Mobile-Menu

China-nahe APT nutzt Windows-Zero-Day für gezielte Spionageangriffe Zero-Day in Windows bedroht Europas Diplomaten

Von Paula Breukel 2 min Lesedauer

Anbieter zum Thema

Microsoft Deutschland GmbH
PresseBox - unn | UNITED NEWS NETWORK GmbH
FTAPI Software GmbH
Insider Research

Eine mit China in Verbindung gebrachte APT-Gruppe nutzt seit Wochen eine ungepatchte Windows-Schwachstelle, um gezielt EU-Diplomaten aus­zu­spä­hen. Obwohl Microsoft die Lücke als unkritisch einstuft, zeigen aktuelle An­grif­fe, wie real die Gefahr für Behörden und Ministerien ist.

Gaia als Sinnbild digitaler Souveränität. Hier als Mahnzeichen für Schwachstellen, die im Verborgenen wurzeln und gezielt von chinesischen APT-Gruppen unterwandert werden.(Bild: Midjourney / Paula Breukel / KI-generiert)
Gaia als Sinnbild digitaler Souveränität. Hier als Mahnzeichen für Schwachstellen, die im Verborgenen wurzeln und gezielt von chinesischen APT-Gruppen unterwandert werden.
(Bild: Midjourney / Paula Breukel / KI-generiert)

Die Angriffe über Sicherheitslücken in Windows laufen bereits seit September. Das Ziel der Ak­teure sind diplomatische Einrichtungen in mehreren EU-Staaten wie Ungarn, Belgien, Italien und den Niederlanden. Hinter der Kampagne steht die mit China in Verbindung gebrachte Gruppe „UNC6384“. Die Akteure nutzen eine Schwachstelle bei der Darstellung von LNK-Da­teien unter Windows aus. Nutzer sehen im Explorer keine Hinweise auf schädliche Inhalte, doch öffnen sie die Datei, wird ein versteckter „PowerShell“-Befehl ausgeführt.

Keine Reaktion von Microsoft

Die Schwachstelle CVE-2025-9491 wurde bereits im März 2025 öffentlich dokumentiert. Microsoft bewertet sie nicht als kritisch. Ein Patch ist bisher nicht verfügbar. Stattdessen verweist der Konzern auf den „Microsoft Defender“ und Sicherheitswarnungen bei Dateien aus dem Internet. Die „Zero Day Initiative“ (ZDI) von Trend Micro kommt zu einem an­deren Schluss: Die Sicherheitslücke hat laut ZDI ein hohes Risiko. Besonders, da sie bereits aktiv in staatlich gesteuerten Kampagnen ausgenutzt wird.

Mehrstufige Infektionskette über LNK-Dateien

Die Angriffe beginnen mit Phishing-Mails, die vermeintlich zu Terminen der NATO oder EU führen. Der enthaltene Link liefert eine LNK-Datei aus, die sich auf den ersten Blick nicht von legitimen Verknüpfungen unterscheidet. Nach dem Öffnen wird der Remote-Access-Trojaner „PlugX“ nachgeladen, und zwar durch Side-Loading einer manipulierten Dynamic Link Library (DLL) in legitime Canon-Druckersoftware.

PlugX getarnt als Canon-Tool

Die Malware landet im Speicher über ein legitimes Canon-Hilfsprogramm. Der Loader, intern „CanonStager“ genannt, schrumpfte zuletzt auf nur noch vier Kilobyte. Forensisch sei das kaum noch nachvollziehbar. Arctic Wolf Labs beobachtet die Kampagne seit Wochen und warnt vor der zunehmenden Raffinesse.

Was Admins jetzt tun können

Ohne Patch bleibt nur der Selbstschutz. LNK-Dateien aus unbekannten Quellen sollten grund­sätzlich blockiert werden. Arctic Wolf empfiehlt, die automatische Vorschau im Windows Explorer zu deaktivieren. Zudem sollten Admins gezielt nach verdächtigen Dateien wie „cnmpaui.exe“ außerhalb ihrer typischen Verzeichnisse suchen. Auch bekannte C2-Domains der Angreifer lassen sich über aktuelle IOC-Listen überprüfen.

(ID:50616168)

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Weiterführende Inhalte