In dieser Woche untersucht das Cyber Threat Intelligence (CTI)-Team von Tanium „SystemBC“, ein groß angelegtes Proxy-Botnetz, das sich einer kompromittierten Virtual-Private-Server-Infrastruktur (VPS) bedient, um cyberkriminelle Aktivitäten zu unterstützen, darunter Ransomware und den Diebstahl von Zugangsdaten. Als Nächstes befasst sich das Team mit „ShinyHunters“ – einer finanziell motivierten Gruppe, die Daten erpresst und nun Cloud-Anwendungen von Unternehmen ins Visier nimmt.
Ebenfalls enthalten ist ein Überblick über eine ausgeklügelte Phishing-Kampagne unter dem Namen „ “ ( ), bei der mithilfe von KI-generiertem Code schädliche Payloads in SVG-Dateien verschleiert wurden, um herkömmliche Erkennungsmethoden zu umgehen.
Das SystemBC-Botnetz zielt auf die VPS-Infrastruktur ab
Das Team von Black Lotus Labs bei Lumen Technologies veröffentlicht neue Details zum SystemBC-Botnetz, darunter dessen enorme Reichweite, hartnäckige Infektionen und die Einbindung in verschiedene Dienste von Cyberkriminellen.
Das SystemBC-Botnetz ist seit Jahren aktiv und infiziert täglich Tausende von Systemen. Insbesondere bevorzugt die Malware laut Black Lotus Labs VPS-Infrastrukturen – auf die der Großteil ihrer Opfer entfällt –, um die Bandbreite und die Persistenz zu maximieren.
Wie bei anderen Botnetzen werden auch diese Opfer zu Proxys für bösartigen Datenverkehr. Laut Black Lotus Labs nutzt SystemBC VPS-Systeme anstelle von Privat-IP-Adressen, um „Proxys mit enormem Datenvolumen über längere Zeiträume hinweg anzubieten“.
Forscher haben beobachtet, dass diese Proxys von mehreren Netzwerken genutzt werden. Einer der Hauptnutzer des Botnetzes ist ein Proxy-Netzwerk namens REM Proxy. Dieses Netzwerk wurde in den letzten Jahren mit Ransomware-Akteuren in Verbindung gebracht und bietet seinen Nutzern drei verschiedene Pakete an, wobei das Spitzenpaket angeblich geringe Erkennungsraten aufweist. Der Bericht enthält für Interessierte eine ausführlichere Betrachtung der REM-Proxy- unter .
Zwar konnte kein ursprünglicher Zugriffsvektor ermittelt werden, doch stellte Black Lotus Labs fest, dass bei jedem Opfer etwa 20 ungepatchte CVEs vorlagen, von denen eine oder mehrere als kritisch eingestuft wurden.
Globale Telemetrie und Opferanalyse
Akteure, die dieses Proxy-Netzwerk nutzen, werden zunächst C2 IP-Adressen in Anspruch nehmen, die zu SystemBC gehören. Dadurch wird der Nutzer zu einem der Opfer im Botnetz weitergeleitet. Die Telemetriedaten zeigen, dass SystemBC täglich etwa 1 500 aktive Bots unterhält, wobei sich 80 % davon auf fünf große VPS-Anbieter konzentrieren. Diese Konzentration trägt zu langen Infektionsdauern bei, wobei fast 40 % der Systeme länger als einen Monat kompromittiert blieben.
Bei den VPS-Anbietern wurde kein spezifisches Targeting-Muster festgestellt. Black Lotus Labs stellte jedoch fest, dass die meisten davon Sicherheitslücken enthielten, die leicht ausgenutzt werden konnten. Die Forscher brachten zahlreiche Angriffe mit einer einzigen IP-Adresse in Verbindung, die offenbar Opfer anwirbt.
