Initial Access Brokering Große Angriffskampagne auf ColdFusion-Server

Anbieter zum Thema

PresseBox - unn | UNITED NEWS NETWORK GmbH

sysob IT-Distribution GmbH & Co. KG

FTAPI Software GmbH

Greynoise beobachtete während der Weihnachtsfeiertage 2025 Tausende Angriffe auf Adobe ColdFusion. Die Akteure nutzten den Zeitpunkt gezielt aus, um sich möglichst unbemerkt langfristigen Zugriff zu verschaffen und die erlangten Zugriffe dann zu verkaufen.

Über 2,5 Millionen Anfragen, generiert von zwei primären IP-Adressen, die auf 767 ver­schie­de­ne Schwachstelle in über 47 Technologie-Stacks abzielten. Das ist das Ergebnis einer Unter­such­ung von Greynoise. Ursprünglich habe das Forschungsteam des Threat-Intelligence-Anbieters die Aktivitäten eines in Japan ansässigen Akteurs auf zehn ausgenutzte CVEs zu­rück­ver­folgt, mit denen er über die Weihnachtsfeiertage Adobe ColdFusion-Server angegriffen habe. Wie sich dann herausgestellt habe, sei die Angriffskampagne auf Adobes Entwick­lungs­platt­form nur ein kleiner Teil einer wesentlich größeren Operation.

Urban VPN Proxy sendet Prompts an Analytics-Server

Browser-Erweiterungen zapfen heimlich KI-Chats ab

Groß angelegte Initial-Access-Broker-Kampagne

Mit den beiden primären IP-Adressen 134.122.136.119 und 134.122.136.96 generierten die Akteure über 2,5 Millionen Anfragen, wobei der Höhepunkt sich am 25. Dezember 2025 ereignet habe. An diesem Tag habe es 5.940 Anfragen an ColdFusion-Server gegeben. Die Akteure hätten die Weihnachtsfeiertage gezielt für ihre Angriffe ausgewählt, da sie zu dieser Zeit weniger Maß­nahmen zur Sicherheitsüberwachung vermuteten. Den Sicherheitsforschern zufolge handelte es sich bei ihrer Beobachtung nicht um einen einzelnen Angriff, sondern um eine groß an­ge­leg­te, gut koordinierte Initial-Access-Broker-Kampagne. Beim Initial Access Brokering handelt es sich um eine Form der Cyberkriminalität, bei der spezialisierte Akteure, die als Initial Access Broker bezeichnet werden, unbefugten Zugriff auf Unternehmensnetzwerke erlangen und diesen Zugriff dann an andere Bedrohungsakteure weiterverkaufen, wie beispielsweise an Ransomware-Betreiber.

Die speziellen ColdFusion-Sicherheitslücken, die der Akteur, der laut Greynoise allein für circa 98 Prozent des Angriffsverkehrs verantwortlich war, ausnutzte, stammten aus den Jahren 2023 und 2024. Dabei hätte er für die Angriffe das Open Source Tool ProjectDiscovery Inter­active für die Out-of-Band-Verifizierung genutzt. Dies bedeutet, dass die Akteure dieses legitime Tool, das zur Erkennung von Out-of-Band-Sicherheitsanfälligkeiten genutzt wird, missbraucht haben, um sicherzustellen dass ihre eigenen Attacken erfolgreich waren. JNDI/LDAP-Injection (Java Naming and Directory Interface/Lightweight Directory Access Protocol) sei jedoch der Hauptangriffsvektor gewesen. Dies bezeichnet Sicherheitsanfälligkeiten, bei denen Angreifer schädliche Strings in Eingaben injizieren, um eine Anwendung dazu zu bringen, Code von einem bösartigen Server abzurufen und auszuführen. Auch WDDX-Deserialisierung (Web Distributed Data Exchange) sei ein Angriffsweg gewesen. Dabei hätten die Angreifer Daten, die im WDDX-Format serialisiert wurden, wieder in ein nutzbares Objekt umgewandelt, um unerwünschten Code auszuführen.

Das Ermöglichen von Remote Code Execution (RCE) über diese Angriffswege habe den Hin­tergrund gehabt, Daten zu manipulieren und zu stehlen, sich dauerhaften Zugriff auf die Systeme zu verschaffen und umfangreiche weitere Aktivitäten auszuführen. In seinem aus­führlichen Blogbeitrag stellt Greynoise allerlei Informationen zu den ausgenutzten Sicher­heitslücken, den ausgeführten Session sowie Indicators of Compromise zur Verfügung.

European Threat Landscape Report

Cyberfront Europa: Deutschland im Visier

(ID:50668919)