In dieser Woche befasst sich das Cyber Threat Intelligence (CTI)-Team von Tanium mit der Malware „XWorm“, die kürzlich mit mehr als 35 Plugins wieder aufgetaucht ist, darunter eines, das es den Nutzern ermöglicht, Dateien zu verschlüsseln und zu entschlüsseln. Anschließend erläutert unser Team, wie es Microsoft gelungen ist, mehrere raffinierte Bedrohungen, die auf die Teams-Anwendung abzielten, zu identifizieren und zu vereiteln. Abschließend untersuchen wir die aktive Ausnutzung einer kritischen Sicherheitslücke in GoAnywhere Managed File Transfer (MFT).
Die Malware „XWorm“ taucht nach einer Pause erneut mit Ransomware auf
Trellix hat die Entwicklung der Malware „XWorm“ unter verfolgt, die kürzlich wieder aufgetaucht ist, nachdem ihr ursprünglicher Entwickler das Projekt aufgegeben hatte.
XWorm v6 ist ein ausgeklügelter Fernzugriffstrojaner, der ein modulares Plugin-System nutzt, um eine Reihe böswilliger Aktivitäten auszuführen, darunter den Diebstahl von Anmeldedaten, Fernsteuerung und Mechanismen zur Aufrechterhaltung der Präsenz. Diese Version von XWorm bietet verbesserte Tarnung, eine pluginbasierte Ausführung aus dem Arbeitsspeicher sowie die Integration mit anderen Malware-Familien.
Das Ende und das Wiederaufleben von XWorm
Der Entwickler von XWorm löschte sein Konto, nachdem er gegen Ende des Jahres 2024 die Version XWorm V5,6 veröffentlicht hatte, was Forscher zu der Annahme veranlasste, dass es sich dabei um die letzte Version handelte. Im Anschluss an diese Maßnahme begannen andere Akteure damit, geknackte Versionen der Malware zu verbreiten und zu nutzen.
Unter Juni 2025 entdeckten Forscher einen neuen Beitrag, in dem die Veröffentlichung von XWorm V6 angekündigt wurde. Diese Version enthält eine Korrektur für eine in früheren Versionen vorhandene RCE-Sicherheitslücke sowie mehrere weitere Aktualisierungen. Viele Menschen stellten die Frage, ob diese Ankündigung vom ursprünglichen Entwickler der Malware stammte oder ob es sich lediglich um jemanden handelte, der versuchte, aus dem Ruf der Malware Kapital zu schlagen.
XWorm V6: Die neueste Version von XWorm
Trellix hat kürzlich auf VirusTotal eine Zunahme von Proben des XWorm V6 festgestellt.
Kampagnen, bei denen die Malware „ V6 “ zum Einsatz kommt, beginnen mit einer schädlichen JavaScript-Datei, die unter zu finden ist und über Phishing-E-Mails oder schädliche Websites verbreitet wird. Dadurch wird ein PowerShell-Skript heruntergeladen und ausgeführt, das die Antimalware Scan Interface (AMSI) deaktiviert und ein Injektor-Tool installiert. Dieses Tool schleust den Schadcode in ein legitimes Windows-Programm ein. Die endgültige Nutzlast, XWorm V6, stellt anschließend eine Verbindung zu ihrem Command-and-Control-Server (C2) her.
XWorm V6 -Plugins
Die Malware verfügt über einen Befehl namens „plugin“, der es ihren Nutzern ermöglicht, zusätzliche Payloads auszuführen. Bei den Payloads handelt es sich ausschließlich um DLLs, die in den Arbeitsspeicher geladen und dort ausgeführt werden.
Trellix hat den Netzwerkverkehr der C2 Server der Malware protokolliert, um die von der Malware verwendeten Plugins zu erfassen; dies wird im nächsten Abschnitt näher erläutert. Das Unternehmen stellte zudem fest, dass die Malware andere Malware-Familien wie DarkCloud, Phantom Stealer, Remcos RAT und einige weitere ausführte.
Analyse der Plugins von XWorm
XWorm unterstützt nun mehr als 35 Plugins. Dazu gehören unter anderem die Datei „RemoteDesktop.dll“ zum Aufbau von Remote-Sitzungen, Plugins zum Diebstahl von Daten sowie die Datei „FileManager.dll“, die unter anderem Zugriff auf das Dateisystem sowie Funktionen zur Bearbeitung von Dateien ermöglicht.
