Comretix Blog

Seit ein paar Tagen läuft ein Supply-Chain-Angriff über die Marktplätze von Visual Studio Code. Betroffen sind sowohl der Marketplace von Microsoft als auch der alternative Open-VSX-Marktplatz der Eclipse Foundation.

Das auf Endpoint-Security spezialisierte Unternehmen Koi hat eine sich selbst verbreitende Schadsoftware entdeckt und GlassWorm getauft. Die Malware greift nicht nur Zugangsdaten ab, sondern nutzt den Zielrechner mit einem Remote-Access-Trojaner als Proxy-Knoten.

Zumindest im Open-VSX-Marktplatz sind nach wie vor infizierte Pakete vorhanden. Wie die im September auf npm gefundene Schadsoftware Shai Hulud vermehrt sich GlassWorm selbst und nutzt dazu neben der Open VSX Registry unter anderem GitHub und npm.

Koi hat die Malware erstmals in der Open VSX Extension CodeJoy entdeckt. Auf den ersten Blick sieht CodeJoy wie eine reguläre Erweiterung aus, die ein paar nützliche Tools mitbringt. In Version 1.8.3 zeigt die Extension dann erstmals verdächtiges Verhalten wie Netzwerkzugriffe, die nichts mit den eigentlichen Funktionen zu tun hatten.

Wer in Visual Studio Code extensions.autoUpdate aktiviert, erhält automatisch Updates aller Extensions, inklusive potenzieller Malware. Dass scheinbar nützliche Software erst per Update Schadcode erhält, ist keine Seltenheit.

Scans von Sicherheitsforschern zeigen, dass weltweit über 70.000 Firewalls von WatchGuard verwundbar und öffentlich über das Internet erreichbar sind. Ein Sicherheitsupdate, das eine "kritische" Lücke schließt, ist verfügbar. Derzeit gibt es noch keine Berichte zu Attacken, Admins sollten mit dem Patchen aber nicht zu lange zögern.

Darauf weisen Sicherheitsforscher von Shadowserver in einem Beitrag hin. Mit mehr als 20.000 Instanzen führen die USA die Liste an. Danach folgt Deutschland mit rund 7000 Firewalls. Die Sicherheitslücke (CVE-2025-9242) ist seit September bekannt. Seitdem gibt es auch Sicherheitsupdates.

An der Schwachstelle können entfernte Angreifer ohne Authentifizierung für Schadcode-Attacken ansetzen. Die betroffenen Firebox-Modelle listet WatchGuard in einer Warnmeldung auf. Die Entwickler versichern, die Schwachstelle in den folgenden Fireware-OS-Versionen geschlossen zu haben:

Ist eine Installation derzeit nicht möglich, müssen Admins ihre Instanzen über einen temporären Workaround absichern.

Ein Gericht in den USA hat das Tech-Unternehmen NSO Group Technologies dazu verpflichtet, den Messengerdienst WhatsApp nicht mehr anzugreifen. Laut dem Hersteller der Überwachungssoftware "Pegasus" gefährdet diese Entscheidung den Geschäftsbetrieb des Unternehmens.

In dem am vergangenen Freitag verkündeten Urteil erließ US-Bezirksrichterin Phyllis Hamilton eine dauerhafte einstweilige Verfügung, die der NSO Group untersagt, WhatsApp-Nutzer ins Visier zu nehmen. Der Fall wurde vor dem Bezirksgericht der Vereinigten Staaten für den nördlichen Bezirk von Kalifornien in Oakland (Az. 19-CV-07123) verhandelt. Zugleich reduzierte das Gericht die dem WhatsApp-Mutterkonzern Meta zugesprochene Schadensersatzsumme von 167 auf "nur noch" vier Millionen US-Dollar. Richterin Hamilton begründete die Entscheidung damit, dass das Verhalten der NSO Group nicht als "besonders schwerwiegend" einzustufen sei und deshalb keinen so hohen Schadensersatz rechtfertige.

