![\"ESET](\"https:\/\/www.europesays.com\/europa\/wp-content\/uploads\/2026\/05\/1779311423_129_lowres.jpg\" "\\"ESET")
<\/p>\npts20260520018 in Forschung<\/p>\n
ESET-Forscher entschl\u00fcsseln \u00fcber 400 Nachrichten und entdecken neue Tarntechniken f\u00fcr Cyberangriffe
\n <\/p>\n
<\/p>\n
\n ESET entschl\u00fcsselt Angriffstechniken der APT-Gruppe „Webworm“ (Bild: ESET)\n <\/p>\n
<\/p>\n
Jena (pts018\/20.05.2026\/14:00)<\/p>\n
Sicherheitsforscher von ESET haben neue Angriffstechniken der China-nahen APT-Gruppe „Webworm“<\/a> aufgedeckt, die zuletzt verst\u00e4rkt Regierungsorganisationen in Europa ins Visier genommen hat. Die Angreifer missbrauchten dabei unter anderem Discord, Microsoft OneDrive und GitHub, um Schadsoftware zu steuern, Daten abzuziehen und ihre Kommunikation innerhalb legitimer Plattformen zu verstecken.<\/p>\n Betroffen waren Regierungsorganisationen in Belgien, Italien, Polen, Serbien und Spanien. Dar\u00fcber hinaus kompromittierte die Gruppe offenbar auch eine Universit\u00e4t in S\u00fcdafrika. Im Zuge der Analyse entschl\u00fcsselten die Forscher mehr als 400 Discord-Nachrichten der Angreifer und identifizierten Server, die zur Aufkl\u00e4rung gegen mehr als 50 potenzielle Ziele eingesetzt wurden.<\/p>\n „Wir beobachten zunehmend, dass Angreifer ihre Infrastruktur hinter bekannten Cloud- und Kommunikationsdiensten verstecken“, erkl\u00e4rt ESET-Forscher Eric Howard, der die aktuellen Aktivit\u00e4ten von Webworm untersucht hat. „Dadurch wird es f\u00fcr Unternehmen und Beh\u00f6rden deutlich schwieriger, sch\u00e4dliche Aktivit\u00e4ten im normalen Netzwerkverkehr zu erkennen.“<\/p>\n Angriffe verstecken sich in legitimen Cloud-Diensten<\/p>\n Webworm setzt verst\u00e4rkt auf Dienste und Plattformen, die in Unternehmen und Beh\u00f6rden allt\u00e4glich genutzt werden. Statt klassischer Malware-Server nutzten die Angreifer unter anderem Discord f\u00fcr die Kommunikation mit kompromittierten Systemen sowie Microsoft OneDrive und die Microsoft Graph API zur Steuerung ihrer Schadsoftware.<\/p>\n Im Zentrum der aktuellen Kampagne stehen zwei neue Werkzeuge: die Discord-basierte Backdoor „EchoCreep“ sowie „GraphWorm“, das \u00fcber Microsoft-Cloud-Dienste kommuniziert. EchoCreep nutzte Discord unter anderem zum Hochladen von Dateien, zur \u00dcbermittlung von Befehlen und zum Versand von Statusmeldungen kompromittierter Systeme. GraphWorm wiederum legte f\u00fcr jedes Opfer eigene Verzeichnisse innerhalb von OneDrive an, um Daten auszutauschen und neue Befehle abzurufen.<\/p>\n „Die Gruppe versteckt ihre Aktivit\u00e4ten gezielt innerhalb legitimer Cloud-Dienste“, so Howard. „Das erschwert nicht nur die Erkennung, sondern hilft den Angreifern auch dabei, sich langfristig in kompromittierten Netzwerken zu bewegen.