Comretix Blog

Die für ihre Überwachungssoftware Pegasus bekannte NSO-Group wird von einer US-amerikanischen Investorengruppe aufgekauft. Das bestätigt das Unternehmen gegenüber dem Online-Nachrichtenportal TechCrunch. Laut NSO-Sprecher Oded Hershowitz habe "eine amerikanische Investorengruppe Dutzende Millionen Dollar in das Unternehmen investiert und die Kontrollmehrheit erworben."

Gegenüber TechCrunch betonte er, dass die Investition nichts daran ändere, dass das Unternehmen unter israelischer Kontrolle operiert. Der Hauptsitz verbleibe in Israel und auch die Kernoperationen werden weiter von dort ausgeführt. Die NSU-Group "wird weiterhin vollständig von den zuständigen israelischen Behörden beaufsichtigt und reguliert, darunter das Verteidigungsministerium und der israelische Regulierungsrahmen", so Hershowitz.

Die genaue Investitionssumme sowie die Identität der Investoren nannte der Sprecher nicht. Spekulationen darüber gibt es aber längst. Wie die israelische Technik-Nachrichten-Seite Calcalist berichtet, stehe eine von dem Hollywood-Produzenten Robert Simonds geführte Gruppe hinter dem Deal. Laut Calcalist hat die Übernahme eine Vorgeschichte. Simonds war demnach offenbar bereits zuvor im Vorstand der NSO-Muttergesellschaft tätig, trat jedoch nach fünf Monaten zurück. Außerdem gebe es Hinweise darauf, dass William Wrigley Jr., ein Erbe des Wrigley-Kaugummi-Imperiums, möglicherweise an den Übernahmeplänen beteiligt ist oder war.

Eigentlich steht das Unternehmen auf der Sanktionsliste des US-Handelsministeriums, das amerikanischen Unternehmen den Handel mit dem Spyware-Anbieter untersagt. John Scott-Railton, ein leitender Forscher am Citizen Lab, der seit einem Jahrzehnt Missbrauchsfälle von NSO-Spyware untersucht, äußerte gegenüber TechCrunch Bedenken zur Übernahme: "NSO ist ein Unternehmen mit einer langen Geschichte, gegen amerikanische Interessen zu handeln und das Hacken amerikanischer Beamter zu unterstützen." Er bezeichnete Pegasus als "Diktator-Technik", die nicht in die Nähe von Amerikanern gehöre.

Laut TechCrunch hatte NSO noch im Mai 2025 mithilfe einer Lobbyfirma mit Verbindungen zur Trump-Administration versucht, von der US-Blockadeliste entfernt zu werden.

Das Hacking-Gadget Flipper Zero hat seit seinem Debüt im Jahr 2020 reichlich Freunde in aller Welt gewonnen. Auch ich habe einen Plastikdelfin adoptiert und führe ihn regelmäßig aus. Seit einigen Jahren arbeitet sein Erfinder Pavel Zhovner an einem Nachfolger mit dem folgerichtigen Namen "Flipper One" und veröffentlichte nun auf seinem Telegram-Kanal ein Foto zweier Prototypen.

Prototypen des Flipper One.

(Bild: Pavel Zhovner)

Das Foto zeigt zwei aufeinandergestapelte, offenbar 3D-gedruckte Prototypen des Hacking-Gadgets. Sie wirken kantiger als der Vorgänger, die auffällige Trageöse in der oberen rechten Gehäuseecke wirkt als gestalterisches Element. An der rechten Seite des Gehäuses erahnt man die USB-C-Buchse, auf der dem Betrachter zugewandten Seite findet sich der 24-polige GPIO (General Purpose Input/Output) sowie offenbar eine SMA-Buchse. Zudem zeigt ein Aufkleber auf dem Gerät ein stilisiertes M.2-Steckkärtchen nebst -Steckplatz, eine weitere Bestätigung eines länger kursierenden Gerüchts.