Trotz der Reduzierung der Strafzahlung zeigten sich Verantwortliche von WhatsApp erfreut über den Richterspruch. "Das heutige Urteil verbietet dem Spyware-Hersteller NSO, WhatsApp und unsere weltweiten Nutzer jemals wieder ins Visier zu nehmen", erklärte WhatsApp-Chef Will Cathcart in einer Stellungnahme. "Wir begrüßen diese Entscheidung, die nach sechs Jahren Rechtsstreit gefällt wurde, um NSO für die Überwachung von Mitgliedern der Zivilgesellschaft zur Rechenschaft zu ziehen."

Der Rechtsstreit beschäftigt Gerichte seit vielen Jahren. In einer im Oktober 2019 eingereichten Klage warf der WhatsApp-Mutterkonzern Meta NSO Group vor, bei der Installation der Spionagesoftware Pegasus gegen verschiedene Gesetze verstoßen zu haben. So soll NSO Group Anfang 2019 unrechtmäßig auf WhatsApp-Server zugegriffen und dadurch die Überwachung von 1.400 Personen, darunter Journalisten und Menschenrechtsaktivisten, ermöglicht haben.

Im Jahr 2020 lehnte ein Richter den Antrag von NSO Group auf eine Form der Immunität ab. Gegen diese Entscheidung legte das Unternehmen Berufung ein. Ein Berufungsgericht jedoch bestätigte im Jahr 2021 die Entscheidung. Anfang 2023 wiesen schließlich die Richter des US-Supreme Court die Berufung von NSO Group zurück. In dieser hatte das Unternehmen argumentiert, es sei immun gegen eine Klage, weil es bei der Installation der Spionagesoftware als Agent für nicht identifizierte ausländische Regierungen gehandelt habe.

Der Hersteller Verbatim bekommt die Sicherheit seiner als besonders sicher angepriesenen USB-Datenträger offenbar nicht in den Griff. Die drei Modelle "Keypad Secure USB-Stick", "Store 'n' Go Portable SSD" und "Store 'n' Go Secure Portable HDD" verschlüsseln zwar ihre Daten. Allerdings können Fremde die Verschlüsselung umgehen.

Schon im Jahr 2022 fand der Sicherheitsexperte Matthias Deeg von der SySS GmbH gravierende Sicherheitsmängel. Noch im selben Jahr veröffentlichte Verbatim Firmware-Updates, die die Probleme angehen sollten. Eine neue Untersuchung von Deeg zeigt: Die Updates verbessern zwar die Firmware, gehen aber nicht die grundlegenden Probleme an.

SySS teilt die aktualisierten hauseigenen Security-Kennnummern SYSS-2025-015, SYSS-2025-016 und SYSS-2025-017 – CVE-Einträge gibt es dazu (noch) nicht – und nennt ein hohes Risiko. Es stellt sich die Frage, ob Verbatim das grundlegende Hardware-Design überhaupt absichern kann.

Alle drei USB-Medien verwenden das gleiche Prinzip: Im Inneren sitzen ein SATA-Datenträger, ein Brückenchip von USB zu SATA, ein Speicherbaustein für die Firmware und ein Keypad-Controller. Letzterer ist mit einem Tastenfeld verbunden. Das Gerät entschlüsselt seine Daten, wenn der Nutzer die korrekte PIN bestehend aus 5 bis 12 Ziffern eingibt.

Matthias Deeg

Im Zuge der Operation SIMCARTEL haben Europol und Eurojust die IT-Infrastruktur eines Betrügerrings beschlagnahmt. Den Angaben der Ermittler zufolge zeichnen die Kriminellen europaweit für Schäden in Höhe von rund fünf Millionen Euro verantwortlich.

Wie aus einem Bericht von Europol hervorgeht, kam es im Zuge der Operation unter anderem zu fünf Festnahmen. Außerdem wurden Server, 40.000 aktive SIM-Karten und vier Luxusautos beschlagnahmt. Der Großteil der Straftaten geht auf Österreich und Lettland zurück. Andere Kriminelle konnten den Ermittlern zufolge die "Dienste" für ihre Machenschaften nutzen. Das wurde über eine professionelle Website realisiert.

Die Ermittler geben an, dass das Herzstück der IT-Infrastruktur ein Telekommunikationsnetzwerk mit rund 40.000 aktiven SIM-Karten war. Darüber haben die Kriminellen etwa betrügerische Anrufe getätigt und Fake-Accounts bei Webservices erstellt. Dazu gehört unter anderem der Enkeltrick, bei dem ein vermeintlicher Verwandter in einer gefakten Notsituation Opfer kontaktiert, um Vertrauen aufzubauen und letztlich Geld abzustauben.

