Threat Digest KW20-21: Kritische Netzwerkinfrastruktur und npm-Ökosystem unter Beschuss

Der Zeitraum steht im Zeichen zweier simultaner Druckachsen: kritische Netzwerkinfrastruktur gerät aktiv unter Beschuss, während das npm-Ökosystem durch die anhaltende Mini-Shai-Hulud-Worm-Kampagne in mehreren Wellen systematisch vergiftet wird. Parallel dazu mehren sich Anzeichen einer konsolidierten Extortion-Economy, in der Datenmärkte und Build-Infrastrukturen gleichermaßen als Angriffspunkte fungieren. Mehrere Rubriken werden durch Proof-of-Concept-Publizierungen zu Linux-Kernel-Schwachstellen verdichtet, deren triviale Ausnutzbarkeit einen erhöhten Patching-Druck auf nahezu alle Linux-Distributionen erzeugt.

Active Exploitation

Microsoft Exchange Server (CVE-2026-42897) wird nach Angaben von Microsoft aktiv in freier Wildbahn ausgenutzt. Die Schwachstelle in On-Premises-Versionen von Exchange Server ist als Spoofing-Bug klassifiziert, der auf einem Cross-Site-Scripting-Fehler basiert; Microsoft weist einen CVSS-Score von 8.1 aus. Microsoft stellt eine temporäre Mitigation über den Exchange Emergency Mitigation Service bereit, während ein permanenter Fix noch aussteht. Angaben zum ausnutzenden Threat Actor, zu Angriffsumfang oder zu betroffenen Zielen liegen dem Vendor zufolge nicht vor. Details zur CVE-2026-42897 sind im NVD einzusehen.

Cisco Catalyst SD-WAN Controller (CVE-2026-20182) wird nach Erkenntnissen von Cisco Talos aktiv in begrenztem Umfang ausgenutzt. Die Schwachstelle ermöglicht einem nicht authentifizierten, remote agierenden Angreifer, die Authentifizierung zu umgehen und administrative Berechtigungen auf dem betroffenen System zu erlangen. Der Threat Actor UAT-8616, dem Talos diese Aktivität mit hoher Konfidenz zuschreibt, versuchte nach erfolgreicher Ausnutzung SSH-Keys hinzuzufügen, NETCONF-Konfigurationen zu modifizieren und Root-Privilegien zu eskalieren. UAT-8616 hatte zuvor CVE-2026-20127 in Cisco-SD-WAN-Systemen ausgenutzt und zeigte dabei ein identisches Post-Compromise-Verhaltensmuster. Ein SD-WAN-Controller bietet aufgrund seiner Position im Vertrauensnetz einer Organisation besonders attraktive Möglichkeiten zur dauerhaften Vorpositionierung.

Cisco Catalyst SD-WAN (CVE-2026-20133, CVE-2026-20128, CVE-2026-20122): Talos identifiziert seit März 2026 mehrere von UAT-8616 unabhängige Cluster, die diese bereits im Februar 2026 gepatchten Schwachstellen auf neue Weise ausnutzen. Die beobachtete Ausnutzung bedient sich in der überwiegenden Mehrzahl der Fälle des öffentlich verfügbaren Proof-of-Concept von ZeroZenX Labs sowie einer zugehörigen JSP-basierten Webshell, die Talos als XenShell verfolgt. Die Webshells und weiteres schädliches Tooling wurden nach erfolgreicher Ausnutzung auf betroffenen Systemen hinterlegt. Cisco-Kunden sind angehalten, die im Februar veröffentlichten Patches umgehend einzuspielen.