“<\/p>\n Versteckte Proxy-Netzwerke und missbrauchte Cloud-Infrastruktur<\/p>\n Neben Discord und OneDrive beobachteten die ESET-Forscher auch den Einsatz mehrerer individuell entwickelter Proxy-Werkzeuge. Diese dienten offenbar dazu, versteckte Kommunikationswege aufzubauen und die tats\u00e4chliche Infrastruktur der Angreifer zu verschleiern. Nach Einsch\u00e4tzung der Analysten baut Webworm damit ein komplexes Netzwerk aus Proxy- und Tunnelverbindungen auf, das sich \u00fcber kompromittierte Systeme und Cloud-Dienste erstreckt. Besonders kritisch bewerten die Forscher dabei den Missbrauch von Cloud-Speichern. So nutzte die Gruppe einen manipulierten AWS-S3-Bucket, um Konfigurationsdaten abzurufen und Daten aus betroffenen Netzwerken abzuziehen.<\/p>\n „Offenbar konnten die Angreifer kompromittierte Cloud-Speicher nicht nur f\u00fcr ihre Kommunikation nutzen, sondern auch f\u00fcr Datenexfiltration“, erkl\u00e4rt Howard. „Die betroffenen Organisationen trugen dabei unbemerkt sogar die Infrastrukturkosten der Angreifer.“ Zwischen Dezember 2025 und Januar 2026 luden die Betreiber mindestens 20 Dateien in den kompromittierten Speicher hoch. Zwei davon stammten offenbar aus einer staatlichen Einrichtung in Spanien.<\/p>\n Fokus der Gruppe verlagert sich nach Europa<\/p>\n Webworm wird seit mehreren Jahren mit China-nahen Aktivit\u00e4ten in Verbindung gebracht. W\u00e4hrend die Gruppe fr\u00fcher vor allem Ziele in Asien attackierte, beobachten die ESET-Forscher seit 2024 eine deutliche Verlagerung des Fokus nach Europa. Die aktuellen Kampagnen richteten vor allem gegen Regierungsorganisationen und \u00f6ffentliche Einrichtungen. Gleichzeitig entwickelt die Gruppe ihre Werkzeuge und Taktiken kontinuierlich weiter. Statt klassischer Remote-Access-Trojaner setzt Webworm inzwischen verst\u00e4rkt auf legitime Dienste, Proxy-Netzwerke und individuell angepasste Werkzeuge, die deutlich schwerer zu erkennen sind.<\/p>\n GitHub-Repositories als Malware-Verteiler<\/p>\n Dar\u00fcber hinaus nutzte die Gruppe GitHub-Repositories, um Schadsoftware und weitere Werkzeuge bereitzustellen. In einem Fall tarnte sich ein Repository sogar als legitimer WordPress-Fork, um m\u00f6glichst unauff\u00e4llig zu wirken. Im Rahmen ihrer Analyse identifizierten die ESET-Forscher au\u00dferdem Hinweise darauf, dass Webworm Open-Source-Tools zur Schwachstellensuche und Webserver-Aufkl\u00e4rung einsetzt. Zudem fanden die Analysten Hinweise auf den m\u00f6glichen Einsatz \u00f6ffentlich verf\u00fcgbarer Exploits gegen Webmail-Systeme. ESET geht davon aus, dass Webworm k\u00fcnftig verst\u00e4rkt auf Cloud-Plattformen, Kommunikationsdienste und neue Tarntechniken setzen wird, um Sicherheitsmechanismen zu umgehen und Angriffe schwerer erkennbar zu machen.<\/p>\n Weitere technische Details zu den aktuellen Aktivit\u00e4ten von Webworm ver\u00f6ffentlicht ESET Research auf WeLiveSecurity<\/a>.<\/p>\n (Ende)<\/p>\n
![\"https:\/\/www.europesays.com\/europa\/wp-content\/uploads\/2026\/05\/logo.png\"](\"https:\/\/www.europesays.com\/europa\/wp-content\/uploads\/2026\/05\/logo.png\" "\\"ESET"){kind=logo}