Die Malware enthält zudem ein Plugin namens „Ransomware.dll“, mit dem Benutzer Dateien verschlüsseln und entschlüsseln können. Wenn der Betreiber dieses Ransomware-Plugin verwendet, kann er festlegen, welches Bild als Desktop-Hintergrund verwendet werden soll, sowie die BTC-Adresse, eine E-Mail-Adresse und die Höhe des Lösegelds.
Trellix geht in dem Bericht näher auf einige dieser Plugins ein – für alle, die sich für technischere Details interessieren.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
XWorm V6 stellt eine Weiterentwicklung im Bereich der modularen Malware dar und ermöglicht es Angreifern, hochgradig zielgerichtete Funktionen mit minimalem Platzbedarf einzusetzen. Die schiere Anzahl der in V6 verfügbaren Module ermöglicht es den Akteuren, die Funktionalität für jedes Ziel individuell anzupassen, was die Erkennung und Bekämpfung von Bedrohungen im Rahmen von „ “ noch komplexer macht.
Die ausgefeilten Persistenztechniken von XWorm, seine Module zum Diebstahl von Anmeldedaten sowie die Integration mit anderen Malware-Familien machen es zu einem leistungsstarken Werkzeug sowohl für Spionage als auch für Finanzangriffe, insbesondere solche, die eine langfristige Kompromittierung beinhalten.
Microsoft wehrt mehrere Angriffe ab, die auf Teams abzielen
Microsoft hat „ “ identifiziert und eine Reihe ausgefeilter Cyberbedrohungen abgewehrt, die auf die Anwendung „Teams“ abzielten. Dazu gehörten „“, Social-Engineering-Angriffe (), die Verbreitung von Malware sowie der Missbrauch von Funktionen zur Zusammenarbeit sowohl durch kriminelle Akteure als auch durch staatliche Akteure.
Auch wenn sie nicht ausschließlich auf Teams zugeschnitten sind, gibt es laut Microsoft einige Open-Source-Frameworks, mit denen sich „weniger sichere Benutzer, Gruppen und Mandanten in Teams auflisten lassen“. Die Open-Source-Tools können verschiedene Aspekte von Microsoft Teams erfassen und sogar den aktuellen Verfügbarkeitsstatus des Benutzers anzeigen, sofern bestimmte Datenschutzeinstellungen nicht aktiviert sind.
Um Microsoft Teams vor Bedrohungen zu schützen, verbessert Microsoft kontinuierlich seine Schutzmaßnahmen gegen gefälschte Entra-ID-Mandanten sowie gegen den Missbrauch kostenloser Mandanten und Testabonnements durch Angreifer. Das Unternehmen skizziert zudem eine mehrschichtige Verteidigungsstrategie, die Identitäten, Endgeräte, Anwendungen und Daten umfasst, um Unternehmen dabei zu unterstützen, sich ständig weiterentwickelnde Risiken proaktiv zu mindern.
Erstzugang
Angreifer nutzen im Rahmen ihres Erstzugangs über Microsoft Teams verschiedene Köder. Ein solcher Köder ist der berüchtigte „Tech-Support“-Betrug, der dazu führt, dass ein Tool zur Fernüberwachung und -verwaltung (RMM) heruntergeladen wird.
Ein Beispiel hierfür ist ein Angriff durch „Storm-1811“, bei dem sich der Angreifer als technischer Support ausgab und versuchte, ein Problem mit großen Mengen an Spam-E-Mails zu beheben, die er selbst verursacht hatte. Anschließend wurden RMM-Tools heruntergeladen und dazu genutzt, Malware und Ransomware zu verbreiten.
Microsoft verweist zudem auf das Beispiel, bei dem sich „Midnight Blizzard“ als technischer Support ausgab, um die Opfer dazu zu bringen, ihre Konten zu verifizieren und Authentifizierungscodes für den Zugriff einzugeben. Deepfakes und KI werden dazu beitragen, dass diese Form des Social Engineering über Teams noch effektiver wird.
Beharrlichkeit
Um diese Angriffe nachhaltig durchzuführen, missbrauchen die Angreifer Verknüpfungen im Autostart-Ordner, um die Ausführung bösartiger Programme zu ermöglichen, und nutzen zudem Barrierefreiheitsfunktionen wie die „Sticky Keys“-Funktion aus. Die Akteure könnten zudem Gastbenutzerkonten innerhalb der Mandanten anlegen, auf die sie Zugriff haben, um den Zugriff aufrechtzuerhalten.
