Den Auftakt in unserem Wochenüberblick bildet ein Blick auf Infostealer und deren Rolle beim Handel mit Zugangsdaten sowie bei Ransomware-Angriffen. Als Nächstes befasst sich das Tanium-CTI-Team mit den neuesten Daten von Google zu Zero-Day-Exploits. Abschließend gibt das Team einen Überblick über einen neuen Infostealer namens „Gremlin Stealer“.
Datendiebe gefährden die Sicherheit von Unternehmen
KELA hat einen Bericht mit dem Titel „ “ (wird in einem neuen Tab geöffnet) veröffentlicht, in dem die Ergebnisse ihrer Untersuchungen zu Infostealer-Malware zusammengefasst werden, wie diese den Handel mit Zugangsdaten antreibt und wie sie Ransomware-Angriffe ermöglicht.
Zu den wichtigsten Erkenntnissen gehört, dass der Markt für Unternehmenszugangsdaten mittlerweile einen beträchtlichen Teil der Bedrohungslandschaft und des Ökosystems der Cyberkriminalität ausmacht. Unternehmenszugangsdaten sind für Angreifer zu einem wertvollen Gut geworden, da sie weitere Angriffe ermöglichen können.
Zwar können Anmeldedaten auf verschiedene Weise gestohlen werden, doch Malware zum Diebstahl von Daten ist nach wie vor ein äußerst beliebtes Verfahren. Dies liegt daran, dass sie Anmeldedaten in großem Umfang stehlen können und oft leicht zu erwerben sind, wodurch sie für Akteure mit unterschiedlichen Fähigkeiten zugänglich sind.
Wie sich Angriffe mit gestohlenen Zugangsdaten weiterentwickelt haben
KELA stellt fest, dass der Diebstahl von Zugangsdaten immer raffinierter und kommerzieller wird.
Während Cyberkriminalitätsforen bislang die wichtigste Methode für den Kauf gestohlener Zugangsdaten waren, entstehen nun neue Kanäle. Ein Beispiel hierfür sind automatisierte Marktplätze, auf denen Käufer Datenbanken mit gestohlenen Zugangsdaten abfragen können.
Auch Abonnementmodelle werden zunehmend zur Verbreitung von Infostealern und gestohlenen Zugangsdaten genutzt. Cyberkriminelle bieten mittlerweile Abonnements für Dienste mit kompromittierten Zugangsdaten an, wodurch Abonnenten Zugriff auf gestohlene Zugangsdaten erhalten.
Auf welche Art von Mitarbeitern zielen Angreifer am häufigsten ab?
KELA führte weitere Untersuchungen an seiner Sammlung infizierter Rechner und kompromittierter Zugangsdaten durch, um die am stärksten gefährdeten Personen zu ermitteln. Es zeigte sich, dass das Projektmanagement der am stärksten betroffene Bereich war, gefolgt von der Beratung und der Softwareentwicklung. Die Länder, in denen diese Mitarbeiter am häufigsten ins Visier genommen wurden, waren Brasilien, gefolgt von Indien, den Vereinigten Staaten und Spanien.
KELA untersuchte zudem den am stärksten betroffenen Sektor und stellte im Rahmen der Studie „ “ fest, dass Technologie en mit einem Anteil von 14 % der Fälle an der Spitze der Liste standen. Darauf folgten IT-Dienstleistungen, IT-Beratung sowie die Fertigung von „ “.
Inwiefern nutzen Ransomware-Gruppen gültige Konten?
Ransomware-Gruppen nutzen häufig gültige Konten oder gestohlene Zugangsdaten als Methode für den ersten Zugriff im Rahmen ihrer Angriffe. KELA untersuchte die Opfer der Ransomware-Gruppen „Play“, „Akira“ und „Rhysida“ und verglich diese Opfer mit den Daten aus dem eigenen Data Lake, in dem kompromittierte Konten erfasst sind. Auf diese Weise konnten sie feststellen, bei welchen Opfern die Konten durch Infostealer-Malware kompromittiert worden waren.
KELA suchte gezielt nach Konten im Zusammenhang mit VPN, RMM und Active Directory, da diese am meisten gefragt sind. Sie identifizierten mehrere Opfer von Ransomware, deren kompromittierte Zugangsdaten zwischen fünf und 95 Tagen vor der Bekanntgabe des Angriffs weitergegeben worden waren.
