{"id":665196,"date":"2025-12-22T21:02:14","date_gmt":"2025-12-22T21:02:14","guid":{"rendered":"https:\/\/www.europesays.com\/de\/665196\/"},"modified":"2025-12-22T21:02:14","modified_gmt":"2025-12-22T21:02:14","slug":"boerse-express-neue-phishing-kampagne-bedroht-industrie-und-behoerden-in-europa","status":"publish","type":"post","link":"https:\/\/www.europesays.com\/de\/665196\/","title":{"rendered":"B\u00f6rse Express &#8211; Neue Phishing-Kampagne bedroht Industrie und Beh\u00f6rden in Europa"},"content":{"rendered":"<p>\n                                        Eine aktuelle Cyberkampagne nutzt manipulierte Bestellbest\u00e4tigungen, um einen vielseitigen VBS-Loader einzuschleusen. Deutsche Unternehmen sind durch neuartige Verschleierungstechniken besonders gef\u00e4hrdet.\n                                    <\/p>\n<p>Eine hochgef\u00e4hrliche Phishing-Kampagne mit neuartigen Verschleierungstechniken zielt gezielt auf Industrieunternehmen und Beh\u00f6rden in Europa und dem Nahen Osten ab. Deutsche Sicherheitsexperten warnen vor der als &#8222;Stealth in Layers&#8220; identifizierten Attacke, die \u00fcber manipulierte Bestellbest\u00e4tigungen eingeschleust wird.<\/p>\n<p>Raffinierter Angriff mit getarnter Schadsoftware<\/p>\n<p>Forscher von Cyble Research and Intelligence Labs (CRIL) haben in der vergangenen Woche eine beunruhigende Entwicklung dokumentiert: Eine koordinierte Kampagne bedient sich ausgekl\u00fcgelter Social-Engineering-Methoden, um zun\u00e4chst einen vielseitigen <strong>VBS-Loader<\/strong> einzuschleusen. Dieser dient als Plattform f\u00fcr verschiedene Schadprogramme.<\/p>\n<p>Die Angreifer verschicken t\u00e4uschend echte E-Mails mit dem Betreff &#8222;Purchase Order&#8220; \u2013 also Bestellbest\u00e4tigungen. Angeh\u00e4ngt sind manipulierte Office-Dokumente, SVG-Grafikdateien oder ZIP-Archive. Klicken Mitarbeiter in Einkauf oder Verwaltung auf diese Anh\u00e4nge, beginnt eine mehrstufige Infektionskette.<\/p>\n<p>&#8222;Die Kombination aus klassischem Phishing und modernster Evasionstechnik macht diese Bedrohung so gef\u00e4hrlich&#8220;, analysieren die Cyble-Forscher in ihrem Bericht vom 19. Dezember. Besonders betroffen sind bisher Italien, Finnland und Saudi-Arabien.<\/p>\n<p>Neuartige UAC-Umgehung t\u00e4uscht Nutzer<\/p>\n<p>Das technisch Besondere an dieser Kampagne ist ein neuartiger Mechanismus zur Umgehung der <strong>User Account Control (UAC)<\/strong>. Normalerweise fordert Windows bei privilegierten Aktionen eine explizite Best\u00e4tigung durch den Nutzer. Diese Malware umgeht den Schutz durch einen trickreichen Zeitpunkt: Sie l\u00f6st die Abfrage erst aus, wenn der Nutzer ohnehin einen legitimen Prozess startet.<\/p>\n<p>Der ahnungslose Anwender best\u00e4tigt also eine Systemabfrage, die er f\u00fcr normal h\u00e4lt \u2013 und gew\u00e4hrt damit der Schadsoftware Administratorrechte. Im Hintergrund werden sch\u00e4dliche PowerShell-Befehle mit vollen Zugriffsrechten ausgef\u00fchrt.<\/p>\n<p>Noch raffinierter: Die Angreifer haben legitime Open-Source-Bibliotheken manipuliert. Die vertrauensw\u00fcrdige <strong>TaskScheduler<\/strong>-Bibliothek wurde mit b\u00f6sartigem Code angereichert und neu kompiliert. Die resultierende &#8222;Hybrid-Assembly&#8220; erf\u00fcllt weiterhin ihre eigentliche Funktion \u2013 versteckt aber zus\u00e4tzliche Schadroutinen.<\/p>\n<p>Vielf\u00e4ltige Schadlasten f\u00fcr Industriespionage<\/p>\n<p>Einmal installiert, fungiert der VBS-Loader als Verteilerplattform f\u00fcr verschiedene Schadprogramme. Je nach Ziel des Angreifers k\u00f6nnen unterschiedliche Payloads nachgeladen werden:<\/p>\n<ul>\n<li><strong>Datenklauer<\/strong> wie <strong>PureLog Stealer<\/strong> und <strong>Katz Stealer<\/strong> sammeln Login-Daten, Browser-Cookies und Finanzinformationen.<\/li>\n<li><strong>Fernzugriffstrojaner<\/strong> (RATs) wie <strong>Remcos RAT<\/strong>, <strong>AsyncRAT<\/strong> und <strong>DCRAT<\/strong> geben Angreifern die vollst\u00e4ndige Kontrolle \u00fcber infizierte Rechner.<\/li>\n<\/ul>\n<p>Die Vielfalt der Schadlasten deutet darauf hin, dass es sich beim Loader um eine <strong>Commodity-Malware<\/strong> handelt \u2013 also eine Werkzeugsammlung, die unter verschiedenen Bedrohungsakteuren gehandelt wird. Besorgniserregend ist die gezielte Ausrichtung auf den Industriesektor: In den H\u00e4nden von Konkurrenten oder staatlichen Akteuren k\u00f6nnten gestohlene Zugangsdaten zu Industriespionage f\u00fchren.