In den Umrissen der M.2-Karte (S3 Key B) finden sich Hinweise auf USB 3.0 (der Flipper Zero kann USB 2.0) und PCIe 2.1 und wer genau hinschaut, sieht oben eine SMA-Buchse. An der können offenbar externe Antennen angeschlossen werden. Offenbar experimentiert Zhovner gerade mit verschiedenen Abdeckplatten für die Gehäuserückseite, denn die ist (auf Russisch als Жопка betitelt) auf dem Foto zu sehen. Die Rückseite des oberen und unteren Geräts unterscheidet sich im Design geringfügig, auf dem Tisch liegt eine dritte Platte mit längeren Kühlrippen. Und ein Funkgerät vom Typ Baofeng UV-5R.

Apple hat eine Fortsetzung seiner Cybersecurity-Grant für Mitglieder aus der Zivilgesellschaft angekündigt. Bei dem bisherigen Programm waren 10 Millionen US-Dollar für Organisationen ausgelobt worden, die Aktivisten, Journalisten und Bürgerrechtlern helfen, sich gegen gezielte Spyware-Angriffe (sogenannte Highly Targeted Mercenary Spyware) zu verteidigen beziehungsweise solche Angriffe zu untersuchen. Nun ist laut Apple eine "Spezialinitiative" geplant. Dabei sollen iPhone-17-Geräte gezielt an bedrohte Personen aus der Zivilgesellschaft verteilt werden – insgesamt 1000 Stück, so der Konzern in einer Mitteilung.

Das iPhone 17 verfügt wie alle iPhones dieses Jahrgangs über eine neue Funktion zum Speicherschutz, das sogenannte Memory Integrity Enforcement, kurz MIE. Es soll auch komplexe Exploit-Chains, die sich Speicherfehler zunutze machen, rechtzeitig unterbinden können. Die dafür notwendige Hardwarekomponente steckt im A19 und A19 Pro, der im iPhone 17, 17 Pro, 17 Pro Max und Air verbaut ist. Apple war es laut eigenen Angaben auch gelungen, Angriffe über die spekulative CPU-Befehlsausführung wie Spectre V1 aufzuhalten, ohne dass dies mit einem Leistungseinbruch einhergeht. Auch in iOS 26 stecken neue Schutzmaßnahmen, sie greifen allerdings erst mit den neuen Geräten in vollem Umfang.

"Um diese revolutionäre und branchenführende Abwehrmaßnahme schnell für Mitglieder der Zivilgesellschaft verfügbar zu machen, die möglicherweise Ziel von gezielter Spyware sind, werden wir tausend iPhone-17-Geräte an zivilgesellschaftliche Organisationen bereitstellen, die diese an gefährdete Nutzer weitergeben können", schreibt der Konzern. Weitere Details zum Verteilungsprozess – etwa welche Organisationen Geräte erhalten und wie – gab Apple noch nicht bekannt. "Diese Initiative spiegelt unser kontinuierliches Engagement wider, unsere fortschrittlichsten Sicherheitsmaßnahmen denjenigen zugänglich zu machen, die sie am dringendsten benötigen", so der iPhone-Hersteller weiter.

MIE kombiniert verschiedene Ansätze, um zu unterbinden, dass Schädlinge in Speicherbereiche vordringen können, auf die sie nicht zugreifen dürfen. An der Entwicklung von MIE war laut Apple auch ein Offensive-Research-Team beteiligt, welches das System über fünf Jahre auch praktisch angegriffen und gegen gefundene Angriffe gehärtet hat.

Verschiedene Real-World-Angriffsszenarien, die Apple schildert – über iMessage, Safari sowie Kernel-Exploits – ließen sich durch MIE unterbinden, was die Hoffnung schürt, dass Lücken damit sehr früh in der Exploit-Chain abgefangen werden können. In Code treten immer wieder ausnutzbare Speicherfehler auf, selbst nach umfangreichem Auditing.