Zwar ist nicht bestätigt, dass diese Zugangsdaten bei dem Angriff verwendet wurden, doch weist KELA darauf hin, dass dies „eine erhebliche Bedrohung für Unternehmen darstellt, da sie von Angreifern missbraucht werden können, um sich Zugang zu einem Unternehmen zu verschaffen, den sie dann zur Durchführung ihrer Angriffe, wie beispielsweise Ransomware-Angriffe, nutzen.“
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Die Untersuchungen von KELA verdeutlichen die Gefahren von Infostealer-Malware und zeigen auf, wie diese die übrige Bedrohungslandschaft verschärft.
Bemerkenswert ist, dass der Bericht aufzeigt, welche Mitarbeiter am häufigsten Ziel von Anmeldedaten-Diebstahl sind. Während das Projektmanagement insgesamt die am häufigsten gesuchte Position war, war die Softwareentwicklung die am häufigsten gesuchte Position speziell im Technologiesektor.
Dies bedeutet jedoch nicht, dass andere Positionen vor dieser Gefahr völlig gefeit sind. Dies lässt jedoch die Möglichkeit offen, dass die Akteure bei ihren Versuchen, Zugangsdaten zu stehlen, gezielter vorgehen.
Google verzeichnet 75 Zero-Day-Exploits im Jahr 2024
Die „Threat Intelligence Group“ von Google (wird in einem neuen Tab geöffnet) hat 75 Zero-Day-Schwachstellen erfasst, die im Jahr 2024 ausgenutzt wurden.
Diese Zahl liegt unter den 98 Sicherheitslücken, die Google im Jahr 2023 erfasst hat, ist jedoch geringfügig höher als die von Google im Jahr 2022 festgestellte Zahl.
Google stellte zudem fest, dass die Anzahl der Zero-Day-Schwachstellen, die Unternehmenstechnologien betrafen, im vergangenen Jahr mit 44 % leicht höher lag als im Jahr 2023, als sie bei nur 37 % lag.
Ausrichtung auf Endnutzerplattformen und -produkte
56 % der Zero-Day-Angriffe des vergangenen Jahres richteten sich gegen Endbenutzerplattformen und -produkte. Zu den Sicherheitslücken dieser Kategorie zählen solche, die zum Ausnutzen von Browsern, Mobilgeräten und Desktop-Betriebssystemen genutzt werden.
Die Zahl der Zero-Day-Angriffe auf Browser und mobile Geräte ist deutlich zurückgegangen. Allerdings stieg die Zahl der Zero-Day-Angriffe auf Betriebssysteme an, wobei Windows am häufigsten ins Visier genommen wurde.
Google weist zudem darauf hin, dass Angriffsketten, die mehrere Zero-Day-Schwachstellen kombinierten, am häufigsten für Angriffe auf mobile Geräte genutzt wurden.
Die Rolle anfälliger Unternehmenstechnologien
Im Jahr 2024 wurden 33 Zero-Day-Schwachstellen in Unternehmensprodukten ausgenutzt, vor allem in solchen, die von Unternehmen oder in geschäftlichen Umgebungen eingesetzt werden.
Von den auf Unternehmen ausgerichteten Sicherheitslücken betrafen 20 Sicherheits- und Netzwerkprodukte. Im Allgemeinen hat Google in den letzten Jahren einen Anstieg der Zahl der betroffenen Unternehmensanbieter verzeichnet und im vergangenen Jahr 18 verschiedene Unternehmensanbieter identifiziert, die Ziel von Zero-Day-Angriffen waren.
Ausbeutung durch den Anbieter
Microsoft und Google waren die beiden am stärksten von Zero-Day-Schwachstellen betroffenen Anbieter im Jahr 2024. Ivanti kletterte auf den dritten Platz, während Apple auf den vierten Platz zurückfiel.
Welche Angreifer sind für Zero-Day-Exploits verantwortlich?
Google stellte fest, dass im vergangenen Jahr mehrere Hackergruppen an der Ausnutzung von Zero-Day-Schwachstellen beteiligt waren.
Die größte Gruppe bildeten staatlich geförderte Spionageakteure, auf die 29,4 % der Angriffe entfielen. Innerhalb dieser Gruppe leisteten Akteure mit Verbindungen zur Volksrepublik China (VR China) den größten Beitrag.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Zero-Day-Angriffe stehen für Angreifer weiterhin im Mittelpunkt. Zwar ist die Gesamtzahl der Zero-Day-Schwachstellen im Vergleich zum Vorjahr leicht zurückgegangen, doch haben sich die Trends gewandelt.