Zusätzlich wurden Accounts bei Secondhand-Marktplätzen erstellt, um dort zu betrügen. Weiterhin haben die Betrüger für Phishing-Attacken Fakeshops und Bankingwebsites betrieben und sich als Polizeiermittler ausgegeben, um Opfer aufs Glatteis zu locken.

Derzeit bestimmen die Ermittler das Ausmaß der kriminellen Machenschaften. Sie geben an, dass nach jetzigem Kenntnisstand mehr als 49 Millionen Fake-Accounts über das Netzwerk erstellt worden seien. Bei den Ermittlungen haben Estland, Finnland, Lettland und Österreich mitgewirkt.

Netzwerk-Admins sollten zeitnah ihre Security Appliances und Router von Moxa auf den aktuellen Stand bringen. Geschieht das nicht, könnten Angreifer an mehreren Sicherheitslücken ansetzen und Geräte vollständig kompromittieren.

In einer Warnmeldung führen die Entwickler aus, dass sie insgesamt fünf Schwachstellen geschlossen haben. Davon sind drei Lücken (CVE-2025-6950, CVE-2025-6949, CVE-2025-6893) mit dem Bedrohungsgrad "kritisch" eingestuft. Setzen Angreifer erfolgreich an diesen Schwachstellen an, können sie unter anderem aufgrund eines statischen Schlüssels gültige Tokens erzeugen und sich so als beliebiger Nutzer anmelden. Im Anschluss können sie Geräte mit weitreichenden Rechten komplett übernehmen.

In einem anderen Fall können Angreifer mit niedrigen Nutzerrechten Admin-Accounts erstellen und Systeme so kompromittieren. Für eine weitere Attacke muss ein Angreifer ebenfalls bereits authentifiziert sein. Ist das gegeben, kann er aufgrund eines Fehlers bei der Zugangskontrolle System- und Konfigurationsdaten verändern.

Aufgrund eines Fehlers in der Authentifizierungs-API (CVE-2025-6892 "hoch") können Angreifer auf Endpoints mit administrativen Berechtigungen zugreifen. Vor einem Angriff muss sich aber bereits ein legitimer Nutzer angemeldet haben.

Konkret betroffen sind die Produktserien EDR-G9010 Series, EDR-8010 Series, EDF-G1002-BP Series, TN-4900 Series, NAT-102 Series, NAT-108 Series und OnCell G4302-LTE4 Series. Bislang gibt es keine Berichte, dass Angreifer die Lücken bereits ausnutzen. Moxa rät Besitzern von betroffenen Geräten dennoch zu einem zügigen Update auf die gegen die geschilderten Attacken gerüstete Version v3.21.

Nach der Installation der Update-Vorschauen vom Ende September oder der Sicherheitsupdates aus dem Oktober in Windows kann es zu einigen unerwarteten Nebenwirkungen kommen. Microsoft berichtet von fehlschlagender Authentifizierung mit Smartcards, nicht funktionierender Maus und Tastatur in der Windows-Wiederherstellungsumgebung oder dem Fehlschlagen des Ladens von IIS-Webseiten von localhost.

Wie Microsoft in den Windows-Release-Health-Notizen erklärt, kann nach dem Anwenden der Update-Vorschau aus September oder den Patchday-Updates das Laden von Webseiten vom Internet Information Server (IIS) mit Fehlermeldungen wie "Connection reset - error (ERR_CONNECTION_RESET)" oder ähnlichen fehlschlagen. Das tritt bei serverseitigen Anwendungen auf, die auf HTTP.sys aufsetzen. Betroffen sind auch Webseiten, die auf http://localhost/ gehostet sind und andere IIS-Verbindungen. Betroffene Geräte sollen Admins nach Updates suchen lassen, gegebenenfalls verfügbare Aktualisierungen anwenden lassen und im Anschluss das Gerät neu starten – auch, wenn augenscheinlich kein Update verfügbar war. Das Problem hat Microsoft vorerst mit einem "Known Issues Rollback" (KIR) gelöst.