Mit der Version 25.00 von 7-Zip hat der Entwickler im Juli einige Sicherheitslücken geschlossen. Bislang war jedoch unklar, welche. Die Zero-Day-Initiative (ZDI) von Trend Micro hat nun Informationen zu einigen der darin gestopften Sicherheitslecks veröffentlicht.

Die erste Sicherheitslücke betrifft laut ZDI den Umgang mit symbolischen Links in ZIP-Dateien. Manipulierte ZIP-Dateien können dafür sorgen, dass der Prozess in nicht vorgesehene Verzeichnisse wandert. Angreifer können das zum Ausführen von Code im Service-Konto missbrauchen (CVE-2025-11002, CVSS 7.0, Risiko "hoch"). Die Beschreibung der zweiten Schwachstelle durch das ZDI liest sich identisch (CVE-2025-11001, CVSS 7.0, Risiko "hoch").

Der Versionsverlauf von 7-Zip weist inzwischen zudem auf zwei weitere Sicherheitslecks hin, die Version 25.00 schließt. Die sind jedoch sehr vage. "7-Zip kann bei einigen inkorrekten RAR-Archiven inkorrekt arbeiten", steht dort, der CVE-Eintrag präzisiert jedoch, dass Nullen außerhalb eines Heap-Puffers bei der Verarbeitung von RAR5-Formaten landen und so zu Speicherveränderungen führen können, die ihrerseits einen Denial of Service (DoS) auslösen (CVE-2025-53816 / EUVD-2025-21791, CVSS 5.5, Risiko "mittel"). Inkorrekte COM-Archive (Compound File) können zudem zum Absturz führen, was laut Schwachstellenbeschreibung im CVE-Eintrag auf eine Null-Pointer-Dereferenz bei der Verarbeitung zurückgeht (CVE-2025-53817 / EUVD-2025-21790, CVSS 5.5, Risiko "mittel").

Eine weitere Aktualisierung von 7-Zip auf Version 25.01 im August ging ein wenig unter. Sie korrigiert ein Problem, bei dem symbolische Links nicht immer korrekt verarbeitet werden. Die Auswirkungen nennt der Entwickler nicht, es handelt sich jedoch um einen sicherheitsrelevanten Fehler (CVE-2025-5518 / EUVD-2025-24018, CVSS 3.6, Risiko "niedrig").

Da 7-Zip noch immer keine automatische Update-Prüfung enthält, müssen Nutzer der Software manuell auf die aktuelle Version aktualisieren. Sie steht auf der Download-Seite von 7-Zip zum Herunterladen bereit.

Hacker und Sicherheitsexperten, die Lücken in Apples Betriebssystemen finden, können künftig mit deutlich höheren Auszahlungen im Rahmen des Bug-Bounty-Programms des Konzerns rechnen. Damit will sich der iPhone-Hersteller attraktiver für die Security-Community machen – und wohl auch verhindern, dass für Angriffe ausnutzbare Bugs in problematischen Kanälen (etwa bei Kriminellen oder Geheimdiensten von Regimen) landen.

Apple kündigte gleichzeitig an, seit dem Jahr 2020 über 35 Millionen US-Dollar an Zahlungen geleistet zu haben – an insgesamt 800 Sicherheitsforscher. "Mehrere" Personen hätten dabei jeweils 500.000 Dollar erhalten. "Wir sind dankbar für jeden, der seine Forschungsergebnisse übermittelt und eng mit uns kooperiert, um unsere Nutzer zu schützen", so der Konzern. In der Vergangenheit hatte es allerdings bereits Kritik an den Auszahlungsbedingungen und der Geschwindigkeit der Bug-Bounty-Mannschaft bei Apple gegeben. Offenbar hofft das Unternehmen mit den neuen Maßnahmen, diese zu besänftigen.