Critical Vulnerabilities

Linux-Kernel-Cluster: CopyFail, Dirty Frag, Fragnesia bezeichnet drei innerhalb weniger Wochen veröffentlichte Local-Privilege-Escalation-Schwachstellen im Linux-Kernel, die ausschließlich Zero-Copy-Funktionalitäten betreffen. CVE-2026-31431 (CopyFail) liegt im algif_aead-Crypto-API und wurde am 29. April 2026 mit Proof-of-Concept publiziert; CVE-2026-43284 und CVE-2026-43500 (Dirty Frag) betreffen den xfrm-ESP- und den RxRPC-Submodul-Pagecache und wurden am 7. Mai 2026 veröffentlicht; CVE-2026-46300 (Fragnesia) folgte am 13. Mai 2026. Alle vier Schwachstellen setzen bestehenden lokalen Zugang voraus und erlauben keinen Remote Code Execution, sind nach Angaben der Forscher jedoch trivial ausnutzbar allein mit nativen Python-Standardbibliotheken. Der Umstand, dass sämtliche Schwachstellen mithilfe von Large Language Models entdeckt wurden, deutet auf eine sich beschleunigende Vulnerability-Discovery-Rate in Kernel-Code hin.

SEPPMail Secure E-Mail Gateway ist von mehreren kritischen Schwachstellen betroffen, die in Kombination eine vollständige Remote-Übernahme der Appliance ermöglichen. CVE-2026-2743 (CVSS 10.0) erlaubt einen Path-Traversal-basierten Arbitrary File Write, der zu Remote Code Execution führt; CVE-2026-44128 (CVSS 9.3) ermöglicht unauthentifizierten Remote Code Execution durch direkte Übergabe eines vom Angreifer kontrollierten Parameters an ein Perl-eval-Statement. Weitere CVEs (CVE-2026-44125, CVE-2026-44126, CVE-2026-44127, CVE-2026-44129) ergänzen die Angriffsfläche um fehlende Autorisierungsprüfungen, Deserialisierungsprobleme und Server-Side-Template-Injection. Ein dokumentierter Angriffsweg erlaubt die vollständige Übernahme der Appliance und damit das persistente Mitlesen des gesamten Mail-Traffics. Patches sind ab SEPPMail-Version 15.0.4 verfügbar.

PostgreSQL (CVE-2026-6473) enthält einen Integer-Wraparound in mehreren Serverfunktionen, der einem nicht privilegierten Datenbanknutzer erlaubt, eine Unterbelegung von Speicher zu provozieren und damit Out-of-Bounds zu schreiben. Dem Advisory zufolge kann dies in Anwendungen, die Gigabyte-große Nutzereingaben an die betreffenden Datenbankfunktionen übergeben, zur Ausführung von beliebigem Code als Betriebssystemnutzer des Datenbankdienstprozesses führen. Betroffen sind alle Versionen vor PostgreSQL 18.4, 17.10, 16.14, 15.18 und 14.23, veröffentlicht am 14. Mai 2026. Details zur CVE-2026-6473 sind im NVD einzusehen.

Supply Chain

Mini Shai-Hulud / TanStack-Welle: In einem sechsminütigen Burst am 12. Mai 2026 infizierte die Worm-Kampagne initial 42 npm-Pakete des TanStack-Projekts. Die Kompromittierung wurde nach ca. 20 Minuten durch StepSecurity erkannt, das TanStack direkt benachrichtigte und die betroffenen Pakete einfrieren ließ. Der Shai-Hulud-Worm ist als echte selbstreplizierende Malware konzipiert, die gestohlene npm-Tokens nutzt, um Pakete des kompromittierten Maintainers zu enumerieren, die Tarballs herunterzuladen, den Payload einzubetten und die Pakete unter der Maintainer-Identität neu zu publizieren. Der Stealer-Payload harvested Credentials von über 100 fest kodierten Pfaden, darunter Cloud-Plattformen, CI/CD-Pipelines, KI-Tools, Krypto-Wallets und Shell-History-Dateien. Die jüngste Worm-Version enthält zudem einen Wiper, der mit einer Warnung verbunden ist: Das System werde vollständig gelöscht, sollte das npm-Token des Angreifers widerrufen werden. Systemisolierung vor Token-Revocation ist daher zwingend geboten.