<\/p>\n<p>Deutsche Unternehmen besonders gef\u00e4hrdet<\/p>\n<p>F\u00fcr deutsche Industrieunternehmen \u2013 insbesondere im Maschinenbau, der Automobilbranche oder der Chemieindustrie \u2013 birgt diese Kampagne erhebliche Risiken. Kompromittierte Administratorkonten k\u00f6nnten nicht nur zu Produktionsausf\u00e4llen, sondern auch zum Diebstahl von geistigem Eigentum f\u00fchren.<\/p>\n<p>Die Angreifer setzen auf &#8222;Living off the Land&#8220;-Techniken: Sie missbrauchen legitime Systemwerkzeuge wie PowerShell und RegAsm.exe, um sich in der normalen Systemaktivit\u00e4t zu verstecken. Durch &#8222;Process Hollowing&#8220; injizieren sie ihren Schadcode in den Speicherbereich legitimer Prozesse \u2013 eine Methode, die viele Endpoint-Security-L\u00f6sungen umgeht.<\/p>\n<p>Schutzma\u00dfnahmen f\u00fcr betroffene Branchen<\/p>\n<p>Sicherheitsexperten empfehlen mehrere konkrete Gegenma\u00dfnahmen:<\/p>\n<ul>\n<li><strong>Patch-Management<\/strong>: Trotz ihres Alters muss die Schwachstelle <strong>CVE-2017-11882<\/strong> in Microsoft Office geschlossen werden \u2013 sie wird in dieser Kampagne aktiv ausgenutzt.<\/li>\n<li><strong>Skript-Kontrolle<\/strong>: Unternehmensrichtlinien sollten die Ausf\u00fchrung von .vbs-, .js- und .wsf-Dateien aus tempor\u00e4ren Verzeichnissen unterbinden.<\/li>\n<li><strong>E-Mail-Sicherheit<\/strong>: Besondere Vorsicht ist bei E-Mails mit &#8222;Bestellbest\u00e4tigung&#8220;-Betreff und ZIP-, SVG- oder LNK-Anh\u00e4ngen geboten.<\/li>\n<li><strong>Verhaltens\u00fcberwachung<\/strong>: Ungew\u00f6hnliche Prozess-Starts durch PowerShell oder RegAsm.exe sollten protokolliert und alarmiert werden.<\/li>\n<\/ul>\n<p>Die Kampagne ist aktuell noch aktiv. Unternehmen in den Zielbranchen sollten ihre Threat-Intelligence-Feeds aktualisieren und verd\u00e4chtige Aktivit\u00e4ten \u00fcberpr\u00fcfen. Angesichts der modular aufgebauten Malware ist damit zu rechnen, dass die Angreifer ihre Taktik kontinuierlich anpassen werden.<\/p>\n","protected":false},"excerpt":{"rendered":"Eine aktuelle Cyberkampagne nutzt manipulierte Bestellbest\u00e4tigungen, um einen vielseitigen VBS-Loader einzuschleusen. Deutsche Unternehmen sind durch neuartige Verschleierungstechniken besonders&hellip;\n","protected":false},"author":2,"featured_media":665197,"comment_status":"","ping_status":"","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[3933],"tags":[331,332,15731,14776,548,663,158,3934,3935,13,54,14,15,8943,12,425],"class_list":{"0":"post-665196","1":"post","2":"type-post","3":"status-publish","4":"format-standard","5":"has-post-thumbnail","7":"category-eu","8":"tag-aktuelle-nachrichten","9":"tag-aktuelle-news","10":"tag-cybersecurity","11":"tag-cybersicherheit","12":"tag-eu","13":"tag-europa","14":"tag-europaeische-union","15":"tag-europe","16":"tag-european-union","17":"tag-headlines","18":"tag-industrie","19":"tag-nachrichten","20":"tag-news","21":"tag-regulierung","22":"tag-schlagzeilen","23":"tag-technologie"},"share_on_mastodon":{"url":"https:\/\/pubeurope.com\/@de\/115765244494160273","error":""},"_links":{"self":[{"href":"https:\/\/www.europesays.com\/de\/wp-json\/wp\/v2\/posts\/665196","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.europesays.com\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.europesays.com\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.europesays.com\/de\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/www.europesays.com\/de\/wp-json\/wp\/v2\/comments?post=665196"}],"version-history":[{"count":0,"href":"https:\/\/www.europesays.com\/de\/wp-json\/wp\/v2\/posts\/665196\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.europesays.com\/de\/wp-json\/wp\/v2\/media\/665197"}],"wp:attachment":[{"href":"https:\/\/www.europesays.com\/de\/wp-json\/wp\/v2\/media?parent=665196"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.europesays.com\/de\/wp-json\/wp\/v2\/categories?post=665196"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.europesays.com\/de\/wp-json\/wp\/v2\/tags?post=665196"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}