Apple hatte für einen Zero-Click-Angriff aus der Ferne, der keine Nutzerinteraktion verlangt und die Geräteübernahme ermöglicht, bislang maximal 1 Million Dollar gezahlt. Die Summe steigt nun auf maximal 2 Millionen. Eine sogenannte One-Click-Chain, bei der ein Klick des Nutzers für einen erfolgreichen Exploit nötig ist, bringt jetzt bis zu 1 Million statt nur 250.000 Dollar. Angriffe über die Luftschnittstelle (Angreifer muss sich in der Nähe befinden) werden ebenfalls auf 1 Million vervierfacht. Erfolgreiche Attacken auf das physische Gerät (im gesperrten Zustand) verdoppeln sich von 250.000 auf 500.000 Dollar. Ein App-Sandbox-Escape (bis zum SPTM-Bypass) bringt 500.000 statt 150.000 Dollar.

Neben den aufgeführten Zahlungen sind wohl auch Boni möglich, die die Gesamtsumme auf bis zu 5 Millionen Dollar anheben. Die genannten Beispiele betreffen allesamt vollständige Exploit-Chains. Einzelne Bugs liefern auch weniger Geld – hierzu dürfte Apple in Zukunft nähere Angaben machen, die Website enthält noch die alten Informationen. Weiterhin gibt es neue Bug-Kategorien, die der Konzern im Bug-Bounty-Programm ergänzt. Dazu WebContent-Code-Executions mit Sandbox-Escape (bis zu 300.000 Dollar), bei Ausführung unsignierten Codes wird daraus eine Million. Schließlich wird der Bereich "WIreless Proximity" auf aktuelle Apple-Chips wie C1, C1X und N1 erweitert. Um es Sicherheitsforschern zu erleichtern, zu verstehen, wann was gezahlt wird, führt Apple sogenannte Target Flags ein. Diese sind in das Betriebssystem integriert und erlauben es Apple, schneller zu ermitteln, wie weit ein Angriffer gekommen ist. Das soll auch erleichtern, einen Fix auszurollen – und das Verständnis eines Problems erhöhen, bevor selbiger ausentwickelt ist. Target Flags werden in allen Apple-Betriebssystemen von iOS bis visionOS implementiert. Momentan sind allerdings nicht alle Bug-Bounty-Kategorien erfasst, Apple will diese aber erweitern.

Apple kündigte weiterhin an, Bugs, die nicht vom Bug-Bounty-Programm erfasst werden, aber einen Fix verlangen, neben CVE-Eintrag und Credits mit einer Zahlung von 1000 Dollar zu belohnen. Dabei soll es sich um "Low Impact"-Bugs handeln, die keine direkten Auswirkungen auf die Nutzersicherheit haben. Schließlich startet Apple eine neue Runde seines Security-Research-Device-Programs. Das SRDP umfasst nun auch das neue iPhone 17, das Apple mit einem Hardware-Speicherschutz versehen hat. Die Geräte sind gerootet und erlauben diverse Angriffsformen, die sonst nicht möglich sind – und sorgen durch ihre Offenheit für ein tieferes Verständnis. Die aktuelle Bewerbungsrunde läuft bis zum 31. Oktober.

Checkmk warnt vor Sicherheitslücken in der gleichnamigen Netzwerk-Überwachungssoftware. Eine betrifft die Windows-Version und verpasst eine Einordnung als kritisches Sicherheitsrisiko nur knapp, eines der weiteren Lecks dürfte Admins hingegen keinen Schlaf rauben.

In der Versionsankündigung zu Checkmk 2.4.0p13, Checkmk 2.3.0p38 sowie Checkmk 2.2.0p46, die die Entwickler am Donnerstag dieser Woche veröffentlicht haben, nennen die Programmierer drei Sicherheitslücken, die mit den Updates geschlossen werden. Am schwerwiegendsten wirkt sich eine Lücke in den Windows-Versionen aus. Laut Schwachstellenbeschreibung ermöglicht die Verwendung eines unsicheren temporären Verzeichnisses im Windows-Lizenz-Plugin für den Checkmk Windows Agent eine Rechteausweitung (CVE-2025-32919 / EUVD-2025-33350, CVSS 8.8, Risiko "hoch").