Proxy-Analyse
Den Betreibern und Nutzern des SystemBC-Botnetzes scheinen Tarnung und Unauffälligkeit nicht sonderlich wichtig zu sein, was daran zu erkennen ist, dass die IP-Adressen weder gewechselt noch verschleiert werden. Das Botnetz legt den Schwerpunkt auf das Volumen.
Bei den meisten Nutzern des Botnetzes handelt es sich um Betreiber, die das Netzwerk nutzen, um WordPress-Zugangsdaten per Brute-Force-Angriff zu knacken – möglicherweise, um diese gewinnbringend zu verkaufen. Das Botnetz bedient zudem einen großen russischen Web-Scraping-Dienst, einen in Vietnam ansässigen VN5Socks -Proxy-Dienst sowie REM Proxy.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Wie Black Lotus Labs hervorhebt, hat sich SystemBC über Jahre hinweg als widerstandsfähig erwiesen und ist zu einem „beständigen Vektor innerhalb der Cyberbedrohungslandschaft“ geworden.
Die Nutzung kompromittierter VPS-Infrastruktur durch SystemBC markiert einen Wandel in der Botnetz-Strategie, bei dem Stabilität und Bandbreite Vorrang vor der Tarnung haben. Dadurch lässt es sich zwar schwerer aufspüren, ist aber möglicherweise leichter nachzuverfolgen, sobald es identifiziert wurde.
Das Fortbestehen von Infektionen und das Fehlen einer IP-Rotation deuten entweder auf operative Nachlässigkeit oder auf einen bewussten Kompromiss hin, bei dem die Angreifer Durchsatz und Zugänglichkeit gegenüber der Tarnung priorisieren und dabei auf die langsame Reaktion der Verteidiger setzen.
ShinyHunters richtet sich an Cloud-Anwendungen für Unternehmen
Laut EclecticIQ nimmt die Gruppe „ShinyHunters“ zunehmend Cloud-Anwendungen von Unternehmen ins Visier, um sensible Daten zu stehlen und die Opfer zur Zahlung von Lösegeld zu zwingen. ShinyHunters kombiniert mittlerweile Taktiken wie KI-gestütztes Voice-Phishing, Angriffe auf die Lieferkette und böswillige Insider, um ihre Angriffe durchzuführen.
ShinyHunters tauchte erstmals im Jahr 2020 auf und ist auf Telegram sowie in englischsprachigen Foren für Cyberkriminelle aktiv. EclecticIQ hat drei Mitglieder der Gruppe „ 2025“ identifiziert, die nach ihrer Einschätzung zu den aktivsten der Gruppe zählen, und dabei festgestellt, dass diese Mitglieder lose Verbindungen zu anderen Gruppen wie „ “, „Scattered Spider“, „The Com“ und „Lapsus$“ unterhalten.
Ein Mitglied, Yukari, gilt vermutlich als Mitglied sowohl der „ShinyHunters“ als auch der „Scattered Spider“. EclecticIQ geht davon aus, dass dieses Mitglied für den ursprünglichen Sicherheitsverstoß, SIM-Swapping-Angriffe sowie „ “-Voice-Phishing verantwortlich ist:. Der Anführer von ShinyHunters, ShinyCorp, rekrutiert seine Mitglieder vermutlich über Akteure aus dem Bereich der Cyberkriminalität. Generell scheint es so zu sein, dass die Mitglieder von ShinyHunters häufig in mehreren Gruppen aktiv sind.
KI-Sprachassistenten und ein „Scattered Spider“-Partnernetzwerk
ShinyHunters hat VoIP-basierte Telefondienste für Vishing-Angriffe genutzt und KI-gestützte Sprachplattformen zur Automatisierung von Social-Engineering-Anrufen im Rahmen von „ “ eingesetzt. So nutzt die Gruppe beispielsweise Bland AI, um „ihre Erzählungen und Taktiken dynamisch und in Echtzeit anzupassen und ihre Antworten während der Telefonate auf die Reaktionen der Opfer abzustimmen“. Der Angreifer kann den Sprachstil so verändern, dass er menschlicher klingt, und das Modell passt seine Tonlage und seine Antworten an, um die Glaubwürdigkeit zu erhöhen.
