Comretix Blog

Nachdem eine Cyberattacke auf den größten japanischen Brauereikonzern zu einem mehrtägigen Produktionsstopp geführt hat, gibt es bei der Konkurrenz Probleme, den zusätzlichen Bedarf zu decken. Das berichtet die japanische Tageszeitung Yomiuri Shinbun, nachdem die betroffene Brauerei Asahi ihre Produktion Anfang der Woche wieder aufgenommen hat. Der Konzern hatte die Cyberattacke am 29. September eingestanden und laut Medienberichten später die Produktion in sechs japanischen Brauereien gestoppt. Zu dem Angriff hat sich inzwischen die Ransomware-as-a-Service-Gruppe "Qilin" bekannt. Angeblich hat sie 27 Gigabyte an Daten entwendet. Was die Kriminellen verlangen und ob Asahi darauf eingegangen ist, ist unklar.

Botschaft von "Qilin" im Darknet

(Bild: Screenshot/heise medien)

Der Brauereikonzern hat den Angriff am 29. September publik gemacht und die Folgen für die Produktion eingestanden. Nachdem die Produktion an mehreren japanischen Standorten gestoppt werden musste, wird sie inzwischen wieder hochgefahren. Einen Zeitplan dafür gibt es aber nicht. Die Folgen sind bereits landesweit zu spüren. Laut Yomiuri Shinbun sind die Vorräte von Restaurants und Lebensmittelläden teilweise zur Neige gegangen und die Konkurrenten konnten den gestiegenen Bedarf nicht decken. So hat die Brauerei Sapporo erklärt, dass zuerst die bestehende Kundschaft beliefert werden soll. "Wenn das so weiter geht, könnte es darin gipfeln, dass die Menschen kein Bier mehr bekommen", zitiert die Zeitung den Chef einer Bar in Tokio.

Asahi ist vor allem für das japanische Bier Asahi Super Dry bekannt, die Brauerei vertreibt aber unter anderem auch die europäischen Biere Pilsner Urquell aus Tschechien, Grolsch aus den Niederlanden, Tyskie aus Polen und Peroni aus Italien. Von der Cyberattacke waren jetzt aber nur Produktionsstätten in Japan betroffen. Laut Asahi ging es dabei nicht nur um Bier, sondern auch um Softdrinks und Lebensmittel. Wann die Produktion wieder normal laufen soll und die Lieferschwierigkeiten behoben sein dürften, teilte Asahi nicht mit. Der Vorfall erinnert an die Geschehnisse bei dem britischen Automobilkonzern Jaguar Land Rover. Dort lag die Produktion aber sogar wochenlang still und zwischenzeitlich musste sogar die dortige Regierung mit einer Finanzhilfe einspringen.

IBM warnt vor einer kritischen Sicherheitslücke in den Betriebssystemen AIX und VIOS. Die Schwachstelle ermöglicht Angreifern, die Speicherordnung durcheinanderzubringen, und aufgrund des Schweregrads so wahrscheinlich Schadcode einzuschleusen und auszuführen. IT-Verantwortliche sollen jetzt die bereitstehenden Aktualisierungen installieren, rät der Hersteller dringend.

In der Sicherheitsmitteilung von IBM erläutern die Entwickler, dass AIX und VIOS auf den Paketmanager RPM setzen. Das wiederum setzt auf SQLite und bringt verwundbare Versionen vor 3.50.2 mit. Darin steckt eine Sicherheitslücke, die zu willkürlichen Speicherzugriffen führen können (CVE-2025-6965 / EUVD-2025-21441, CVSS 7.2, Risiko "hoch").

Abweichend von der Einstufung der SQLite-Lücke wertet IBM den Schweregrad mit einem CVSS-Wert von 9.8 als Risiko "kritisch". Betroffen sind AIX 7.2 und 7.3 sowie VIOS 3.1 und 4.1.

IBM veröffentlicht aktualisierte RPM-Filesets, die die verwundbaren Fassungen von "rpm.rte" von 4.15.1.1000 bis 4.15.1.1016, 4.15.1.2000 bis 4.15.1.2024 sowie 4.18.1.2000 bis 4.18.1.2006 ersetzen. Sie sind für Admins nach einem Log-in auf IBMs Webseite zum Herunterladen verfügbar. Ob anfällige Filesets auf dem System installiert sind, lässt sich mit dem Aufruf von lslpp -L | grep -i rpm.rte herausfinden.

