Diese Woche gab es in der Cybersecurity-Landschaft mehrere Meldungen, die zwar nicht überall als Einzelstory im Fokus stehen, aber sehr wohl Einfluss auf das Sicherheitsbewusstsein haben. Im Zentrum steht dabei ein neuer Forschungsansatz rund um kontaktlose Zahlungen: der Zombie Card Angriff. Daneben geht es um aktiv ausgenutzte Schwachstellen, Botnetze, DDoS-Angriffe und weitere Vorfälle, die zeigen, wie schnell sich Bedrohungen weiterentwickeln.
Im Folgenden finden Sie eine verständliche Einordnung der wichtigsten Punkte – mit klaren Takeaways für den Alltag in IT, Sicherheit und Compliance.
Zombie Card Angriff: Kontaktlos zahlen mit abgelaufenen Karten
Forschende haben einen Zombie Card Angriff beschrieben, der angeblich kryptografische Prüfungen aushebelt, um kontaktlose Zahlungen dennoch durchzuführen. Konkret sollen Angreifer physisch abgelaufene Visa-Kreditkarten verwenden können, obwohl die Karte nach Ablaufdatum eigentlich nicht mehr akzeptiert werden dürfte.
Der Ansatz setzt auf eine Smartphone-Relay-Kombination. Dabei wird laut Bericht ein Ablaufdatum so verändert, dass es für das POS-Terminal (Point of Sale) „neu“ wirkt. Der eigentliche Clou liegt in einer Kommunikationslücke zwischen der lokalen Hardware am Kartenleser und der ausstellenden Bank.
Wichtig: Der Zombie Card Angriff scheint nicht mit jeder Kartenausgabe oder jedem Bankensystem zu funktionieren. Außerdem berichten die Forschenden, dass er wohl nicht gegen Mastercard, American Express und Discover funktioniert.
Visa hat auf eine Anfrage zur Stellungnahme im berichteten Kontext nicht reagiert. Für Unternehmen bedeutet das: Auch wenn die Einschränkungen beachtlich sind, zeigt die Studie, dass finanzielle Transaktionsketten weiterhin potenziell neue Angriffspunkte bieten können.
Warum das Thema Zahlungssicherheit jetzt relevant bleibt
Der Zombie Card Angriff ist vor allem deshalb wichtig, weil er eine neue Perspektive auf die Sicherheit kontaktloser Zahlungen liefert: Nicht nur die kryptografische Komponente an sich zählt, sondern auch das Zusammenspiel zwischen Geräten, Terminals und Backend-Prüfungen.
In der Praxis sollten Verantwortliche daher prüfen, wie ihre Prozesse und Systeme Folgendes abdecken:
- Aktualität von Terminal-Firmware und -Konfiguration, soweit vom Zahlungsdienstleister vorgesehen.
- Monitoring für ungewöhnliche Muster, die auf Manipulationsversuche hindeuten könnten.
- Schulung für Support-Teams: Wenn Transaktionen „komisch“ aussehen, braucht es klare Eskalationswege.
Für Verbraucher gilt zusätzlich: Abgelaufene Karten werden zwar im Alltag oft „vergessen“, sind aber weiterhin ein Sicherheits- und Schutzfaktor. Wenn ein Angriff tatsächlich auf Ablaufdaten und bestimmte Kommunikationslogiken zielt, kann die korrekte Kartenverwaltung die Angriffsfläche verkleinern.
CISA warnt vor aktiv ausgenutzter Ray-Schwachstelle
Eine weitere wichtige Meldung betrifft eine Schwachstelle im Ray-Project Ray. Die US-Behörde CISA ordnete an, dass alle Bundesbehörden im zivilen Bereich Priorität auf die Behebung einer schweren Code-Injection-Lücke legen sollen: CVE-2025-62593.
Der Punkt ist nicht nur die Schwere, sondern auch die Realität: Laut Bericht wurde die Schwachstelle nach Beobachtungen in freier Wildbahn in das Known Exploited Vulnerabilities-Katalogsystem aufgenommen. BitSight sah zudem Ausnutzung durch RondoDox, eine Mirai-inspirierte Botnet-Struktur mit einer bemerkenswerten Anzahl unterschiedlicher Exploits, um verwundbare Edge-Geräte zu kompromittieren.
Was IT-Teams daraus ableiten sollten
Wenn Schwachstellen so schnell in „aktiv ausgenutzt“ übergehen, reicht es nicht, nur nach CVEs zu suchen. Entscheidend ist, ob betroffene Systeme im eigenen Umfeld vorhanden sind und ob schnelle Workarounds oder Patches möglich sind. Gerade bei Edge-Geräten lohnt sich die konsequente Inventarisierung und das zeitnahe Patch-Management.
GitHub stellt klar: Kein AI-Fehler bei gefundener Workflow-Schwachstelle
Im Umfeld von Cloud- und Repository-Sicherheit gab es ebenfalls eine Klarstellung: Ein autonomer Agent von Wiz soll in einem öffentlichen Snowflake-Repository eine kritische Schwachstelle in einem GitHub Actions-Workflow gefunden und ausgenutzt haben. Dabei sollen Angreifer unautorisierten Zugriff auf interne Jira-Tickets erlangt haben.
Zunächst war die Vermutung aufgekommen, der fehlerhafte Code sei durch GitHub Copilot eingeführt worden. GitHub widersprach laut Bericht jedoch gegenüber SecurityWeek: Der betreffende Codeausschnitt sei vollständig menschlich verfasst gewesen.