Microsoft weist auf den Fall hin, in dem Storm-2373 die Authentifizierungsabläufe des Gerätecodes ausnutzte, um Authentifizierungstoken abzufangen. Der Täter knüpfte in Teams-Chats Kontakt zu den Opfern, um Vertrauen aufzubauen, bevor er sie dazu aufforderte, sich zu authentifizieren, und das Token stahl.
Ausführung und Rechteausweitung
Administratorkonten sind für Angreifer von Vorteil, da sie über die erforderlichen erweiterten Berechtigungen verfügen, um weitere böswillige Aktivitäten durchzuführen. Abgesehen von diesen Administratorkonten haben es die Angreifer auch auf normale Nutzer abgesehen und verleiten diese dazu, über Teams gesendete Links oder Dateien zu öffnen – ähnlich wie bei E-Mails.
Im Hinblick auf die Ausweitung von Berechtigungen wurde beobachtet, dass Angreifer von ihnen kontrollierte Geräte registrieren und versuchen, Berechtigungsgruppen zu ändern.
Zugriff auf Anmeldedaten
Ein Akteur mit einem gültigen Aktualisierungstoken kann mithilfe der Teams-APIs problemlos die Identität von Benutzern vortäuschen. Es gibt mehrere Tools auf Administratorebene, die von Angreifern dazu missbraucht werden könnten, Token abzufangen. Darüber hinaus könnte der Angreifer „Password Spraying“ einsetzen, um Zugangsdaten zu erlangen.
Entdeckung
Es ist zudem bekannt, dass Angreifer Microsoft Teams zur Erkundung nutzen, indem sie die Konfigurationsdaten von Teams analysieren und die vorhandenen Anwendungen auflisten, sofern sie über entsprechenden Zugriff verfügen.
Microsoft führt das Beispiel von „Void Blizzard“ an, einem Angreifer, der AzureHound nutzte und die Microsoft Entra ID-Konfiguration einer Organisation auflistete. Der Akteur konnte Einzelheiten über Benutzer, Rollen, Gruppen, Apps und so weiter in Erfahrung bringen. Der Schauspieler hatte zudem Zugriff auf einige Teams-Unterhaltungen.
Seitliche Bewegung und Sammlung
Microsoft weist darauf hin, dass ein Angreifer, der sich Administratorrechte für Teams verschafft, potenziell „die Einstellungen für die externe Kommunikation ausnutzen und Vertrauensbeziehungen zwischen Organisationen herstellen könnte, um sich lateral zu bewegen“.
Die Akteure könnten zudem versuchen, Teams nach weiteren Informationen und Daten zu durchsuchen, die für die Verfolgung ihrer Ziele von Nutzen sein könnten.
C2 und Exfiltration
Angreifer werden versuchen, Malware über Teams zu verbreiten, häufig über Dateianhänge. Einige Tools verfügen sogar über spezielle Funktionen zum Erstellen von C2 Kanälen in Microsoft Teams.
Angreifer können auch Teams-Nachrichten zur Datenexfiltration nutzen. Wie Microsoft anmerkt, gibt es Tools, die speziell für diesen Zweck entwickelt wurden.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Die anhaltende Ausnutzung von Microsoft Teams verdeutlicht, wie sehr Kollaborationsplattformen mittlerweile zu einem festen Bestandteil moderner Angriffsflächen geworden sind, sodass Sicherheitsverantwortliche diese mit derselben Sorgfalt behandeln müssen wie herkömmliche Endgeräte und E-Mail-Systeme.
Darüber hinaus macht die Tatsache, dass Angreifer legitime Mieter und Marken nutzen, um Vertrauen zu gewinnen, deutlich, dass die Identitätsprüfung im Rahmen von „ “ über oberflächliche Indikatoren hinausgehen muss, insbesondere in Umgebungen, in denen die Zusammenarbeit mit externen Partnern gang und gäbe ist.
Der Bericht von Microsoft enthält zahlreiche hilfreiche Empfehlungen zur Risikominderung und zum Schutz sowie Informationen zu Defender-Erkennungen und Suchabfragen, die dabei helfen sollen, diese Bedrohung zu identifizieren und sich davor zu schützen.
