Diese Woche war geprägt von VMware- und Browserangriffen: Neue Lücken wurden nicht nur gefunden, sondern auch direkt ausgenutzt. Gleichzeitig zeigte sich, dass Angreifer zunehmend über bestehende Zugriffe und „vertrauenswürdige“ Wege in Systeme eindringen – etwa über Browser-Sitzungen oder Techniken, die Sicherheitsannahmen aushebeln.
Der gemeinsame Nenner: Es braucht oft keine Magie. Stattdessen reichen viele kleine Öffnungen, die in Kombination zu größeren Problemen werden. Im Folgenden finden Sie die wichtigsten Entwicklungen aus dem Wochenrückblick, verständlich eingeordnet und mit Blick auf praktische Konsequenzen.
VMware vCenter: Directory-Traversal als Startpunkt
Im Fokus stand eine neu gepatchte Sicherheitslücke in VMware vCenter, die mit hoher Priorität behandelt werden sollte. In Berichten wird ein schwerwiegender Fall von Directory Traversal beschrieben, der sich zu einer Codeausführung missbrauchen lässt.
Die Aktivität soll dabei in Zusammenhang mit einer mutmaßlich China-nahen APT stehen. In einem der kompromittierten Systeme führten die Angriffe unter anderem zur Installation eines Backdoors sowie eines Reverse-SSH-Binaries. Anschließend wurde auch Ransomware beschrieben, die auf Babuk abgeleitet ist.
Wichtig für die Einordnung: Laut den untersuchten Fällen war Ransomware möglicherweise nicht das ursprüngliche Hauptziel, sondern diente als Ablenkung. Zudem könne das Verschlüsseln von Beweismitteln die forensische Aufklärung erschweren. Für Verteidiger bedeutet das: Auch wenn „Ransomware“ sichtbar ist, sollte man die vorausgehende Intrusion besonders gründlich nachverfolgen.
Browser-Sitzungen werden zum Angriffspfad
Während VMware-Ausnutzung auf der Serverseite startet, rückt auf der Client- und Browserseite zunehmend der Zugriff auf authentifizierte Sessions in den Mittelpunkt. Mehrere Themen verdeutlichen, wie stark sich Angriffe auf Browser-Sicherheit verlagern.
Amnesia Stealer: Profile klonen und Browser interaktiv steuern
Eine neu beobachtete macOS-Malware namens Amnesia Stealer nutzt ClickFix-Angriffe, um Informationen aus Browsern und weiteren Quellen abzugreifen. Auffällig ist vor allem die Fähigkeit, ein Chromium-Profil inklusive Authentifizierungsstatus zu kopieren und anschließend in einem „headless“ Browser zu laden.
Zusätzlich enthält die Malware ein Streaming/Remote-Control-Modul: Der Angreifer kann über eine WebSocket-Verbindung nicht nur Befehle senden, sondern auch eine Live-Übertragung der Sitzung nutzen. Dabei wird das Chrome DevTools Protocol (CDP) verwendet, um den Remote-Zugriff zu realisieren. In der Praxis wird dadurch ein infizierter Host zu einer interaktiv bedienbaren, bereits angemeldeten Browser-Umgebung.
CDP als Post-Exploitation-Werkzeug in Chromium-Prozessen
Ergänzend dazu beschreibt eine Analyse von SpecterOps eine Technik, bei der CDP in einem laufenden Chrome- oder Edge-Prozess unter Windows aktiviert werden kann. Voraussetzung ist Codeausführung auf dem kompromittierten System.
Der entscheidende Punkt: Selbst wenn moderne Schutzmechanismen Cookies weniger replaybar machen, bleibt der Wert einer authentifizierten Browser-Session hoch. Sobald CDP aktiviert ist, können Session-Informationen und gespeicherte Daten im Browser-Kontext abgegriffen werden. Der Bericht interpretiert das als Hinweis darauf, dass sich Cookie-Diebstahl zukünftig stärker auf „Session-Zugriff“ statt nur auf Cookie-Datenbanken konzentrieren könnte.
Neue 0-Days und Patch-Dringlichkeit
Abseits von VMware und Browsern zeigte die Woche erneut, wie eng der Zeitrahmen zwischen Patch und realen Angriffen wird. Mehrere Meldungen betreffen kritische Ausnutzung oder frische Schwachstellen, die bereits im Wilden Umfeld auftauchen.
Apple macOS: Screen Sharing für Crypto-Miner missbraucht
Eine gepatchte macOS-Schwachstelle wird aktiv ausgenutzt, um einen Kryptowährungs-Miner zu installieren. Laut Berichten betrifft die Lücke eine Authentifizierungskomponente im Screen-Sharing-Bereich.
Das Problem könnte es einem Angreifer ermöglichen, sich in die integrierte Remote-Desktop-Funktion einzuloggen, obwohl keine gültigen Zugangsdaten vorliegen. In gemeldeten Fällen wurde Root-Zugriff erlangt und ein Monero-Miner platziert.
Lazarus: Windows-Privilegeskalation als Teil von „Operation Dream Job“
Die Lazarus Group wird mit einer neuen 0-Day-Ausnutzung in Verbindung gebracht, die es ermöglicht, Privilegien zu erhöhen. Das betroffene Element ist ein Windows-Treiberbereich rund um AFD.sys.