Für Teams ist das eine Erinnerung: Automatisierung und Tools sind nicht automatisch die Ursache, aber sie können Prozesse beschleunigen. Entscheidend bleibt ein sauberer Sicherheits-Workflow für Code Reviews, Policy Checks und Secret-Handling.
Threema: DDoS-Angriffe führen zu Dienstunterbrechungen
Der verschlüsselte Messenger Threema sah sich laut Bericht mit erheblichen Service-Störungen konfrontiert. Auslöser waren mehrere fortgeschrittene, anhaltende DDoS-Angriffe gegen die Infrastruktur des Anbieters sowie dessen Colocation-Partner.
Um den Betrieb zu stabilisieren, setzte das Unternehmen auf spezialisierte Upstream-Traffic-Filter. Damit sollen schädliche Anfragen bereits blockiert werden, bevor sie die eigenen Server überlasten.
Das zeigt: Bei DDoS geht es nicht nur um „Hardening“, sondern auch um die Qualität von Abwehrmaßnahmen in vorgeschalteten Netzsegmenten.
Evooo1Bot: Modularer Linux-Botnet-Ansatz
FortiGuard Labs beobachtet Evooo1Bot, ein stark modulares Linux-Botnet. Es richtet sich laut Bericht gegen internetzugängliche Systeme, indem es mehrere bekannte CVEs ausnutzt. Zusätzlich wird das Botnet als mehr als nur DDoS-Fähigkeit beschrieben: Die Variante soll einen SSH-Bruteforcer besitzen, Crediential Sniffing unterstützen und außerdem einen SOCKS5-Relay-Baustein enthalten.
Damit sollen kompromittierte Hosts zu dauerhaften Proxy-Knoten werden können – also zu einer Art Infrastruktur, die Angreifern dauerhaft bessere Zugriffsoptionen eröffnet.
Angriff stoppen: T-Mobile schneidet Router-Kabel
Eine ungewöhnliche, aber im Bericht als zielgerichtet beschriebene Maßnahme kam von T-Mobile. Um eine aktive Netzwerkintrusion zu stoppen, die 2024 mit dem staatsunterstützten Hacker-Umfeld Salt Typhoon in Verbindung gebracht wurde, schnitten die Sicherheitsmitarbeitenden laut Bericht physisch das Netzwerkkabel eines offenbar kompromittierten Routers an einem Rechenzentrumsstandort in Bellevue.
Die Aktion wurde als Reaktion auf einen laufenden Eindringversuch beschrieben und steht im Kontext einer breiteren Spionagekampagne, die mehrere große US-Carrier betraf.
Auch wenn physische Eingriffe nicht als „Regelfall“ gelten können, verdeutlicht die Meldung: In akuten Lagen kann „Containment“ manchmal schneller sein als langwierige Analyse, sofern Risiken und Ziele klar definiert sind.
Weitere Vorfälle im Überblick
Neben den Hauptthemen gab es weitere Punkte, die das Gesamtbild abrunden:
- TeamPCP meldet sich öffentlich und behauptet eine große Datenexfiltration aus Alation. Genannt wird der Abfluss von 73 Gigabytes sensibler Daten.
- Bei Sakura Internet wurde laut Bericht ein schwerer Datenschutzvorfall in einem Sales-Management-System erkannt, der potenziell Informationen von bis zu 1,36 Millionen Nutzerinnen und Nutzern betreffen könnte.
- Die CISA, das FBI und das HHS warnen vor Medusa-Ransomware, die offenbar gezielt neuere Schwachstellen in Fortra GoAnywhere und BeyondTrust ausnutzt. Zusätzlich werden aktuelle Umgehungstechniken wie der Einsatz von Minidump zum Diebstahl von Zugangsdaten sowie Interactsh-dynamische URLs zur Prüfung erfolgreicher Ausnutzung beschrieben. Laut Meldung wurden bereits über 500 Organisationen der kritischen Infrastruktur getroffen.
Post-Quantum-Sicherheit: NIST-Zertifizierung für Hardware-Modul
Zum Abschluss der sicherheitsrelevanten Highlights: Crypto4A wird als erstes Unternehmen weltweit genannt, das eine FIPS 140-3 Level 3-Validierung für ein HSM-Modul erreicht haben soll, das alle NIST-anerkannten post-quantum kryptografischen Algorithmen unterstützt.
Das QASM-Modul soll eine manipulationsresistente Basis schaffen, um kryptografische Schlüssel vor künftigen Risiken im Zusammenhang mit leistungsfähiger Quantencomputing-Technologie zu schützen.
Auch wenn das Thema technologisch ist, ist die Botschaft praktisch: Wer heute kryptografische Grundlagen sauber plant, senkt später den Migrationsdruck.
Fazit: Was Leser aus den News mitnehmen sollten
Der Zombie Card Angriff zeigt, dass Sicherheitsprüfungen in kontaktlosen Zahlungsketten nicht nur vom Kartenstandard abhängen, sondern auch vom Zusammenspiel zwischen Terminal und Bankkommunikation. Gleichzeitig macht der Rest der Meldungen deutlich: Aktiv ausgenutzte Schwachstellen, modulare Botnetze, DDoS-Abwehr und schnelle Eindämmung bleiben zentrale Themen.
Für IT- und Security-Teams heißt das: Prioritäten sauber setzen, Patch- und Monitoring-Disziplin leben und die eigene Umgebung kontinuierlich auf Realitätsnähe prüfen – nicht nur auf theoretische Risiken.