Die Analyse von Google liefert hilfreiche Einblicke in diese sich wandelnden Muster. Eine der wichtigsten Erkenntnisse aus dem Bericht von Google ist, dass das Interesse an der Ausnutzung von Technologien für Unternehmen zugenommen hat, wobei die Zahl der Zero-Day-Schwachstellen um 7 % von 2023 auf 2024 gestiegen ist. Wie Google feststellt, ist dies „in erster Linie auf die zunehmende Nutzung von Sicherheits- und Netzwerksoftware sowie entsprechenden Geräten zurückzuführen“.
„Gremlin Stealer“ taucht in einem Untergrundforum auf
Palo Alto hat (wird in einem neuen Tab geöffnet) eine neue Infostealer-Malware namens „Gremlin Stealer“ identifiziert, die derzeit über einen Telegram-Kanal namens „CoderSharp“ verbreitet wird.
Gremlin Stealer kann eine Vielzahl von Daten stehlen, darunter Cookies, Passwörter, Kryptowährungen, Computerinformationen, Dateien, Screenshots und vieles mehr.
Was geschieht mit den gestohlenen Daten?
Der für „Gremlin Stealer“ verantwortliche Akteur gab kürzlich an, eine große Menge gestohlener Daten auf seinen Server hochgeladen zu haben.
Palo Alto geht davon aus, dass es sich bei diesem Server um ein konfigurierbares Portal handelt, das mit Schadsoftware infiziert ist. Auf der Website von „Gremlin Stealer“ werden 14 Dateien angezeigt, bei denen es sich angeblich jeweils um ein Archiv mit Daten handelt, die einem Opfer gestohlen wurden.
Wie funktioniert „Gremlin Stealer“?
Palo Alto beobachtet diese Malware seit dem März 2025 aufmerksam und hat eine Liste ihrer wichtigsten Funktionen zusammengestellt:
- Umgehung von „Cookie v20“: Gremlin Stealer kann den „Cookie v20 “-Schutz von Chrome mithilfe einer gängigen Technik umgehen, die von vielen Infostealern genutzt wird. Laut Palo Alto ( ) hat Google einige Änderungen vorgenommen ( ), um diese Funktion zu unterbinden.
- Untersuchte Browser: Gremlin Stealer sucht nach Cookies und gespeicherten Passwörtern in Chrome-basierten und Gecko-basierten Browsern und schreibt die Daten zur Exfiltration in eine Datei.
- Überprüfung von Krypto-Wallets: Wie viele andere Infostealer sucht auch der „Gremlin Stealer“ auf Geräten nach verschiedenen Kryptowährungs-Wallets und stiehlt die entsprechenden Dateien.
- Diebstahl von FTP-/VPN-Zugangsdaten: Die Malware versucht, mithilfe einer Funktion zum Diebstahl von Zugangsdaten FTP-Benutzernamen und -Passwörter zu stehlen. Außerdem zielt es auf VPN-Zugangsdaten ab.
- Erfassung von Sitzungsdaten: Die Malware versucht, Daten und Sitzungsinformationen aus Telegram und Discord zu erfassen. Bei Infostealern ist dies seltener der Fall.
- Abrufen von Systeminformationen: Wie viele andere Malware-Familien sammelt auch diese Informationen über das infizierte System, darunter Benutzername, Daten aus der Zwischenablage, Hardware-ID usw.
- Kreditkartendiebstahl: „Gremlin Stealer“ kann ebenfalls Kreditkartendaten stehlen.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
„Gremlin Stealer“ gibt es noch nicht sehr lange. Es verfügt jedoch über eine umfangreiche Liste an Funktionen.
Zwar steht noch nicht fest, ob sich „Gremlin Stealer“ ebenso durchsetzen wird wie andere beliebte Infostealer, doch diese Art von Malware ist derzeit in aller Munde, weshalb es sich lohnt, diese Bedrohung im Auge zu behalten.
Für weitere technische Einblicke stellt Palo Alto Ausschnitte (wird in einem neuen Tab geöffnet) des „Gremlin Stealer“-Codes für die einzelnen Funktionen zur Verfügung.
Haben Sie Einblicke in diese Geschichten, die Sie gerne weitergeben möchten? Besuchen Sie , das Tanium-Diskussionsforum (wird in einem neuen Tab geöffnet),sowie , um eine Diskussion zu starten.
Wenn Sie sich weiter informieren möchten, lesen Sie unsere aktuellen Zusammenfassungen zu Cyber-Bedrohungsinformationen aus der Reihe „ “ unter.