Außerdem können angemeldete Nutzerinnen und Nutzer eine unzureichende Filterung des Report Scheduler missbrauchen, um Speicherorte für Berichte außerhalb des eigentlich gesetzten Root-Verzeichnisses anzugeben (CVE-2025-39664 / EUVD-2025-33348, CVSS 7.1, Risiko "hoch"). In HTTP-Get-Anfragen von Checkmk können sensible Daten aus Formularen im URL-Query-Parameter landen, die an diversen Stellen wie im Browserverlauf oder den Web-Server-Logdateien protokolliert werden (CVE-2025-32916 / EUVD-2025-33351, CVSS 1.0, Risiko "niedrig").

Die sicherheitsrelevanten Fehler bügelt Checkmk in den Fassungen 2.4.0p13, 2.3.0p38 und 2.2.0p46 aus. Checkmk 2.1.0 ist ebenfalls verwundbar, jedoch am Service-Ende angelangt – eine Aktualisierung gibt es hierfür nicht mehr. Admins sollten die bereitstehenden Updates zügig installieren respektive auf noch unterstützte Versionen migrieren.

Im vergangenen Jahr hatte Checkmk eine kritische Sicherheitslücke abzudichten. Sie erlaubte Angreifern die Umgehung der Mehrfaktorauthentifizierung.

Nvidias Entwickler haben mehrere Sicherheitslücken in verschiedenen Grafikkartentreibern geschlossen. Im schlimmsten Fall kann Schadcode Systeme vollständig kompromittieren. Davon sind Linux- und Windows-Computer bedroht.

Wie aus einer Warnmeldung hervorgeht, sind neben den GPU-Treibern auch die vGPU Software und Cloud Gaming verwundbar. Insgesamt haben die Entwickler neun Softwareschwachstellen (CVE-2025-23309, CVE-2025-23347, CVE-2025-23280, CVE-2025-23282, CVE-2025-23352) geschlossen. Davon sind fünf mit dem Bedrohungsgrad "hoch" eingestuft.

In den meisten Fällen können Angreifer Speicherfehler auslösen und so im schlimmsten Fall eigenen Code ausführen. Danach erlangen sie in der Regel die volle Kontrolle über PCs. Wie Attacken im Detail ablaufen könnten und ob Lücken bereits ausgenutzt werden, ist bislang nicht bekannt.

Darüber hinaus können sich Angreifer noch höhere Nutzerrechte verschaffen, DoS-Zustände auslösen, sodass es zu Abstürzen kommt, und Dateien manipulieren. Die Schwachstelle in der vGPU-Software betrifft den Virtual GPU Manager, hier können Angreifer für Attacken mit ähnlichen Auswirkungen ansetzen.

Um Angriffe vorzubeugen, müssen Admins die aktualisierten Treiber für Grafikkarten der GeForce-, NV-, Quadro-, RTX- und Tesla-Serie installieren. Auch wenn es bislang noch keine Berichte zu Attacken gibt, sollten Admins mit der Installation der Sicherheitsupdates nicht zu lange warten.

Deutschland hat bei der European Cybersecurity Challenge (ECSC) 2025 den dritten Platz belegt. Der Wettbewerb, der vom 6. bis 9. Oktober in Warschau stattfand, versammelte 39 Teams aus EU-Staaten, EFTA-Ländern, EU-Beitrittskandidaten sowie internationalen Gastnationen. Den ersten Platz sicherte sich Italien, gefolgt von Dänemark auf Rang zwei. Dies teilte am Donnerstag die EU-Agentur für Cybersicherheit ENISA mit. Die Agentur hat ihren Sitz in Griechenland.