Die Aktivität soll Teil einer langfristigen Kampagne sein, die mit Social Engineering und gefälschten Jobangeboten arbeitet, um sensible Daten zu stehlen und Malware zu installieren. In den Berichten werden dabei das Überführen von ForestTiger sowie das Bereitstellen einer neuen Backdoor (Troy) genannt.
GeoServer: SQL-Injection unter Angriffsdruck
GeoServer hat Patches für eine kritische SQL-Injection bereitgestellt, die in Richtung Remote Code Execution (RCE) gehen kann. Der Bericht nennt keine endgültige CVE-Nummer, erwähnt aber Versionen, in denen das Problem adressiert wurde. Laut Beobachtungen begann die Ausnutzung schon kurze Zeit nach der Veröffentlichung der Details.
Zusätzlich fällt auf: Die Meldung beschreibt eine relativ kleine IP-Gruppe, aus der viele Angriffsversuche kamen. Das spricht für gezielte Automatisierung oder Test- und Exploit-Routinen, die schnell „skalieren“, sobald ein öffentlich verwertbares Detail existiert.
KI-Assistenz, Cross-Channel-Angriffe und Supply-Chain-Dynamik
Nicht nur klassische Schwachstellen sind Thema. Auch Angriffe auf die Art, wie Systeme Informationen verarbeiten, rücken in den Vordergrund.
GhostSplice: KI-Codierung wird über „Kanäle“ aus dem Tritt gebracht
Eine neue Angriffstechnik namens GhostSplice soll Sicherheitsleitplanken umgehen, die um KI-Coding-Assistants aufgebaut sind. Die Idee: Anfragen werden so aufgeteilt und über getrennte Kanäle eingebracht, dass jede einzelne Teilanweisung für sich betrachtet harmlos wirkt.
In Kombination landen die Inhalte jedoch gemeinsam in einem Speicherblock der KI. Dadurch „setzt“ die KI die Bausteine zu einer zusammenhängenden Anweisung zusammen, ohne dass klar getrennte Quellenkennzeichnungen existieren. Der Bericht beschreibt das als Fragmentierung von Vertrauen über mehrere Kanäle hinweg.
Computer-History in ChatGPT: mehr Kontext, neue Datenschutzfrage
Parallel dazu rollt OpenAI eine Funktion aus, die aus Interaktionen über Apps und Websites eine zeitliche Gedächtnishistorie macht. Damit kann ChatGPT und Codex Arbeitsabläufe besser nachverfolgen, Muster erkennen und wiederkehrende Schritte als „Skills“ oder Automationen unterstützen.
Laut Beschreibung ist die Funktion per Grundeinstellung aus, zumindest für bestimmte Nutzergruppen. Nutzer können außerdem sehen, welche Apps und Websites beitragen, und Sammlung pausieren sowie Historien einsehen oder löschen. Trotzdem zeigt die Entwicklung: Mehr Kontext für KI bedeutet auch mehr Verantwortung für Kontrolle und Datenminimierung.
Praktische Konsequenzen: Was Sie diese Woche konkret prüfen sollten
Aus den Meldungen lassen sich einige handfeste Prioritäten ableiten, unabhängig davon, ob Sie VMware, Browser und Webdienste betreiben oder auf KI-gestützte Entwicklungsprozesse setzen.
- Patch-Status für Server- und Plattformkomponenten prüfen: VMware vCenter, Windows-Komponenten und relevante Web-Server/Frameworks sollten auf aktuelle Versionen gebracht werden.
- Exponierte Dienste reduzieren: Berichte zur Ausnutzung über erreichbare Ports zeigen, dass „öffentlich erreichbar“ ein Risiko-Verstärker ist.
- Forensik nicht bei der sichtbaren Endphase stoppen: Wenn Ransomware auftaucht, sollte man die vorherigen Schritte besonders gründlich untersuchen.
- Browser- und Session-Schutz stärken: Angriffsmodelle, die authentifizierte Sessions missbrauchen, machen starke Authentifizierung, Monitoring und Prozesshärtung noch wichtiger.
- KI-Workflows absichern: Wenn KI-Tools in Entwicklungs- oder Adminprozessen genutzt werden, lohnt sich eine Prüfung, wie Eingaben aus verschiedenen Quellen zusammenlaufen.
Fazit: Kein Einzelereignis, sondern ein Muster
Die Kombination aus VMware- und Browserangriffen sowie frischen Schwachstellen im Wildbetrieb zeigt ein klares Muster: Angreifer profitieren von vorhandenen Zugängen, nutzen Annahmen in der Verteidigung aus und bauen Angriffspfade entlang „vertrauenswürdiger“ Prozesse.
Die beste Reaktion bleibt pragmatisch: schnell patchen, Angriffsflächen reduzieren, Session- und Browser-Schutz ernst nehmen und bei Vorfällen die komplette Kette betrachten. So senken Sie das Risiko, dass aus einer kleinen Lücke am Ende ein großer Vorfall wird.
Quelle: https://thehackernews.com/2026/08/weekly-recap-vmware-exploits-windows-0.html