Mini Shai-Hulud / AntV-Welle: In einer weiteren Angriffswelle desselben Musters wurden 639 schädliche Versionen über 323 einzigartige Pakete publiziert, darunter antv-Pakete wie @antv/g2, @antv/g6, @antv/x6 und verwandte Pakete wie echarts-for-react mit rund 1,1 Millionen wöchentlichen Downloads. Als Fallback-Mechanismus nutzte der Worm gestohlene GitHub-Tokens, um öffentliche Repositories unter dem Opfer-Account anzulegen und exfiltrierte Daten als JSON-Datei zu committen. Repositories mit der Beschreibung „niagA oG eW ereH duluH-iahS“ sind ein Sichtbarkeitsindikator für eine erfolgreiche Kompromittierung; aus unserer Lagebeobachtung waren mehr als 2.200 solcher Repositories auf GitHub auffindbar.

node-ipc npm-Paket wurde in den Versionen 9.1.6, 9.2.3 und 12.0.1 mit credential-stehlendem Schadcode ausgestattet, indem ein externer Akteur den Account eines inaktiven Maintainers namens atiertant kompromittierte. Das Paket verzeichnet trotz eines bekannten Vorfalls aus 2022 mehr als 690.000 wöchentliche Downloads. Der obfuszierte Code fingerprints infizierte Systeme, sammelt Umgebungsvariablen sowie sensible lokale Dateien ein, komprimiert die Daten und exfiltriert sie über DNS-TXT-Queries an eine gefälschte Azure-Domain als Bootstrap-Resolver. Das Schadpaket etabliert keine Persistenz und lädt keine Sekundär-Payloads nach; der Fokus liegt auf schneller Credential-Exfiltration.

DAEMON Tools Lite (CVE-2026-8398): Die offiziellen Installationspakete von DAEMON Tools Lite für Windows in den Versionen 12.5.0.2421 bis 12.5.0.2434 wurden zwischen ca. 8. April und 5. Mai 2026 über die legitime Vertriebsinfrastruktur von AVB Disc Soft kompromittiert verteilt. Angreifer erlangten Zugriff auf die Build- oder Distributionsinfrastruktur und trojanisierten die Binaries DTHelper.exe, DiscSoftBusServiceLite.exe und DTShellHlp.exe. Die manipulierten Dateien waren mit dem legitimen Codesigning-Zertifikat von AVB Disc Soft signiert, was signaturbasierte Erkennung unterlief. Details finden sich unter CVE-2026-8398.

Threat Actors & Campaigns

TeamPCP ist der Threat Actor, dem die Shai-Hulud-Worm-Kampagnen zugeschrieben werden. Nach Angaben von Ox Security begann TeamPCP am Tag nach der TanStack-Kompromittierung damit, eine Open-Source-Version des Worm-Codes über mutmaßlich kompromittierte GitHub-Accounts zu veröffentlichen, versehen mit der Beschreibung „A Gift From TeamPCP.“ Bis zur Auswertung wurde dieser Code in einer Version 87 Mal und in einer zweiten Version 15 Mal in separate Repositories kopiert. TeamPCP setzt laut vorliegenden Erkenntnissen Credential Harvesting, Lateral Movement in Kubernetes-Umgebungen und Audio-Steganographie zur Erkennung-Umgehung ein und hat zuvor Trivy, KICS und LiteLLM als Angriffsvektoren genutzt.

CoinbaseCartel, eine Extortionsgruppe, die nach Berichten von Hackmanac und Ransomware.live als Ableger des ShinyHunters-, Scattered-Spider- und LAPSUS-Ökosystems eingestuft wird und sich seit September 2025 betätigt, hat sich zur Kompromittierung von Grafana bekannt. Ein Token gewährte Zugang zur GitHub-Umgebung des Unternehmens und ermöglichte den Download des Codebases. Grafana bestätigte, dass kein Kundendatenzugriff erfolgte und die kompromittierten Credentials invalidiert wurden. Der Angreifer versuchte anschließend das Unternehmen zu erpressen und eine Zahlung zu fordern, was Grafana unter Verweis auf die FBI-Position zu Ransomzahlungen ablehnte. CoinbaseCartel gibt an, sich ausschließlich auf Datendiebstahl und Erpressung zu konzentrieren, nicht auf Systemverschlüsselung.