Nach Angaben des Anführers von ShinyHunters wird der Teil der Angriffe, der über Sprachanrufe erfolgt, von Mitgliedern von „Scattered Spider“ durchgeführt, obwohl einige Mitglieder „The Com“ nutzten. ShinyHunters sucht aktiv nach neuen Mitgliedern für Phishing-Angriffe per Sprachanruf über Telegram-Gruppen.
Vishing-Angriffe auf Nutzer von Cloud-Anwendungen
EclecticIQ geht davon aus, dass die Gruppe zudem Vishing-Angriffe durchgeführt hat, um Salesforce-Anwendungen zu kompromittieren, wobei sie sich als IT-Mitarbeiter ausgab und die Opfer dazu verleitet hat, Verbindungscodes einzugeben und von dem Akteur kontrollierte Anwendungen zu autorisieren. Im Jahr 2025 wurde zudem beobachtet, dass ShinyHunters sich als Okta-SSO-Anmeldeseiten ausgab, um Zugangsdaten zu stehlen.
Es wird vermutet, dass ShinyHunters BrowserStack-API-Schlüssel gestohlen hat, um Entwicklungsumgebungen von Unternehmen anzugreifen. EclecticIQ vermutet zudem, dass die Gruppe es auf die Zero-Trust-Ressourcen von Cloudflare abgesehen hatte.
Insider für die Personalbeschaffung
Ende August veröffentlichte ein Telegram-Kanal namens „scattered LAPSUS$ hunters 4,0” “ eine Rekrutierungsanzeige, in der nach Insidern in Organisationen gesucht wurde, die Zugang zu Systemen wie Okta, Microsoft SSO, Citrix VPN und GitHub gewähren könnten. In dem Beitrag wurden finanzielle Belohnungen als Gegenleistung für den Zugang angeboten.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Falsch konfigurierte Cloud-Dienste und mangelhafte Identitätssicherheit sind für Angreifer zu einer leichten Beute geworden, was deutlich macht, dass Cloud-Umgebungen mit derselben Sorgfalt behandelt werden müssen wie herkömmliche Infrastrukturen.
Die Tatsache, dass die Gruppe auf gestohlene Zugangsdaten zurückgreift, unterstreicht die Bedeutung robuster Strategien zum Identitätsschutz, darunter „ “, MFA (), Richtlinien für den bedingten Zugriff sowie eine kontinuierliche Überwachung, und verdeutlicht, dass die Identität die neue Sicherheitsgrenze darstellt.
Nicht zuletzt macht uns ShinyHunters deutlich, dass SaaS-Lösungen für Unternehmen ein besonders lohnendes Ziel darstellen.
Phishing-Kampagne nutzt KI-generierten Code, um einer Entdeckung zu entgehen
Microsoft hat kürzlich unter eine ausgeklügelte Phishing-Kampagne aufgedeckt, bei der mithilfe von KI-generiertem Code schädliche Payloads in SVG-Dateien verschleiert wurden, um herkömmliche Erkennungsmethoden zu umgehen.
Trotz der ausgeklügelten Taktiken gelang es den KI-gestützten Sicherheitssystemen von Microsoft, die Bedrohung durch die Analyse von Verhaltens- und Kontextsignalen erfolgreich zu identifizieren und abzuwehren.
Taktiken und Nutzlast von Phishing-Kampagnen
Im August deckte Microsoft eine Phishing-Kampagne auf, bei der ein gehacktes E-Mail-Konto genutzt wurde, um Phishing-Nachrichten zu versenden und Zugangsdaten zu stehlen. Der Angreifer hinter dieser Kampagne nutzte eine Taktik mit selbstadressierten E-Mails, sodass Absender- und Empfängeradresse identisch erschienen, während die tatsächlichen Empfänger der Nachricht im BCC-Feld verborgen blieben.
