Das neueste ThreatsDay-Bulletin hebt eine vielfältige Palette von Cyberbedrohungen hervor, die von kritischen Firewall-Schwachstellen bis hin zur Militarisierung von KI-Werkzeugen reicht. Sicherheitsforscher stellten fest, dass einige Angriffe zwar erhebliche technische Fähigkeiten erfordern, andere jedoch einfache Nachlässigkeiten ausnutzen, wie zum Beispiel offengelegte Passwörter oder ungepatchte Legacy-Bugs. Ein wiederkehrendes Thema ist der Missbrauch des Vertrauens in bekannte Anwendungen und KI-Agenten, um unbefugten Zugang zu ermöglichen.
In einer bedeutenden Entwicklung im Bereich der Netzwerksicherheit identifizierte Hudson Rock eine neue Phase der Kampagne zum Diebstahl von Zugangsdaten namens FortiBleed 2.0. Die Untersuchung deckte 975 neu identifizierte Domains und über 40.500 offengelegte Geheimnisse auf, darunter mehr als 37.000 Datensätze lokaler Benutzer und fast 1.600 Active Directory LDAP-Bindungsdatensätze. Diese Zugangsdaten wurden aus 1.703 FortiGate-Quelldateien extrahiert, die mit 1.689 Host-Identifikatoren verknüpft waren, wobei Konfigurationsdaten bis zurück in den Februar 2026 reichen. Gleichzeitig veröffentlichte Fortinet eine koordinierte Reihe von Sicherheitsupdates für FortiOS, FortiManager und FortiAnalyzer, um kritische Schwachstellen zu beheben, die durch einen KI-gestützten Ansatz zur Schwachstellenerkennung entdeckt wurden. Details zu diesen spezifischen Problemen unterliegen bis zum 10. November 2026 einer Embargo-Regelung.
Die Bedrohungslandschaft sah zudem das Aufkommen neuer Malware-as-a-Service-Operationen, die Finanzinstitute ins Visier nehmen. CloudSEK berichtete über „MR RO BOT“, eine Plattform, die Cyberkriminellen ermöglicht, maßgeschneiderte Banking-Trojaner zu mieten, die speziell auf indische Banken ausgelegt sind. Diese Operation ermöglicht es Affiliates, Einmalpasswörter, Kartendaten und UPI-PINs zu stehlen, während sie Anrufe heimlich weiterleiten, um Sicherheitsprüfungen zu umgehen. Das Kit gibt sich als etwa 36 legitime Anwendungen aus, darunter Banken und staatliche Dienste; ein Affiliate soll dabei über 5.400 Textnachrichten von infizierten Geräten abgefangen haben.
KI-Technologie bleibt in der Cybersicherheit ein zweischneidiges Schwert. Die Bank of America gab eine Warnung heraus und forderte Kunden auf, niemals Bankzugangsdaten mit KI-Agenten oder Werkzeugen zu teilen, die in ihrem Namen handeln. Gleichzeitig nutzen Angreifer KI, um ihre Operationen zu skalieren; Cequence verfolgte einen einzelnen Akteur, der sich als 32 verschiedene KI-Bots ausgab, darunter ChatGPT und Claude, um nach Passwörtern und API-Schlüsseln in verschiedenen Sektoren zu scannen. Darüber hinaus deckte SOCRadar den aktiven Arbeitsbereich der n0n-Ransomware-Gruppe auf und enthüllte einen KI-Coding-Agenten, der mit 150 Modellen konfiguriert war, um Hunderte von Angriffsskripten zu generieren, was Nutzungskosten von über 7.200 US-Dollar verursachte.
Während des Berichtszeitraums wurden mehrere kritische Software-Schwachstellen aktiv ausgenutzt. Forscher bei VulnCheck stellten fest, dass Bedrohungsakteure CVE-2026-42589 ausnutzen, eine kritische Schwachstelle für die Ferncodeausführung in Gotenberg mit einem CVSS-Wert von 9,8. Obwohl die Schwachstelle im Mai 2026 gepatcht wurde, wurden allein im vergangenen Monat über 1.300 Ausnutzungsvorfälle verzeichnet. In einem weiteren Vorfall befasste sich Microsoft mit einer Schwachstelle zum Diebstahl von Tokens ohne Berechtigungen in Microsoft Authenticator (CVE-2026-80097), die es nicht privilegierten Android-Apps ermöglichte, vertrauenswürdige Anwendungen zu impersonieren und Authentifizierungstokens zu stehlen, ohne zusätzliche Berechtigungen zu benötigen.
Kompromittierungen der Lieferkette und von Repositories bleiben weit verbreitet. JFrog und SafeDep entdeckten eine Kampagne, bei der Angreifer 42 GitHub-Repositories entführt haben, um polymorphe Wrapper bereitzustellen, die entwickelt wurden, um der Erkennung zu entgehen. Diese bösartigen Pakete, die mit dem Miasma-Familie-npm-Wurm in Verbindung stehen, stehlen Zugangsdaten und installieren Wiper, die Home-Verzeichnisse löschen, wenn Opfer gestohlene Tokens widerrufen. In einem separaten Vorfall ergab eine Überprüfung von 7,25 Millionen öffentlichen Repositories auf Chinas Gitee-Plattform über 26.000 einzigartige, verifizierte Live-Zugangsdaten, darunter ein aktives Organisationsadministrator-Zugangsdatum für eine große Unternehmens-KI-Plattform.
Zu anderen bemerkenswerten Vorfällen gehört die Entführung von institutionellen DNS-Einträgen durch Bedrohungsakteure, um illegale Glücksspielinhalte unter dem Deckmantel legitimer Schul- und Regierungsdomains zu hosten. In den Philippinen führte ein schwerwiegender Fehler in der Betriebssicherheit zum Diebstahl von 68 GB Regierungsdaten, wobei der Angreifer ein detailliertes Übertragungsprotokoll öffentlich im Internet zugänglich ließ. Darüber hinaus berichtete Huntress, dass Angreifer Kamera-Management-Software und legitime Plattformen für das Management mobiler Geräte wie Hexnode und Rippling missbrauchen, um einen persistenten Fernzugriff innerhalb von Unternehmensnetzwerken herzustellen.
Quellen: The Hacker News.