Außerdem stellt IBM ein tar-Archiv bereit, in dem die Korrekturen für RPM stecken. Vor dem Einspielen der aktualisierten Fassungen rät IBM dazu, mittels mksysb ein Systembackup zu erstellen und sicherzustellen, dass es startet und lesbar ist. Anschließend entpackt der Befehl tar xvf rpm_fix4.tar die Updates.

Der Podcast feiert den phierzigsten Geburtstag des Hackermagazins Phrack und blickt zunächst auf die Geschichte des altehrwürdigen e-zines, wie sich das Magazin verändert hat und wie es produziert wird. Dabei bekommen sie ganz besondere Hilfe: Skyper aus dem Phrack-Team ist im Podcast zu Gast und erzählt von damals und heute.

Der von einem Cyberangriff lahmgelegte britische Autobauer Jaguar Land Rover will die Produktion ab dem heutigen Mittwoch schrittweise wiederaufnehmen. Den Anfang machen laut einer Mitteilung des Unternehmens das Motorenwerk in Wolverhampton sowie mehrere Presswerke, die Karosseriewerkstatt, die Lackiererei und das Logistikzentrum an verschiedenen Standorten in Großbritannien. Ebenfalls noch in dieser Woche soll das Werk in der slowakischen Stadt Nitra die Fahrzeugproduktion wiederaufnehmen. Über weitere Schritte will das Unternehmen zeitnah informieren.

Der Autobauer war am 31. August Ziel einer Cyberattacke geworden, die Produktion stand danach zunächst still. Die britische Regierung half dem angeschlagenen Unternehmen Ende September mit einer Garantie für einen Milliardenkredit zur Absicherung der Lieferkette. Der Kredit kommt von einer Geschäftsbank.

Das Wiederanfahren der Produktion war zunächst für den 24. September geplant, daraus wurde jedoch nichts. Der nächste anvisierte Termin für den Neustart war zu dem Zeitpunkt der 1. Oktober. Offensichtlich ließ sich aber auch dieser Termin nicht halten.

Der Chef von Jaguar Land Rover (JLR), Adrian Mardell, bezeichnete die Wiederaufnahme der Produktion nun als "wichtigen Moment für JLR und all unsere Stakeholder".

In die Debatte um die Chatkontrolle kommt kurz vor der entscheidenden EU-Ratssitzung Bewegung. Am Dienstagnachmittag erteilte Unionsfraktionschef Jens Spahn (CDU) der umstrittenen Maßnahme eine Absage. "Wir als CDU/CSU-Bundestagsfraktion sind gegen die anlasslose Kontrolle von Chats", sagte Spahn am Nachmittag vor Journalisten in Berlin. Wie heise online aus Fraktionskreisen erfuhr, soll die Chatkontrolle vorerst nicht im Rat zur Abstimmung kommen.

"Das wäre so, als würde man vorsorglich mal alle Briefe öffnen und schauen, ob da etwas Verbotenes drin ist", so Spahn. "Das geht nicht, das wird es mit uns nicht geben." Zugleich sei aber klar, dass Kindesmissbrauch bekämpft werden können müsse, betonte der Fraktionschef, und lobte die EU-Initiative. Eine Verordnung müsse Kinder wirksam schützen, "ohne dabei die Sicherheit und Vertraulichkeit individueller Kommunikation zu gefährden".

Knackpunkt ist das Wort "anlasslos". Die Union erteilt damit einer generellen Massenüberwachung eine Absage. Doch auch für eine anlassbezogene Überwachung von verschlüsselten Chats müsste die Technik massiv geschwächt werden, um Dritten Zugang zu den Inhalten zu ermöglichen. Damit wäre die Ende-zu-Ende-Verschlüsselung zwischen den Clients gebrochen.