Im Text der Phishing-E-Mail wurde dem Empfänger mitgeteilt, dass ihm eine Datei zur Verfügung gestellt worden sei, und die E-Mail enthielt einen angeblichen Anhang dieser Datei. Die angehängte Datei trug den Namen „ “23mb – PDF – 6 Seiten.svg“ – eine SVG-Datei, die so benannt wurde, um die Opfer glauben zu machen, es handele sich um eine PDF-Datei. Das Öffnen dieser Datei leitet das Opfer auf eine Seite mit einer gefälschten CAPTCHA-Abfrage unter weiter ( ), um Zugangsdaten zu stehlen.
Microsoft hat den SVG-Code analysiert, um dessen Verschleierungsmethoden aufzudecken. Der Code wurde so gestaltet, dass er wie ein Dashboard für die Unternehmensanalyse mit Balkendiagrammen und Monatsbezeichnungen aussieht. Allerdings waren diese auf eine Deckkraft von Null und eine transparente Füllung eingestellt, wodurch sie unsichtbar waren. Die eigentliche Funktionalität der Nutzlast wurde zudem mithilfe von Business-Tools verschleiert.
Microsoft stellte fest, dass das Ziel darin bestand, Nutzer auf eine Phishing-Zielseite umzuleiten, den Browser zu identifizieren und eine Sitzungsverfolgung einzuleiten.
Einsatz von KI zur Analyse der Kampagne
Microsoft geht davon aus, dass der Angreifer möglicherweise KI eingesetzt hat, um die Funktionalität der Nutzlast zu verschleiern. Um diese Theorie zu bestätigen, beauftragten sie Copilot damit, die Datei zu analysieren und festzustellen, ob sie von einer KI erstellt worden war.
Copilot gab an, dass es sehr wahrscheinlich sei, dass es sich bei dem Code um synthetischen Code handele, der entweder von einem LLM oder einem Tool, das ein solches nutzt, generiert wurde. Copilot hat dazu ausdrücklich fünf Belege vorgelegt, darunter:
- Übermäßig beschreibende und redundante Benennung von Funktionen und Variablen
- Modulare und überdimensionierte Codestruktur
- Allgemeine Anmerkungen
- Formelhafte Verschleierungstechniken
- Ungewöhnliche Verwendung von CDATA und XML-Deklaration
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Durch KI erzeugte Verschleierungstechniken stellen einen Wendepunkt in der Raffinesse von Phishing-Angriffen dar. Angreifer ahmen nicht mehr nur menschliches Verhalten nach, sondern nutzen maschinelle Intelligenz, um Code zu erstellen, der schwerer zu erkennen und rückzuentwickeln ist.
Die Verwendung von Fachjargon als Tarnung für Schadcode ist besonders raffiniert, da dabei das Vertrauen in die Fachsprache ausgenutzt wird, um heuristische Filter und das Misstrauen des Menschen zu umgehen.
Die erfolgreiche Erkennung durch Microsoft unterstreicht die Bedeutung der verhaltensbasierten Analyse gegenüber der statischen Code-Prüfung, insbesondere da KI-generierte Bedrohungen zunehmend kontextbezogene Merkmale aufweisen. Microsoft hat zudem unter Empfehlungen, Defender-Erkennungen und Suchabfragen veröffentlicht, die bei der Identifizierung dieser Bedrohung helfen sollen.
Haben Sie Einblicke in diese Geschichten, die Sie gerne weitergeben möchten? Besuchen Sie das Tanium-Diskussionsforum unter, um eine Diskussion zu starten.
Wenn Sie sich weiter informieren möchten, lesen Sie unsere aktuellen Zusammenfassungen zu Cyber-Bedrohungen..
