Cyberangriffe: Russland, Nordkorea, China nutzen Zero-Click-Exploits

Staatliche Hacker aus Russland, Nordkorea, China und Iran haben ihre Angriffswellen massiv ausgeweitet – mit neuen Techniken, die klassische Abwehrsysteme vor große Herausforderungen stellen.

Internationale Sicherheitsbehörden und private Forscher schlagen Alarm: Die Bedrohungslage im Cyberspace hat sich in den vergangenen Monaten dramatisch verschärft. Im Fokus der Angreifer stehen kritische Infrastrukturen, Regierungskommunikation und Messaging-Dienste. Besonders besorgniserregend: Die Täter setzen zunehmend auf Künstliche Intelligenz, Blockchain-Technologie und sogenannte Zero-Click-Exploits, die ohne jede Interaktion des Nutzers auskommen.

Russische Gruppen im Visier von Signal und Microsoft

US-Behörden wie das FBI und die Cybersecurity-Infrastructure Security Agency (CISA) warnen vor russischen Angriffen auf Nutzer der verschlüsselten Messenger Signal und WhatsApp. Die Hacker nutzen demnach Phishing-Methoden, um Sicherheitscodes abzufangen – tausende Konten von Journalisten, Militärangehörigen und Regierungsbeamten sollen bereits kompromittiert worden sein. Signal betont zwar, dass die Kernverschlüsselung sicher bleibt, doch der Diebstahl der Codes erlaubt unbefugten Zugriff auf die Kontodaten.

Parallel dazu nutzt die russische Gruppe TA488, auch bekannt als „Laundry Bear", aktiv eine Schwachstelle höchster Schwere in Microsoft Exchange Server aus. Die als CVE-2026-42897 registrierte Sicherheitslücke ermöglicht einen „Half-Click"-Angriff: Schon das Öffnen einer bösartigen E-Mail im Outlook Web Access genügt, um eine persistente Browser-Implantation namens OWAReaper zu installieren. Microsoft hat zwar im Juli einen Patch veröffentlicht, doch ungepatchte Systeme bleiben verwundbar.

In einer separaten Kampagne deckten das britische National Cyber Security Centre (NCSC) und Partner einen „Zero-Click"-Angriff derselben Gruppe auf die Zimbra Collaboration Suite auf. Die Angriffe, die keinerlei Nutzerinteraktion erfordern, wurden offenbar zunächst in der Ukraine getestet, bevor sie gegen NATO-Mitgliedstaaten eingesetzt wurden. Forscher vermuten, dass KI bei der Entwicklung des Schadcodes eine Rolle gespielt haben könnte.

Nordkorea setzt auf Ethereum und QR-Codes

Die nordkoreanische Hackergruppe UNC5342 hat mit „EtherHiding" eine neue Methode entwickelt, um ihre Kommando- und Kontrollinfrastruktur zu verschleiern. Indem sie Konfigurationsdaten in Ethereum-Smart-Contracts speichert, macht die Gruppe es Verteidigern nahezu unmöglich, den Datenverkehr zu blockieren. Die Kampagne nutzt Social-Engineering-Tricks, die sich als macOS-Systemupdates oder Absturzberichte tarnen, um einen Remote-Access-Trojaner auf Basis von Node.js zu installieren. Der Schadcode zielt auf 157 verschiedene Kryptowährungs-Wallets sowie Cloud-Zugangsdaten für AWS und Azure ab.

Angesichts immer raffinierterer Methoden wie Phishing über QR-Codes oder manipulierte Messenger-Dienste wird der Schutz der eigenen Infrastruktur zur Überlebensfrage. Dieser kostenlose Leitfaden zeigt Unternehmen in vier Schritten, wie sie sich effektiv gegen gezielte Hacker-Angriffe absichern können. Anti-Phishing-Paket für Unternehmen jetzt gratis herunterladen

Eine weitere nordkoreanische Gruppe, Kimsuky (APT43), setzt auf „Quishing" – den Einsatz bösartiger QR-Codes – um herkömmliche E-Mail-Sicherheitsfilter zu umgehen. Die Codes führen zu Websites, die Geräte ausspähen und Zugangsdaten stehlen. Das FBI bewertet diese Taktik als widerstandsfähig gegen Multi-Faktor-Authentifizierung und schwer erkennbar für Standard-Sicherheitssoftware.