FrostyNeighbor (auch Ghostwriter, UNC1151, TA445) führt seit März 2026 eine Spearphishing-Kampagne gegen Regierungseinrichtungen in der Ukraine durch. Lure-Dokumente imitieren die ukrainische Telekommunikationsgesellschaft Ukrtelecom; in schädlichen PDFs eingebettete Links liefern ein RAR-Archiv mit einem JavaScript-Payload, der PicassoLoader startet. PicassoLoader wiederum dient als Conduit für Cobalt Strike Beacon. Die Infektionskette beinhaltet eine Geofencing-Prüfung, die nicht-ukrainischen IP-Adressen eine harmlose PDF-Datei ausliefert, sowie ein Fingerprinting des kompromittierten Hosts, das alle 10 Minuten an Angreifer-Infrastruktur übermittelt wird und eine manuelle Selektionsentscheidung für den dritten Dropper-Stufe ermöglicht.

Twill Typhoon / Earth Preta (auch Mustang Panda, G0129) setzt seit September 2025 ein aktualisiertes Arsenal ein, das nach Beobachtungen von Darktrace mindestens bis April 2026 in der Asia-Pacific- und Japan-Region aktiv blieb. Die Kampagne nutzt DLL-Sideloading über legitime Binaries und ruft Konfigurationsdateien sowie schädliche DLLs von Domains ab, die Content-Delivery-Netzwerke imitieren. Das neue .NET-basierte RAT-Framework FDMTP basiert auf dem TouchSocket-Framework über das Duplex Message Transport Protocol; Netzwerkkonfigurationen sind mittels Base64 und DES kodiert und verschlüsselt. FDMTP fungiert als sekundäres Kontrollwerkzeug und wird dem Bericht zufolge häufig über den PUBLOAD-Backdoor nachgeladen.

Tools & Techniques

Tycoon 2FA, das Phishing-as-a-Service-Kit, das im März 2026 durch eine internationale Strafverfolgungsoperation gestört wurde, operiert nach Angaben von Abnormal Security wieder auf normalem Aktivitätsniveau und hat neue Obfuskationsschichten hinzugefügt. In einer im April 2026 beobachteten Kampagne nutzte Tycoon 2FA den OAuth-2.0-Device-Authorization-Grant-Flow, um Microsoft-365-Konten zu kompromittieren. Der Angriff beginnt mit einer rechnungsthematischen Phishing-E-Mail mit einer Trustifi-Tracking-URL; über Cloudflare Workers und mehrere obfuszierte JavaScript-Schichten gelangt das Opfer auf eine gefälschte Microsoft-CAPTCHA-Seite, die einen OAuth-Device-Code abruft und das Opfer zur Eingabe auf microsoft.com/devicelogin auffordert. Nach Abschluss des MFA-Flows durch das Opfer erhält das Angreifer-kontrollierte Gerät Access- und Refresh-Tokens. Das Kit enthält umfangreiche Schutzmaßnahmen gegen Analyse, darunter Erkennung von Selenium, Puppeteer, Playwright und Burp Suite sowie Blocking von Security-Vendors, VPNs und Sandboxes.

Gremlin Stealer ist in einer neuen Variante aufgetaucht, die den finalen Payload in die .NET-Resource-Sektion verschiebt und mittels Single-Byte-XOR-Encoding maskiert, um signaturbasierte und heuristische Scans zu umgehen. Die Variante exfiltriert Browser-Cookies, Session-Tokens, Clipboard-Inhalte, Krypto-Wallet-Daten sowie FTP- und VPN-Credentials und bündelt diese in einem ZIP-Archiv, das nach Upload an die Angreifer-Infrastruktur gelöscht wird. Aus unserer Telemetrie war zum Entdeckungszeitpunkt kein einziger Detection-Treffer für die neue Exfiltrations-Infrastruktur auf VirusTotal vorhanden.