Die ECSC gilt als wichtigstes Nachwuchsformat für Cybersicherheit in Europa und wurde in diesem Jahr bereits zum elften Mal ausgetragen. Ziel ist es, junge Talente zu fördern und den Fachkräftebedarf in der IT-Sicherheit langfristig zu decken.

Die Teilnehmenden mussten sich über zwei Tage hinweg in sogenannten Capture-the-Flag-Aufgaben beweisen. Dabei ging es unter anderem um Kryptoanalyse, Reverse Engineering, Hardwaresicherheit und forensische Analyse. Neben technischem Know-how waren auch Teamarbeit und schnelle Entscheidungsfindung gefragt. Der Wettbewerb endete mit der feierlichen Preisvergabe an die drei Siegerteams.

Im Anschluss an die Hauptveranstaltung findet am 10. und 11. Oktober ein spezielles "Female + Bootcamp" für Teilnehmerinnen statt. Ziel ist es, mehr Frauen für den Bereich Cybersicherheit zu gewinnen.

In Ivantis Endpoint Manager (EPM) steckten schwere Sicherheitslücken, die das Unternehmen seit Monaten kennt – und dennoch erst in einem halben Jahr beheben wollte. Das war Trend Micros Zero Day Initiative (ZDI) zu lang – sie veröffentlicht die Lücken nun als "Zero Days". Im Fehlerkatalog tummeln sich elf SQL Injections, eine Pfadlücke und einmal Deserialisierung nicht vertrauenswürdiger Daten.

Bemerkenswert ist, wie die Veröffentlichung durch die ZDI zustande kam. Die Zero-Day-Initiative ist üblicherweise doch eher dafür bekannt, mit Herstellern zusammenzuarbeiten und diese nicht durch Zero-Day-Veröffentlichungen unter Druck zu setzen. Im aktuellen Fall hingegen hat ZDI offenkundig schlicht die Geduld mit Ivanti verloren.

Die hatten nämlich bereits im Mai respektive Juni dieses Jahres von den Sicherheitslücken erfahren. ZDI meldet diese üblicherweise nebst detaillierter Anleitungen (Proof of Concept) zunächst an die Hersteller. Ivanti hingegen tat anfänglich offenkundig wenig, um die Probleme zu beheben. In einigen Fällen meldeten sie ZDI ihre Absicht, im September Aktualisierungen zu veröffentlichen, zogen diese dann aber wenige Tage später zurück. In anderen Fällen reagierte das Unternehmen zunächst überhaupt nicht.

Ende Juli bat Ivanti die ZDI dann um eine Verlängerung der Frist zur Behebung der dreizehn Sicherheitslücken. Und nicht um ein paar Tage oder Wochen – nein, man wollte nun erst im März 2026 für Abhilfe sorgen. Angesichts der Auswirkungen der Fehler eine wenig nachvollziehbare Entscheidung. Die sind zwar allesamt nur durch angemeldete Nutzer ausnutzbar, entfalten aber als Teil einer Exploit-Kette hohes Gefahrenpotential.

ZDI entschied sich dann Ende September, alle Lücken als "Zero Days" zu veröffentlichen und hat dieser Entscheidung Taten folgen lassen. Wer Ivanti Endpoint Manager einsetzt, sollte also wachsam sein: Zwar enthalten die knappen Sicherheitsmeldungen auf der ZDI-Seite keine Details, doch dürften Exploit-Schreiber weltweit jetzt zumindest recht genau wissen, wo sie zu suchen haben. Ob Ivanti sich der Fehler doch kurzfristig, etwa im in den nächsten Tagen erwarteten monatlichen Sicherheitsupdate, annehmen wird, ist bis dato unklar.

Die kürzlich bekannt gewordenen Erpressungsversuche nach einer Sicherheitslücke in der E-Business-Suite von Oracle betrifft Dutzende, wenn nicht sogar Hunderte Unternehmen. Das schätzen Googles Sicherheitsexperten nach einer Untersuchung dieser Kampagne. Dahinter steckt eine Gruppe Cyberkrimineller namens Clop, die in der Vergangenheit bereits als Ransomware-Gang aufgefallen ist und mehrere Organisationen nach der Ausnutzung von Systemlücken erpresst hat.