Storm-1175 nutzt eine kritische Sicherheitslücke in GoAnywhere MFT aus
Microsoft hat festgestellt, dass unter der Kennung „ “ eine kritische Sicherheitslücke (CVE-2025-10035) in GoAnywhere MFT aktiv ausgenutzt wird, die die nicht authentifizierte Remote-Codeausführung über eine gefälschte Lizenzantwort ermöglicht.
Storm-1175, ein finanziell motivierter Angreifer, nutzt diese Sicherheitslücke aktiv aus, um Ransomware zu verbreiten und Daten zu entwenden – was dringende Empfehlungen zur Risikominderung und zur Installation von Patches erforderlich macht.
Über CVE-2025-10035
Im vergangenen Monat wurde eine Sicherheitsempfehlung veröffentlicht, in der die Sicherheitslücke „ CVE-2025-10035 “ im Lizenz-Servlet von GoAnywhere MFT detailliert beschrieben wurde. Diese Sicherheitslücke erhielt einen CVSS-Wert von 10 und könnte zu einer Befehlsinjektion sowie zur Ausführung von Code aus der Ferne führen. Microsoft hat inzwischen festgestellt, dass ein als „Storm-1175“ bezeichneter Angreifer diese Sicherheitslücke ausnutzt.
Bei der Sicherheitslücke handelt es sich um einen Deserialisierungsfehler in der MFT-Lizenz-Servlet-Verwaltungskonsole von GoAnywhere. Die Schwachstelle betrifft Versionen bis einschließlich 7,8,3 und würde „es einem Angreifer ermöglichen, die Signaturprüfung zu umgehen, indem er eine gefälschte Signatur für die Lizenzantwort erstellt, was anschließend die Deserialisierung beliebiger, vom Angreifer kontrollierter Objekte ermöglicht.“ Für die Ausnutzung der Schwachstelle muss sich der Angreifer angeblich nicht authentifizieren, sofern er in der Lage ist, Lizenzantworten zu erstellen oder abzufangen, was das Risiko der Schwachstelle erhöht.
Laut Microsoft könnte diese Sicherheitslücke es Angreifern ermöglichen, System- und Benutzerscans durchzuführen sowie zusätzliche Tools zu installieren – und dabei gleichzeitig einen langfristigen Zugriff aufrechtzuerhalten.
Storm-1175 und CVE-2025-10035
Microsoft hat festgestellt, dass Storm-1175 diese Sicherheitslücke im Rahmen mehrstufiger Angriffe ausnutzt. Um sich zunächst Zugriff zu verschaffen, nutzt der Angreifer die Sicherheitslücke in GoAnywhere MFT aus. Um eine dauerhafte Präsenz zu gewährleisten, setzten sie RMM-Tools ein, deren Binärdateien sie im GoAnywhere-MFT-Prozess ablegten.
Der Angreifer könnte dann Erkundungsbefehle einsetzen und zusätzliche Tools installieren, bevor er sich quer durch das Netzwerk bewegt. Die RMM-Tools wurden erneut für C2 Zwecke eingesetzt, und die Daten wurden verarbeitet. In einem beobachteten Fall wurde zudem die Ransomware „ “ („Medusa“) eingesetzt.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Es ist wichtig zu beachten, dass Storm-1175 bereits vor der öffentlichen Bekanntgabe damit begonnen hatte, die Sicherheitslücke CVE-2025-10035 auszunutzen. Dies zeigt, wie Angreifer immer geschickter darin werden, Zero-Day-Schwachstellen zu identifizieren und für ihre Zwecke zu nutzen – oft schneller, als die Verteidiger reagieren können.
Da GoAnywhere MFT in Unternehmensumgebungen häufig für sichere Dateiübertragungen eingesetzt wird, ist diese Sicherheitslücke ein Paradebeispiel dafür , wie ein einziger Fehler in einem Drittanbieter-Tool weitreichende Auswirkungen haben kann.
Microsoft hat in den Bericht zudem Leitlinien zur Risikominderung und zum Schutz im Zusammenhang mit „ “ aufgenommen: .
Haben Sie Einblicke in diese Geschichten, die Sie gerne weitergeben möchten? Besuchen Sie das Tanium-Diskussionsforum, um eine Diskussion zu starten.
Wenn Sie sich weiter informieren möchten, lesen Sie unsere aktuellen Zusammenfassungen zu Cyberbedrohungen..