Patches & Advisories

F5 BIG-IP, BIG-IQ und NGINX erhalten Fixes für über 19 High-Severity- und 32 Medium-Severity-Schwachstellen. Die schwerwiegendste gepatchte Schwachstelle ist CVE-2026-42945 (CVSS v4.0: 9.2) im NGINX-Modul ngx_http_rewrite_module: Ein nicht authentifizierter Angreifer kann mit präparierten HTTP-Requests einen Heap Buffer Overflow auslösen, der zu einem Dienstausfall führt; bei deaktiviertem ASLR ist Code Execution möglich. Weiterhin betrifft CVE-2026-41225 (CVSS v4.0: 8.6) die iControl-REST-Schnittstelle und erlaubt einem authentifizierten Nutzer mit mindestens Manager-Rechten, Konfigurationen in unzulässiger Weise zu manipulieren.

Dovecot Security Advisory OXDC-2026-0002: Aki Tuomi veröffentlichte am 12. Mai 2026 über die Full-Disclosure-Mailingliste ein Advisory zu mehreren Schwachstellen im Dovecot Mail Server, darunter CVE-2026-27851, CVE-2026-40016, CVE-2026-33603, CVE-2026-40020, CVE-2026-27857 und CVE-2026-42006. Mail-Server-Betreiber sind angehalten, verfügbare Patches zeitnah einzuspielen.

Policy & Regulation

G7 AI SBOM Guidance: Behörden aus den G7-Staaten (USA, Kanada, Japan, Deutschland, Frankreich, Italien, Vereinigtes Königreich) sowie die Europäische Union haben ein gemeinsames Dokument mit dem Titel „Software Bill of Materials for AI Minimum Elements“ veröffentlicht. Das Dokument definiert sieben Hauptcluster für ein SBOM für KI-Systeme: Metadaten, Modelle, Key Performance Indicators, Infrastruktur, Security Properties, System Level Properties und Dataset Properties. Die Mindestelemente sind ausdrücklich nicht verpflichtend und schaffen nach Aussage der Herausgeber keine rechtlichen Anforderungen. Die Publikation konkretisiert den regulatorischen Erwartungshorizont für KI-Supply-Chain-Transparenz und schließt eine bisher bestehende Lücke in SBOM-Frameworks, die KI-Komponenten bislang nicht explizit adressierten.

Take-Aways

Netzwerkinfrastruktur bleibt das bevorzugte Einfallstor für persistent operierende Threat Actors: Die aktive Ausnutzung von Microsoft Exchange und Cisco SD-WAN zeigt, dass exponierte On-Premises-Systeme ohne zeitnahe Mitigation unmittelbar unter Druck geraten. Die Shai-Hulud-Kampagne belegt, dass ein einziger gestohlener npm-Token ausreicht, um Hunderte von Downstream-Paketen zu vergiften — Organisationen mit automatischem Dependency-Pulling müssen zeitbasierte Deployment-Verzögerungen und integritätsprüfende Pre-Install-Hooks priorisieren. Die trivialen Exploits für den Linux-Kernel-Cluster (CopyFail, Dirty Frag, Fragnesia) erhöhen den Patching-Druck auf praktisch jede Linux-Distribution erheblich; Systeme mit lokalem Nutzerzugang und ausstehendem Kernel-Patch sind als hochriskant einzustufen. Bei einem Verdacht auf Mini-Shai-Hulud-Befall gilt strikt: npm-Tokens erst nach vollständiger Systemisolierung widerrufen, da der eingebettete Wiper andernfalls ausgelöst werden kann.