Erst vor wenigen Tagen hat Oracle zur dringenden Installation von Sicherheitsupdates gemahnt, nachdem Angreifer Kunden der E-Business-Suite erpresst haben. Zunächst ging der Hersteller von bereits seit Juli geschlossenen Lücken aus, reichte kurz darauf aber ein Emergency-Update nach. Die entsprechende Lücke ermöglicht Remote Code Execution ohne Authentifizierung (CVSS 9.8) in Oracle 12.2.3 bis 12.2.14. Da der Exploit-Code mittlerweile im Untergrund kursiert, sollten Nutzer dieser Versionen umgehend patchen.

Die Sicherheitsexperten der Google Threat Intelligence Group (GTIG) und Mandiant schreiben nach einer Untersuchung der Sicherheitslücke und der Erpressungskampagne in einem Bericht, dass die Angreifer Hunderte, wenn nicht Tausende kompromittierte E-Mail-Konten angeschrieben haben. Darin drohen sie, interne Dokumente zu veröffentlichen, sollte das betroffene Unternehmen nicht bezahlen. Konkrete Geldforderungen gibt es beim ersten Kontakt keine, das wird üblicherweise erst nach Beantwortung verhandelt.

Die erbeuteten Daten sollen nach Veröffentlichung aber große finanzielle Verluste der Firmen nach sich ziehen, etwa Bußgelder von Aufsichtsbehörden und Umsatzrückgang nach Ansehensverlust. Die E-Business-Suite wird von Oracle-Kunden zur Verwaltung von Kunden, Lieferanten, Herstellung, Logistik und anderen Geschäftsprozessen verwendet, sodass der Zugriff darauf auch Geschäftsgeheimnisse preisgeben könnte.

Auf Nachfrage von Reuters erklärte einer der Autoren des Google-Berichts, Austin Larsen, dass sie von Dutzenden Opfern wissen, aber von noch viel mehr ausgehen. "Angesichts des Ausmaßes früherer Clop-Kampagnen dürften es über hundert sein", so Larsen weiter. Die Ransomware-Gang selbst hat zuvor nur erklärt, dass sich bald herausstellen wird, dass Oracle "sein Kernprodukt verwanzt" habe.

Mitte September meldete Firewallhersteller Sonicwall einen Einbruch in seine Cloud, bei dem Konfigurations-Backups von Sonicwall-Kunden kopiert worden seien. Das beträfe jedoch nur fünf Prozent der Kunden, hieß es damals in einer ersten Einschätzung des Unternehmens. Diese revidiert Sonicwall nun: Alle Kunden sind betroffen und sollten handeln.

Wie Sonicwall bereits in der ersten Warnmeldung erläuterte, sind Kunden betroffen, die eine optionale Sicherung ihrer Firewall-Konfigurationsdaten in der Cloud des Herstellers aktiviert haben. Gemeinsam mit dem Incident-Response-Experten Mandiant, einer Google-Tochter, untersuchte Sonicwall den Vorfall genauer und fand heraus: Es hat alle Kunden erwischt.

Alle Kunden und Partner sind jetzt dringend aufgerufen, sich um eine Milderung der möglichen Folgen des Lecks zu bemühen. Dazu sollen sie sich im Sonicwall-Portal anmelden und alle Geräte – nach ihrer Wichtigkeit sortiert – unter die Lupe nehmen. Dafür gibt es ein ausführliches Playbook, an dem sich Admins entlang hangeln sollten, um es Angreifern nicht zu leicht zu machen.

Die haben bereits erste Attacken gestartet: Es steht zu vermuten, dass die Ransomware-Gruppe Akira und andere Cyberkriminelle über Kopien der Sicherungsdateien verfügen und diese in ihren laufenden Angriffskampagnen schon nutzen.