Der erneute Vorstoß für eine Chatkontrolle wird von der dänischen Ratspräsidentschaft unter dem Banner der Bekämpfung des Kindesmissbrauchs geführt. Das EU-Parlament ist entschieden dagegen, das Grundrecht auf vor staatlichem Zugriff geschützte Kommunikation drastisch einzuschränken. Der EU-Rat der Mitgliedsstaaten sollte ursprünglich in der kommenden Woche darüber abstimmen.

Im Rat hatte bisher eine Minderheit mit Deutschland, Polen, Österreich und den Niederlanden eine Entscheidung verhindert. Sollte einer von den vier umfallen, wäre die Sperrminorität dahin.

Die Bundesregierung hat entschieden: Das Bundesamt für Sicherheit in der Informationstechnik (BSI) soll die Einhaltung des Cyber Resilience Acts (CRA) kontrollieren. Dieser führt für alle möglichen Kategorien vernetzter Geräte Mindestvorschriften für die IT-Sicherheit ein – inklusive Mindest-Updatezeiträumen. Wer die jeweiligen Vorschriften nicht erfüllt, darf seine Geräte in den kommenden Jahren schrittweise nicht mehr in der EU auf den Markt bringen. Damit das funktionieren kann, soll das BSI nun überwachen, ob Hersteller und Importeure die Regeln einhalten. Dass das BSI zuständig sein soll, meldete die Bundesregierung jetzt an die europaweit zuständige EU-Kommission.

Die Behörde werde ihre "Rolle sehr gewissenhaft ausfüllen und darauf achten, dass die Bürgerinnen und Bürger ihre IT-Produkte mit einem sicheren Gefühl nutzen können", kündigte Präsidentin Claudia Plattner an. Der CRA sei ein "Gamechanger für die Sicherheit digitaler Produkte", da damit in der Breite das Cybersicherheitsniveau gesteigert werde, so Plattner. Eine Komplettüberwachung aller vernetzten Geräte ist dabei aber weder praktisch möglich noch gesetzlich vorgesehen. Wie bei der behördlichen Marktüberwachung üblich, will das BSI stattdessen stichprobenartig oder in gezielten Aktionen IT-Produkte auf Cybersicherheit überprüfen.

Bislang war das BSI keine Marktüberwachungsbehörde, auch wenn es mit dem IT-Sicherheitskennzeichen und der Befugnis für Produktwarnungen aus dem BSI-Gesetz schon verwandte Kompetenzen hatte. Im Rahmen des CRA darf die Behörde künftig bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Umsatzes eines Anbieters als Strafe verhängen, je nachdem, welche Summe höher ist. So wie auch bei anderen Marktüberwachungs-Regimen darf das BSI künftig dann auch bei regelwidrigen Produkten ein Vertriebsverbot aussprechen. Zugleich ist das BSI als Konformitätsbewertungsstelle künftig für die Kriterien zuständig, nach denen Dritte die Einhaltung von Sicherheitsvorgaben für die unterschiedlichen Produktkategorien des CRA vergeben. Schnittstellen wird es auch weiterhin zur Bundesnetzagentur geben: Diese ist für einige verwandte Marktüberwachungsaufgaben zuständig, etwa im Bereich der sogenannten Funkanlagen-Richtlinie.

Für die Elektro- und Digitalindustrie sei es eine gute Nachricht, dass die Zuständigkeit nun klar benannt sei, sagt Lennard Kreißl vom ZVEI, der die Unternehmen im Verband bei der Cybersicherheit auf Produktebene gut aufgestellt sieht. "Eben deshalb wünschen wir uns eine starke und umfassende Marktüberwachung, die dazu aber mit genügend Ressourcen und Kapazitäten ausgestattet werden muss", sagt Kreißl auf Anfrage von heise online. Hier müsse das BSI in der Fläche noch aufgestockt werden, fordert der für Cybersicherheit zuständige Manager des ZVEI.

In der Datenbank Redis haben die Entwickler mit einer aktualisierten Softwareversion vier Sicherheitslücken geschlossen. Eine davon erreicht mit einem CVSS-Wert von 10 die maximale Risikobewertung. IT-Verantwortliche sollten ihre Installationen umgehend auf den neuen Stand bringen.

