Die kritische Sicherheitslücke in SAP Netweaver, die SAP zur Veröffentlichung aktualisierter Software außerhalb des regulären Patch-Zeitplans veranlasste, wird weiterhin in mehreren Wellen attackiert. IT-Sicherheitsforscher beobachten inzwischen, dass Ransomware-Gruppierungen die Lücke in ihr Repertoire aufgenommen haben.
Die IT-Forscher von EclecticIQ ordnen in einer aktuellen Analyse seit Ende April beobachtete Ransomware-Attacken chinesischen APTs (Advanced Persistent Threats) zu. Sie sehen die Cyber-Spionage-Einheiten UNC5221, UNC5174 und CL-STA-0048 hinter den Angriffen, die Palo Alto Networks etwa mit dem chinesischen Staatssicherheitsministerium verbindet. Die Analyse liefert Einblicke in die einzelnen Angriffe und darin, was die Kriminellen dann nach erfolgreichem Einbruch an Malware und Backdoors installiert haben.
Die Analysten von Reliaquest haben ebenfalls chinesische Bedrohungsakteure ausgemacht. In jüngeren Angriffen beobachteten sie aber auch die russische Ransomware-Bande "BianLian" sowie die Drahtzieher hinter der "RansomEXX"-Ransomware – die Microsoft unter dem Handle "Storm-2460" listet. RansomEXX verteilt dabei eine modulare Backdoor namens "PipeMagic".
Die Attacken sind weltweit zu beobachten. Kriminelle Gruppierungen missbrauchen die Schwachstelle im Visual Composer, durch die Angreifer ohne vorherige Authentifizierung Binärdateien hochladen und dadurch Schadcode auf verwundbaren Systemen ausführen können (CVE-2025-31324 / EUVD-2025-11987, CVSS 10.0, Risiko "kritisch").
IT-Verantwortliche, die die aktualisierte Software noch nicht installiert haben, sollten das Update nun schleunigst nachholen. Beide genannte Analysen bringen auch Indicators of Compromise (IOCs, Hinweise auf Angriffe) mit, anhand derer Admins prüfen können, ob ihre Systeme attackiert wurden.
Ende April hatte SAP die Sicherheitslücke in Netweaver außer der Reihe mit einem Notfall-Update versehen, da sie bereits aktiv angegriffen wurde. Einige Tage später fanden sich noch immer Hunderte verwundbare Server im Netz.
(
Sie haben heise+ bereits abonniert? Hier anmelden.
Oder benötigen Sie mehr Informationen zum heise+ Abo
Kommentare