Außerdem funktionieren nach dem Anwenden der Oktober-Sicherheitsupdates USB-Geräte wie Tastaturen und Mäuse nicht mehr in der Windows-Wiederherstellungsumgebung (WinRE), teilt Microsoft mit. Das verhindert das Navigieren in den Wiederherstellungsoptionen. Microsoft bemüht sich, klarzustellen, dass USB-Tastaturen und -Mäuse im Windows-Betriebssystem jedoch normal funktionieren. Eine Lösung will der Hersteller dafür in den kommenden Tagen liefern.

Die Sicherheitsupdates aus dem Oktober können zudem Hakeleien bei der Authentifizierung mit Smartcards auslösen. Wie die Entwickler in den Windows-Release-Health-Notizen schreiben, können Smartcard-Nutzerinnen und -Nutzer Fehlermeldungen wie "Invalid provider type specified" oder "CryptAcquireCertificatePrivateKey error" erhalten. Smartcards werden nicht als Cryptographic Service Provider (CSP) in 32-Bit-Anwendungen erkannt, es lassen sich damit keine Dokumente signieren oder es treten Fehler in Apps auf, die auf Zertifikat-basierte Authentifizierung setzen. Das geht auf eine Verbesserung der Windows-Sicherheit zurück, wodurch der Key Storage Provider (KSP) anstatt des Certificate Service Providers (CSP) für RSA-basierte Smartcard-Zertifikate zum Zuge kommt. Ob die eigenen Smartcards betroffen sind, lässt sich in den System-Ereignisprotokollen an Einträgen mit der Event-ID 624 erkennen – bereits vor der Anwendung der Oktober-Sicherheitspatches.

Admins können sich mit Registry-Änderungen behelfen. Unter dem Zweig HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Cryptography\Calais müssen sie dazu den Eintrag DisableCapiOverrideForRSA auf 0 setzen. Sofern der Schlüssel nicht existiert, muss er angelegt werden. Microsoft nennt den Typ nicht, allerdings ist ein DWORD (32 Bit) hierfür anzunehmen.

Eine Sicherheitslücke in der Proxy-Software Squid kann dazu führen, dass Angreifer an Zugangsdaten gelangen. Die Entwickler stufen das Risiko mit Höchstwertung ein und stellen ein Update bereit, das die Schwachstelle ausbessert. IT-Verantwortliche sollten es zügig installieren.

Die Fehlerbeschreibung der Squid-Programmierer lautet: "Aufgrund einer fehlenden Maskierung der HTTP-Authentifizierungsdaten ist Squid anfällig für Angriffe zur Offenlegung von Informationen." Das Problem erlaube Skripten, Browser-Schutzmaßnahmen zu umgehen und an die Zugangsdaten von Clients zu gelangen. Ein Client aus dem Netz könnte Sicherheitstoken oder Zugangsdaten abgreifen, die Web-Apps intern nutzen, die Squid zum Load-Balancing einsetzen. Die Entwickler weisen zudem darauf hin, dass es zum Missbrauch der Schwachstelle nicht nötig ist, dass Squid mit HTTP-Authentifizierung konfiguriert wurde.

Die Entwickler stopfen das potenzielle Datenleck in Version 7.2 von Squid. Zudem steht der Patch auch für stabile Entwicklungsversionen zur Verfügung. Wer Squid als Paket einer Distribution einsetzt, sollte sich in der Softwareverwaltung nach Updates mit dem Sicherheitspatch umsehen. Als temporäre Gegenmaßnahme geben die Entwickler an, dass Squid-Admins Debug-Informationen in Administrator-Mailto-Links von Squid deaktivieren können. Das erledigt der Eintrag email_err_data off in der Datei squid.conf. Der Dienst liest die geänderte Konfiguration nach einem Neustart ein.

Ob die eigene Instanz verwundbar ist, soll der Aufruf von squid -k parse 2>&1 | grep "email_err_data" aufzeigen. Sofern das Ergebnis lautet email_err_data off, ist die Squid-Instanz nicht anfällig. Alle Squid-Versionen bis einschließlich 7.1 mit email_err_data on sind verwundbar, sowie alle Squid-Fassungen einschließlich 7.1 ohne Rückgabe zu email_err_data, erklären die Programmierer.