Koordinierte Angriffe auf US-Wassersysteme

Seit dem 27. Juli 2026 verfolgen US-Bundesbehörden eine Serie koordinierter Cyberangriffe auf Wasserwerke in mindestens sieben Bundesstaaten. FBI und Umweltbehörde EPA bestätigten, dass die Angreifer speicherprogrammierbare Steuerungen (PLCs) vom Typ Allen-Bradley MicroLogix ins Visier genommen haben. Laut einem durchgesickerten Memo des Water Information Sharing and Analysis Center (WaterISAC) war das primäre Ziel, einen Druckabfall zu verursachen – was zu Wasserverunreinigungen führen kann.

Zwar mussten einige Versorger auf manuellen Betrieb umstellen und Abkochanweisungen herausgeben, doch eine tatsächliche Kontamination des Wassers wurde nicht bestätigt. Die Ermittler bringen die Angriffe mit iranisch unterstützten Gruppen wie CyberAv3ngers oder Handala in Verbindung. Die Vorgehensweise deckt sich mit früheren Warnungen vor iranischen Hackern, die es auf industrielle Kontrollsysteme abgesehen haben.

China: KI-Agenten übernehmen Angriffe autonom

In Asien hat der chinesische Akteur „knaithe" den praktischen Einsatz autonomer KI-Agenten für offensive Operationen demonstriert. Unter Verwendung des DeepSeek-KI-Modells, konkret eines Agenten namens Hermes, scannte und exploitete das System sieben verschiedene Schwachstellen in internet-exponierter Infrastruktur. Betroffen waren unter anderem CVE-2026-3055 in Citrix NetScaler und CVE-2026-34486 in Apache Tomcat. Die Auswirkungen dieser speziellen Kampagne blieben zwar begrenzt, doch sie bestätigt: Bedrohungsakteure sind nun in der Lage, KI zur autonomen Orchestrierung von Angriffen einzusetzen.

Wer angesichts autonomer KI-Angriffe und neuer Cyberrisiken seine Unternehmenssicherheit stärken möchte, findet in diesem Experten-Report die notwendigen Antworten. Erfahren Sie kostenlos, wie Sie proaktiv Sicherheitslücken schließen und aktuelle gesetzliche Anforderungen ohne hohe Investitionen erfüllen. Gratis Cyber-Security E-Book für Unternehmer sichern

Zudem wurde eine langjährige Spionagekampagne gegen Regierungs- und Diplomatie-Einrichtungen in Zentralasien und Syrien auf chinesischsprachige Akteure zurückgeführt. Seit Januar 2025 setzt diese Gruppe auf die heimlichen In-Memory-Backdoors OctLurk und SilkLurk. Da diese Werkzeuge im Arbeitsspeicher laufen statt auf der Festplatte, sind sie für herkömmliche Antivirenprogramme deutlich schwerer zu erkennen. Betroffen sind Branchen von Gesundheitswesen und Telekommunikation bis hin zu Strafverfolgung und Stadtplanung.

Die neue Ära der Cyberkriegsführung

Die aktuellen Kampagnen markieren einen Wendepunkt in der digitalen Bedrohungslandschaft. Während klassische Phishing-Angriffe weiterhin erfolgreich sind, zeigen die neuen Techniken eine beunruhigende Entwicklung: Angreifer industrialisieren ihre operationen und nutzen modernste Technologien, um Sicherheitsmaßnahmen zu umgehen. Für Unternehmen und Behörden bedeutet dies, dass herkömmliche Verteidigungsstrategien nicht mehr ausreichen – gefragt sind adaptive Sicherheitskonzepte, die KI-gestützte Abwehr und kontinuierliches Monitoring kombinieren. Die Frage ist nicht mehr, ob der nächste Angriff kommt, sondern wann und in welcher Form.

de | wissenschaft | 69908514 |