Wie leicht Vertrauen missbraucht werden kann, zeigt sich auch in diesem ThreatsDay-Überblick: Angreifer geben sich als nützlich aus – als Login-Seite, als „Sicherheits-Scan“ oder als vermeintliche Produktivitäts-App. Je weniger Reibung an der richtigen Stelle entsteht, desto einfacher wird der Einstieg.
In der aktuellen Zusammenstellung rücken besonders zwei Themen in den Mittelpunkt: ein IoT-Botnetz ThreatsDay mit nahezu 296.000 betroffenen Geräten und eine Reihe weiterer Kampagnen, die von Credential-Diebstahl über Botnetz-Workflows bis hin zu neuen Ausnutzungs- und Infektionsketten reichen. Dazu kommt die Warnung, dass sich Patch-Fenster immer weiter verkürzen.
296.000 Geräte: Das IoT-Botnetz im ThreatsDay-Fokus
Ein Botnetz namens Dysphoria hat laut Shadowserver Foundation inzwischen nahezu 296.000 IoT-Geräte kompromittiert. Die Hauptaufgabe des Botnetzes wird als Basis für DDoS-Angriffe beschrieben.
Zusätzlich fällt auf, dass das Botnetz kürzlich auch Residential-Proxy-Funktionalität erhalten hat. Damit steigen sowohl Reichweite als auch Flexibilität für Folgeaktivitäten – etwa beim Verschleiern von Absendern oder beim Unterstützen weiterer Kampagnen.
Steigender Druck im Alltag: Social Engineering bleibt effektiv
Ein Beispiel aus der Praxis: ReliaQuest berichtete, dass ein Mitarbeiter am 22. August 2026 Ziel eines Social-Engineering-Angriffs wurde. Angreifer nutzten eine falsche SSO-Login-Seite, die hinter einem Content-Delivery-Netzwerk betrieben wurde.
Der Ablauf wird als klarer Identitätsangriff beschrieben: Die Täter registrierten eine Domain nach dem Lookalike-Prinzip, starteten die täuschende Login-Seite und kontaktierten dann mehrere Teammitglieder per Telefon – jedes Mal unter Verwendung einer passenden Identität aus dem Sicherheitsumfeld. In mindestens einem Fall führte das dazu, dass ein Passwort eingegeben und eine MFA-Push-Bestätigung am Telefon akzeptiert wurde.
ReliaQuest bewertet den Umfang als nur „view only“ und nennt keine Nutzung von Anwendungen oder Systemen sowie keine Berührung von Kundendaten. Dennoch ordnet das Unternehmen das Vorgehen den Taktiken zu, die in der Vergangenheit bei Erpressungsgruppen beobachtet wurden.
Produktivitäts-Apps als Köder: Malware tarnt sich als „nützlich“
Auch in dieser Woche tauchten trojanisierte Produktivitätsanwendungen auf. Dabei wurden Webseiten genutzt, um Nutzer zum Download einer scheinbar funktionierenden Software zu bewegen. Die betroffenen Programme basieren auf Electron und enthalten Funktionen, die über harmlose Oberfläche hinausgehen.
Die Anwendungen sollen – durch dynamische Ausführung injizierter Skripte – Zugriffsmöglichkeiten schaffen, darunter Desktop-Capture über Electron-APIs. Damit wird aus dem „Tool“ schnell eine Grundlage für spätere Spionage oder Datenerhebung.
Phishing live gesteuert: JWR und das Zusammenspiel mit Zahlungsportalen
Ein weiterer Schwerpunkt ist operator-getriebenes Phishing. Ein Phishing-Framework namens JWR imitiert Checkout- und Login-Seiten verschiedener Payment- und Shopping-Plattformen. Entscheidend ist dabei nicht nur das Absammeln von Formularwerten, sondern die Art der Steuerung während der Sitzung.
Die Beschreibung lautet, dass ein Echtzeit-Mechanismus eine verschlüsselte WebSocket-Verbindung nutzt, um die Sitzung der betroffenen Person dynamisch zu lenken. Laut Cisco Talos zielt das System dabei nicht auf „nur“ Zahlungsdaten, sondern auch auf Identitätsdokumente, sensible Nummern, Bilddaten von Ausweisen sowie Zugangsdaten und 2FA-Codes.
Zusätzlich werden auch Geräteeigenschaften wie Fingerprints erfasst. Damit entsteht ein Setup, das die Hürde für spätere Kontozugriffe senkt, weil mehr Kontext gesammelt wird als bei klassischen Formularstealern.
Botnetze werden „intelligenter“: KI in der operativen Steuerung
Spannend ist auch der Trend, dass KI stärker in Botnetz-Workflows integriert wird. Bei einem AArch64 Linux Peer-to-Peer Botnet namens ToxNetV2 soll ein Large Language Model in den Entscheidungsprozess des Controllers eingebunden sein.
Der Controller sammelt Telemetrie zum infizierten System und übermittelt den Kontext an einen KI-Dienst. Aus den Antworten werden strukturierte Aktionen abgeleitet und anschließend zur Freigabe durch einen Operator in eine Warteschlange gelegt.
