C2 bis hin zu Chaos RAT eben begannen ihre Existenz als Open-Source-Projekte – oft auf GitHub. Die Kombination aus offen quellcodegestützter Malware, raffinierter Distribution und systemübergreifender Kontrollfunktion macht sie zu einer sichtbaren Realität in der Bedrohungslandschaft - und doch müssen es die betroffenen Unternehmen bisher hinnehmen.

Im Juni 2025 meldete Acronis Threat Research Unit (TRU) im Rahmen ihrer Chaos-RAT-Analyse zwei kritische Schwachstellen in der Administrationsoberfläche der Malware. CVE‑2024‑30850 ermöglicht Remote-Code-Execution (RCE) über manipulierte POST-Anfragen auf der Web-GUI des Chaos RAT-Panels. CVE‑2024‑31839 erlaubt Drittparteien, eine Reverse Shell auf dem Server des Betreibers der RAT-Malware zu erzwingen. Wenn das nicht dreist ist.

Mit diesen zwei Sicherheitslücken können konkurrierende Hacker-Gruppen die Kontrollserver von Chaos-RAT-Malware übernehmen – samt Zugriff auf kompromittierte Zielsysteme. So laufen unerfahrene Betreiber von Malware-Instanzen (etwa Script Kiddies) in Gefahr, ihre Botnet- oder Implantat-Flotten an technisch versierte Dritte zu verlieren — darunter auch an Sicherheitsforscher oder Strafverfolgungsbehörden. Wer anderen eine Grube gräbt…

Stadt Nürnberg findet Hackerangriff „ärgerlich“

DDoS-Attacken legen vier städtische Webseiten lahm

Botnetz-Angriffe: NoName057(16)

Auch im Juli 2025 rückte die prorussische Hacktivistengruppe NoName057(16) erneut in den Fokus von CERTs und Sicherheitsbehörden. Im Zuge einer koordinierten DDoS-Kampagne richteten sich Angriffe gezielt gegen staatliche Online-Dienste in Deutschland, darunter Webportale von Städten, Kommunalverwaltungen, Landesministerien und öffentliche Verkehrs- und Versorgungsbetriebe.

Die Gruppe agiert mit hoher Taktung und wechselt Targets teils im Stundentakt – ein Indiz für zunehmende Automatisierung und taktische Agilität. Doch anders als bei breit gestreuten Ransomware-Kampagnen setzt NoName057(16) auf niedrigschwellige, aber öffentlichkeitswirksame Störungen. Die politisch motivierte Gruppe hatte via Social Media, Gaming-Forums und Messaging-Apps wie Telegram über vier tausend Freiwillige rekrutiert.

Deutschland zählte im Juli zu den Hauptzielen. Laut Ermittlerkreisen waren insbesondere digitale Angebote aus Bayern, Sachsen-Anhalt und Nordrhein-Westfalen betroffen – darunter Serviceportale, Bürgerplattformen und E-Mail-Gateways. In mehreren Fällen kam es zu funktionalen Ausfällen im operativen Betrieb, etwa bei E-Mail-Kommunikation oder Terminbuchungssystemen. Sicherheitsbehörden sprechen von einer hohen Anzahl paralleler Angriffe, ohne dass flächendeckender Schaden entstand (siehe dazu auch den Beitrag von Peter Schmitz zu Link11 European Cyber Report 2025: „Warum klassische DDoS-Abwehr immer öfter versagt“).

Die politische Stoßrichtung ist klar: Ins Visier genommen werden vorrangig EU-Staaten mit ausgeprägter Ukraine-Unterstützung. Ein wesentliches Ziel scheint die Erosion digitaler Vertrauensstrukturen im öffentlichen Raum zu sein.

Am 16. Juli 2025 gelang es den europäischen Ermittlungsbehörden im Rahmen der internationalen Operation Endurance Eastwood ein wirksamer Schlag: Mehrere Command-&-Control-Server wurden abgeschaltet. Deutschland und Spanien haben sieben internationale Haftbefehle erlassen. In mehreren EU-Staaten wurde Serverinfrastruktur abgeschaltet, darunter auch in Deutschland.

Der Vorfall demonstriert eindrucksvoll die wirkungspolitische Sprengkraft verteilter Störungen, insbesondere dann, wenn sie auf mediale Breitenwirkung abzielen.

Fazit

Moderne Cyberbedrohungen haben sich professionalisiert. Zur Halbzeit 2025 liegt die Verteidigung einmal wieder deutlich im Rückstand. Microsoft kassierte mit SharePoint und Authenticode Stuffing gleich mehrere Eigentore. Wer dem großen Finale zuversichtlich entgegenblicken will, muss sich jetzt richtig ins Zeug legen – sonst landet man schneller auf der Ersatzbank, als man „SharePoint!“ sagen kann.

Die zweite Halbzeit wird ganz sicher kein Freundschaftsspiel.

Über die Autoren: Das Autorenduo Anna Kobylinska und Filipe Pereira Martins arbeitet für McKinley Denali, Inc., USA.

(ID:50519666)