In den Release-Notizen zur Version 8.2.2 nennt das Redis-Projekt die vier Schwachstellen. Angemeldete Nutzer können mit speziell präparierten LUA-Scripten den Garbage Collector manipulieren, eine Use-after-Free-Situation provozieren und so Schadcode aus dem Netz zur Ausführung bringen (CVE-2025-49844 / EUVD-2025-32326, CVSS 10, Risiko "kritisch"). Außerdem können solche LUA-Scripte einein Integer-Überlauf provozieren, was ebenfalls die Ausführung von aus dem Internet eingeschleustem Code erlaubt (CVE-2025-46817 / EUVD-2025-32363, CVSS 7.0, Risiko "hoch").

Die weiteren Lücken sind weniger gravierend. Präparierte LUA-Skripte können außerhalb vorgesehener Speicherbereiche lesend zugreifen oder den Server zum Absturz bringen und so einen Denial of Service verursachen (CVE-2025-46819 / EUVD-2025-32327, CVSS 6.3, Risiko "mittel"). Außerdem können LUA-Skripte andere LUA-Objekte manipulieren und so ihren eigenen Code im Kontext anderer Nutzer ausführen (CVE-2025-46818 / EUVD-2025-32328, CVSS 6, Risiko "mittel").

Die IT-Sicherheitsforscher von Wiz haben zudem eine detaillierte Analyse der gravierendsten Lücken verfügbar gemacht. Da mindestens eine der Schwachstellen als kritisch gilt, sollten Admins umgehend ihre Redis-Instanzen auf den nun aktuellen Stand 8.2.2 oder neuer bringen. Die quelloffene Software steht in aktueller Fassung im Quelltext auf Github bereit.

Die Linux-Distributionen sollten in Kürze aktualisierte Pakete bereitstellen, sodass die Softwareverwaltung der eingesetzten Distribution die Updates ausliefern kann. [Link auf https://access.redhat.com/security/cve/cve-2025-49844]Redhat empfiehlt mangels aktualisiertem Paket derzeit beispielsweise, den Zugriff auf den Server auf vertrauenswürdige Maschinen zu beschränken. Etwa auf der Pwn2Own-Veranstaltung in Berlin hatten die IT-Sicherheitsforscher Sicherheitslücken in Redis ausgemacht und vorgeführt.

Von großen Datenabflüssen im Zusammenhang mit KI liest man aktuell ständig. Doch dieser ist anders; keine Prompt Injection, kein Jailbreak, sondern sträflich vernachlässigte Security-Basics bei der Infrastruktur eines KI-Betreibers – zumindest, wenn man den uns vorliegenden Informationen Glauben schenken darf. Und dafür spricht einiges.

Einmal im Monat veröffentlicht Google eine neue Version des System-Updates für Android. Die Aktualisierung bringt neue Funktionen auf Smartphones und weitere Produkte des Google-Ökosystems wie Tablets, Uhren, Smart-TVs, Android Auto und Chromebooks, ohne dass ein regelrechtes Android-Update vonseiten der Gerätehersteller erforderlich ist.

Sie werden über die Play-Dienste, den Play-Store und Play-System-Updates auf genannte Gerätekategorien direkt von Google verteilt. Einige Funktionen richten sich an Endnutzer, andere an Entwickler. Laut den Versionshinweisen für das Oktober-Update bringt die am 6. Oktober veröffentlichte Version 25.39 der Google-Play-Dienste Neues für die Kontoverwaltung sowie Sicherheitsfunktionen.

Die neue Play-Dienste-Version erweitert außerdem die optionale Funktion "Warnungen zu sensiblen Inhalten" in der Google-Nachrichten-App auf Geräten mit Android 9 und neuer. Bislang konnte die App nur Fotos auf Nacktheit scannen und eine entsprechende Warnung ausspielen. Nun kann Google Messages auch explizite Nacktbilder in geteilten Videos erkennen. Google betont, dass keine Inhalte hochgeladen würden; die notwendige Bilderkennung erfolgt laut Google ausschließlich auf dem jeweiligen Gerät selbst über den Dienst "Android System SafetyCore".

Die seit August verfügbare Nacktscan-Option in Google Messages ist um Videos erweitert worden.