Ende 2023 hatte der IT-Sicherheitsforscher Joshua Rogers von 55 Sicherheitslücken im Web-Cache Squid berichtet, von denen zu dem Zeitpunkt noch mindestens 35 offenstanden. Die Programmierer hatten diese sukzessive geschlossen.

China hat den USA Cyberangriffe auf eine zentrale staatliche Zeitbehörde vorgeworfen. Nach Angaben des Ministeriums für Staatssicherheit soll der US-Nachrichtendienst NSA seit März 2022 das Nationale Zeitdienstzentrum in Xi'an angegriffen haben.

Die Angriffe hätten über Sicherheitslücken in den Handys von Mitarbeitern begonnen, später seien auch Computer im Zentrum betroffen gewesen, hieß es in einer Mitteilung über den WeChat-Account des Ministeriums. Dabei soll zuerst eine Sicherheitslücke im Messaging-Dienst von Smartphones einer "ausländischen Marke" ausgenutzt worden sein, schreibt das Ministerium. Diese Marke nennt es jedoch nicht.

Danach sollen zwischen 2023 und 2024 monatelang über gestohlene Anmeldedaten weitere Teile der Zeit-Infrastruktur des Landes angegriffen worden sein. Der Mitteilung des Ministeriums zufolge kamen dabei verschiedenste Werkzeuge zum Einsatz, die über VPNs vor allem in westlichen Ländern betrieben wurden. Ob dies jedoch für eine klare Zuordnung eines Angreifers reicht, ist äußerst fraglich.

Das angegriffene Zentrum ist laut chinesischer Darstellung für die Bereitstellung und Verbreitung der offiziellen Zeit in China zuständig, die Grundlage für den Betrieb von Kommunikationsnetzen, Finanzsystemen und der Stromversorgung ist. Angriffe darauf könnten schwere Störungen verursachen, schreibt das Ministerium.

China hat trotz seiner Größe landesweit nur eine Zeitzone. Aus den USA gab es zunächst keine Reaktion auf die Anschuldigungen, auch nach Anfragen direkt bei der NSA am Wochenende, wie unter anderem Bloomberg berichtet. Beide Seiten werfen sich immer wieder Cyberangriffe vor.

Sotheby's ist bekannt für die Versteigerung hochkarätiger Kunst- und Luxusgegenstände – 2024 wurden insgesamt sechs Milliarden Euro bei Auktionen des Hauses ausgegeben. Nun machte es einen Cyberangriff publik, der sich bereits im Juli diesen Jahres ereignete. Dabei wurden laut dem Auktionshaus Namen, Sozialversicherungsnummern und Bankverbindungen entwendet. Einem Medienbericht zufolge handelt es sich dabei um Daten von Beschäftigten von Sotheby's.

Den Vorfall machte das Auktionshaus jetzt in einer Mitteilung an Maines Generalstaatsanwalt publik, was die örtlichen Gesetze in solchen Fällen vorsehen. Demnach sind zwei Einwohner des US-Bundesstaates Maine sowie, wörtlich, "rund zwei" Einwohner des Bundesstaates Rhode Island. Die genaue Anzahl von Betroffenen dürfte zu diesem Zeitpunkt noch unklar sein. Dem Tech-Portal Bleepingcomputer bestätigte Sotheby's, dass es sich dabei ausschließlich um Beschäftigte des Unternehmens handelt (Stand: 18. Oktober, 17:55 Uhr).

Passiert ist der Cyberangriff demnach am 24. Juli. Entdeckt wurde er jedoch erst am 24. September. Daraufhin habe Sotheby's die betroffenen Daten ausführlich untersucht, um zu klären, welche Daten genau von den Kriminellen erbeutet wurden und auf welche Personen sich die Daten beziehen. Sotheby's bietet den Personen, deren Kreditkarteninformationen erbeutet wurden an, die Kosten für 12-monatiges Monitoring ihrer Kredit- und Identitätsdaten bei einer Wirtschaftsauskunftei zu übernehmen. Die Akteure hinter dem Angriff sind zum jetzigen Zeitpunkt noch unbekannt.