Wichtig: Laut den Angaben handelt es sich nicht um vollständige Autonomie oder selbstmodifizierenden Betrieb. Dennoch können nach Freigabe Aufgaben bis hin zu lokalen Kommandos, Dateischreibvorgängen, Persistenz und sogar einem Kompilierungsworkflow reichen.
Infrastruktur-Strategien: C2-Logik wandert auf öffentliche Blockchains
Parallel dazu zeigt sich ein weiterer Ausweichtrend: Kommunikations- und Steuerungswege werden neu gedacht. Bei einem C++ Botnet Loader namens Aeternum soll die C2-Infrastruktur komplett auf die öffentliche Polygon-Blockchain umgestellt worden sein.
Statt zentrale Server oder Domains zu nutzen, schreiben Angreifer laut Palo Alto Networks Unit 42 verschlüsselte und Klartext-Anweisungen direkt über Smart Contracts. Infizierte Geräte sollen dazu kontinuierlich öffentliche RPC-Endpunkte abfragen, um die relevanten Befehle zu erhalten und auszuführen.
Das wird als Kombination aus Dezentralisierung und Ausweichmechanismen beschrieben, inklusive virtueller Maschinen-Erkennung und Antivirus-Scans. Das Ziel ist dabei, Angriffe robuster und zugleich schwerer zu bekämpfen.
Stealer und Remote Access: Neue Familien, neue Wege
Mehrere Nachrichten drehen sich um Credential-Theft und Fernzugriff. Ein Beispiel ist Phantom Stealer, das Browser-Logins, gespeicherte Passwörter, Session-Cookies sowie Informationen aus Krypto-Umgebungen einsammeln kann. Es wird in mehreren Kampagnen gesehen, häufig verteilt über Phishing, „geknackte“ Software und Links, die unter anderem über Plattformen wie Discord oder Telegram gestreut werden.
Als zweite Familie wird Salat Stealer genannt. Dieser soll in Go implementiert sein und neben System-Reconnaissance auch Audio-/Video-Erfassung und Desktop-Streaming nutzen können, um Aktivitäten der Opfer zu beobachten.
Beim Thema Remote Access taucht unter anderem eine neue Komponente im Kontext einer ClickFix-Infektionskette auf: Dabei wird ein legitim signiertes IBM SPSS IDE-Tool missbraucht, dessen Skripting-Engine über eine Kettenlogik einen schädlichen DLL-Load anstößt. Das Ergebnis ist ein Remote-Zugriffstool mit Funktionen wie interaktivem Shell-Zugriff, Dateiverwaltung und Screen-Capture sowie mehreren Persistenzmechanismen.
Patch-Druck steigt: Exploit-Fenster werden kleiner
Abseits einzelner Kampagnen betont Microsoft laut der Zusammenstellung, dass Zeiträume für das Patchen zunehmend schrumpfen. Für Verteidiger bedeutet das: Schwachstellenmanagement und Priorisierung müssen schneller und konsequenter greifen, bevor Angreifer die Lücke zuverlässig ausnutzen.
Die konkrete Folge ist in vielen der beschriebenen Fälle eine Art von „Tempo-Wettlauf“: Social-Engineering, Stealer und Botnetz-Operationen profitieren davon, dass Systeme nicht rechtzeitig geschlossen werden und dass Nutzerinteraktionen weiterhin als Eintrittspunkt dienen.
Was Sie aus dieser Woche praktisch ableiten können
- Identität absichern: Verwenden Sie strenge Kontrollen für Login-Flows und achten Sie besonders auf MFA-Push-Missbrauch.
- IoT konsequent härten: Standard- und Altgeräte sind bevorzugte Ziele. Inventarisieren, aktualisieren und Zugriffe begrenzen.
- Schadsoftware am Ursprung stoppen: Fake-Apps und kompromittierte Downloads funktionieren, weil sie „nützlich“ wirken. Gatekeeping und sichere Installationswege reduzieren das Risiko.
- Patch-Disziplin beschleunigen: Wenn Exploit-Fenster schrumpfen, müssen Freigabe- und Rollout-Prozesse schneller werden.
- Telemetrie und Kontenmonitoring: Stealer und Ransomware-abhängige Ketten hinterlassen Spuren. Frühwarnindikatoren helfen, bevor Schäden groß werden.
Fazit
Der aktuelle ThreatsDay-Überblick macht deutlich: Angreifer kombinieren Tarnung mit Tempo. Das IoT-Botnetz ThreatsDay zeigt, dass nahezu jedes schlecht verwaltete Gerät potenziell Teil eines DDoS-Ökosystems werden kann. Gleichzeitig bleiben Social-Engineering, Phishing-Sitzungssteuerung, Stealer und neue Kommunikations- und Infektionswege zentrale Bausteine moderner Angriffe.
Wer sich jetzt vorbereitet, sollte vor allem an den Schnittstellen ansetzen, an denen Vertrauen am günstigsten zu kaufen ist: Identitäten, Endpunkte, Download-Kanäle und Patch-Zyklen. So reduzieren Sie die Angriffsfläche – bevor die nächste „nützliche“ Maske wieder aufgesetzt wird.
Quelle: https://thehackernews.com/2026/08/threatsday-296k-iot-botnet-100-water.html