(Bild: heise medien)

Eigentlich unscheinbare Grafiken im Format SVG (Scalable Vector Graphics) dienen bösartigen Akteuren als Einfallstor für Schadsoftware. Die kommen etwa als E-Mail-Anhang an Phishing-Mails auf den Rechner. Microsoft schließt die potenzielle Lücke, indem das Unternehmen Outlook und Outlook for Web nun einfach keine SVG-Grafiken mehr anzeigen lässt.

Das hat Microsoft im MS365-Admin-Center bekannt gegeben. Der weltweite Roll-out dieser Änderung soll bereits Anfang September gestartet und Mitte des Monats beendet worden sein. Für "GCC, GCC-H, DoD, Gallatin" soll die Verteilung Mitte Oktober abschließen. "Inline-SVG-Bilder werden von Outlook for Web und dem neuen Outlook für Windows nicht länger angezeigt. Stattdessen bekommen Nutzerinnen und Nutzer einen leeren Platz zu Gesicht, wo diese Bilder angezeigt werden sollten", erklärt Microsoft.

Das betreffe lediglich weniger als 0,1 Prozent aller Bilder, die in Outlook genutzt würden, daher sollen die Auswirkungen minimal sein. Als klassisch als Anhänge gesendete SVG-Bilder werden hingegen weiter unterstützt und lassen sich als Anhang anzeigen. Diese Änderung soll mögliche Sicherheitsrisiken wie Cross-Site-Scripting-Angriffe abwehren. Admins müssen nichts machen, Microsoft empfiehlt jedoch, die interne Dokumentation um diese Information zu ergänzen sowie Nutzer zu informieren, die auf Inline-SVG-Grafiken in E-Mails setzen.

Mitte des Jahres hatte das österreichische CERT eine Warnung vor bösartigen SVG-Dateien herausgegeben. SVG-Dateien bestehen aus Beschreibungen im XML-Format, können jedoch auch JavaScript-Code enthalten, den die anzeigende Komponente ausführt. Das können Phisher etwa missbrauchen, um Empfänger auf gefälschte Anmeldeseiten zu leiten, direkt falsche Anmeldungen anzuzeigen oder gar Schadsoftware zu installieren.

Das zu Google gehörende Virustotal hat zudem kürzlich eine kolumbianische Malware-Kampagne basierend auf bösartigen SVGs entdeckt. Von Anfang August bis Anfang September seien bei dem Malware-Prüfdienst mehr als 140.000 einzigartige SVG-Dateien eingegangen, von denen 1442 von mindestens einer Antivirensoftware als bösartig erkannt wurden, mithin grob ein Prozent der geprüften Dateien. Allerdings waren unter den 140.000 Bildern auch bösartige SVG-Dateien, die von keinem Malware-Scanner identifiziert wurden. Mit einer KI-Erweiterung "Code Insight" hat Virustotal 44 weitere bösartige SVGs aus dem Fundus gefischt. Diese nutzten Techniken zur Code-Verschleierung, Polymorphismus, sodass jede Datei leichte Änderungen aufwies, sowie große Mengen an nutzlosem Dummy-Code, um statische Erkennung zu erschweren. Bei genauerer Untersuchung entpuppten sich mehrere Dateien als Teil einer Kampagne, deren Mails vorgeben, von der kolumbianischen Generalstaatsanwältin zu stammen. Eine einfache Suche nach Textstellen aus den bösartigen SVGs lieferte 523 weitere Treffer in den vergangenen 365 Tagen.

Zwei Jahre nach der Erweiterung des Bug-Bounty-Programms um KI-Produkte führt nun Google ein eigenes Belohnungsprogramm ein, das speziell darauf ausgerichtet ist, Fehler in KI-Produkten zu finden. Besonders gefährliche Exploits können den Findern bis zu 30.000 Dollar einbringen.

Wie Google in seiner Ankündigung zum neuen KI-Bug-Bounty-Programm schreibt, war die Integration von KI-Themen in das "Abuse Vulnerability Reward Program" (VRP) "ein großer Erfolg für die Zusammenarbeit von Google mit KI-Forschern". Die am "VRP" beteiligten Forscher hätten "einige großartige Entdeckungen gemacht". Externe Forscher hätten für ihre Entdeckungen seit Beginn des KI-Programms über 430.000 US-Dollar an Prämien eingesammelt.