Auch beim Auktionshaus Christie's wurden vor Kurzem Daten durch die Ransomware-Gruppe RansomHub abgegriffen. Die Kriminellen wollten Christie's zu einer Zahlung bewegen, das Auktionshaus weigerte sich jedoch. RansomHub informierte später auf einer eigenen Website, dass die Daten bei einer Auktion von einem anonymen Käufer für eine nicht genannte Summe ersteigert worden seien.

US-Präsident Donald Trump hat Zollvergünstigungen bei in den USA produzierten Autos mit importierten Bauteilen bis zum Jahr 2030 verlängert. Hersteller können dabei bis zu 3,75 Prozent vom Verkaufspreis ihrer Fahrzeuge erstattet bekommen. Die Maßnahme sollte ursprünglich 2027 auslaufen – und der Erstattungs-Anteil vom zweiten Jahr an auf 2,5 Prozent sinken.

Trump hatte die Zölle von 25 Prozent auf importierte Autos und Bauteile im Frühjahr verhängt. Der Präsident verkündete nun auch Zölle auf Importe von Lastwagen und Bussen in die USA. Bei Lastwagen und Bauteilen dafür liegt der Zoll bei 25 Prozent. Wie bei den Autos können Hersteller bis 2030 für in den USA gebaute Fahrzeuge 3,75 Prozent vom Verkaufspreis zurückbekommen. Trump verwies darauf, dass rund 43 Prozent der in den USA verkauften Lastwagen importiert seien. Bei Bussen wurde der Zoll auf zehn Prozent festgelegt.

Mit der Verlängerung der Vergünstigungen geht Trump auf Sorgen von US-Herstellern wie Ford und General Motors ein. Sie sahen vor allem in der Handelsvereinbarung mit Japan, die einen Zoll von 15 Prozent auf dort gebaute Fahrzeuge festlegte, einen problematischen Deal für die amerikanische Industrie. Denn bei in den USA montierten Fahrzeugen liegt der Anteil importierter Bauteile, auf die jedoch Zölle von 25 Prozent fällig werden können, bei 40 bis 50 Prozent.

(Diese E-Mail-Adresse ist vor Spambots geschützt! Zur Anzeige muss JavaScript eingeschaltet sein.)

Noch bis zum 1. Dezember 2025 können ambitionierte Hacker im Rahmen des erstmalig stattfindenden Wettbewerbs Zeroday Cloud (Eigenschreibweise: zeroday.cloud) ihren Exploit-Code einreichen.

Erfolgreichen Teilnehmern winken Preisgelder in Höhe von insgesamt rund 4,5 Millionen US-Dollar, verteilt auf mehr als 20 weitverbreitete Anwendungen, die auf verschiedene Arten eng mit Cloud-Technologien in Verbindung stehen. Dazu zählen etwa das Nvidia Container Toolkit, Kubernetes, Grafana, Docker, Apache Tomcat, PostgreSQL, Jenkins, Gitlab CE und der Linux-Kernel.

Wichtigste Bedingung des vom Cloudsicherheits-Unternehmen Wiz in Zusammenarbeit mit AWS (Amazon Web Services), Google und Microsoft veranstalteten Contests: Es muss sich um einen Zero-Day-Exploit, also einen Angriff auf eine neu entdeckte, bislang unbekannte Lücke handeln. Ferner muss der Angriff letztlich zur vollständigen Kompromittierung des verwundbaren Systems führen ("0-click unauthenticated Remote Code Execution").

Details und Fallstricke bei der Anmeldung

Die gesamte Liste möglicher Angriffsziele nebst Preisgeldern können Interessierte der Website des Zeroday Cloud-Wettbewerbs entnehmen. Dort findet man auch die genauen Teilnahmebedingungen, Anmeldeformulare und weitere Informationen. Vorkonfigurierte Zielsysteme zum Einbinden in Docker haben die Veranstalter in einem eigenen GitHub-Repository hinterlegt.

Teilnehmer, deren Beitrag von der Jury akzeptiert wird, haben die Gelegenheit, ihren Exploit im Rahmen der im Dezember in London stattfindenden Konferenz Black Hat Europe live zu demonstrieren. Gelingt dort der Angriff, haben sie gewonnen. Der betreffende Exploit wird anschließend im Zuge eines Responsible-Disclosure-Verfahrens an den betreffenden Hersteller übermittelt, um diesem ausreichend Zeit zum Schließen der Lücke zu geben.