Mit dem am Montag eingeführten KI-Bug-Bounty-Programm hat Google die Anforderungen klarer formuliert: So genüge es nicht, die KI einfach halluzinieren oder Gemini dumm aussehen zu lassen. Die Liste der seitens Google qualifizierten Fehler umfasst etwa Prompt-Injektionen, die für die Angegriffenen unsichtbar sind und den Status des Kontos des Opfers oder eines der verbundenen Produkte verändern.

Zu weiteren unzulässigen Aktionen gehören etwa die Änderung des Kontos oder der Daten einer Person, um deren Sicherheit zu beeinträchtigen oder etwas Unerwünschtes zu tun; beispielsweise, wenn ein Angreifer mithilfe eines manipulierten Google-Kalender-Eintrags intelligente Rollläden öffnet und das Licht ein- oder ausschaltet.

Google bietet Forschern, denen es gelingt, folgenschwere Sicherheitslücken aufzudecken, bis zu 20.000 US-Dollar für gut gemachte Fehlerberichte. Dazu müssen diese die Flaggschiff-KI-Produkte des Unternehmens betreffen, also die Suche, die Gemini-App oder wichtige Workspace-Apps wie Gmail und Drive.

Ein Konglomerat von kriminellen Cybergangs hat eine Leaksite im Darknet veröffentlicht. Dort erpresst es 39 namhafte Unternehmen und droht, aus Salesforce-Systemen kopierte Daten zu veröffentlichen, sollten die Unternehmen kein Lösegeld aushandeln. Zudem droht die Erpressergruppe damit, mit Anwaltskanzleien zusammenzuarbeiten, die zivil- und wirtschaftsrechtliche Ansprüche gegen die Opfer geltend machen sollen.

Auf der Liste der Unternehmen finden sich unter anderem Adidas, ASICS, Cartier, Chanel, Cisco, Disney/Hulu, FedEx, Fujifilm, Google Adsense, HBO Max, Home Depot, IKEA, KFC, Marriott, McDonalds, Puma, Toyota, Stellantis und UPS, aber auch einige Fluglinien sind darunter. Die kriminellen Gruppen arbeiten offenbar unter der Federführung von ShinyHunters zusammen, die Leaksite nennt noch die Cybergang-Namen "Scattered Laspsu$ Hunters", was neben ShinyHunters auf die Cyberbanden Scattered Spider und Lapsus$ hinweist. Google führt sie unter dem Kürzel UNC6040.

Die einzelnen Einträge zu den Opfern listen auf, welche sensiblen Daten entwendet wurden. Außerdem findet sich dort jeweils ein Beispieldatensatz. Als Frist für die Aufnahme von Verhandlungen haben die Kriminellen Freitag, den 10. Oktober, gesetzt. Ein übergeordneter Eintrag – der vierzigste – wendet sich direkt an Salesforce. Die insgesamt rund eine Milliarde Einträge würden die Täter nicht veröffentlichen, sollte das Unternehmen die Cybergangs kontaktieren und Verhandlungen aufnehmen. Dann müssten auch die einzelnen erpressten Unternehmen nicht mehr zahlen.

Bereits im Juni hat Google von der kriminellen Gruppe UNC6040 berichtet, die die Google Threat Intelligence Group (GTIG) beobachtet hat. Die kriminelle Vereinigung greift Unternehmen mit Voice-Phishing-Anrufen an und versucht dabei Zugang zu deren Salesforce-Umgebungen zu erlangen. Im Anschluss stiehlt sie dort Daten und erpresst die Unternehmen damit.

Die Angreifer geben sich bei den betrügerischen Telefonanrufen als IT-Support aus und versuchen, Mitarbeiter mittels Social Engineering zu überzeugen, ihnen Zugriff zu gewähren oder sensible Zugangsdaten zu überlassen. In den beobachteten Fällen haben die Angreifer stets die Endnutzer manipuliert, es kam zu keinem Missbrauch von eventuellen Sicherheitslücken in Salesforce. Im Visier stehen demnach meist Mitarbeiter englischsprachiger Zweige von multinationalen Unternehmen.