Phorpiex: Das Botnet der 125.000 täglichen Infektionen
Das Phorpiex-Botnet (auch als Trik bekannt) hat sich zu einer der hartnäckigsten Malware-Bedrohungen entwickelt. Seine neue Variante “Twizt” nutzt ein hybrides Kommunikationsmodell, das traditionelles HTTP-Polling mit Peer-to-Peer-Protokollen über TCP und UDP kombiniert. Dadurch kann das Botnet Server-Abschaltungen überstehen und bleibt operativ. Mit durchschnittlich 125.000 täglichen Infektionen dominiert Phorpiex Länder wie Iran, Usbekistan, China, Kasachstan und Pakistan. Die Malware fungiert als Verteiler für Cryptocurrency-Clipper, Ransomware-Kampagnen (etwa LockBit Black), hochvolumige Sextortion-Spam und zeigt Wurm-ähnliche Verbreitungsmechanismen über USB- und Netzwerk-Laufwerke. Sicherheitsforscher von Bitsight beschreiben das Botnet als “hochadaptiv und widerstandsfähig”.
Apache ActiveMQ: 13 Jahre versteckte kritische Schwachstelle
Eine Remote-Code-Execution-Lücke (RCE) in Apache ActiveMQ Classic, die 13 Jahre unentdeckt blieb, kann in Kombination mit einer älteren Schwachstelle (CVE-2024-32114) zur Authentifizierungsumgehung führt. Die neue Schwachstelle CVE-2026-34197 (CVSS-Score: 8.8) erlaubt Angreifern, über die Jolokia-API Verwaltungsvorgänge aufzurufen und den Message Broker zum Abrufen und Ausführen von Betriebssystembefehlen zu veranlassen. Besonders kritisch: Standardanmeldedaten (admin:admin) funktionieren in vielen Umgebungen, und in Versionen 6.0.0-6.1.1 ist keine Authentifizierung erforderlich. Adobe hat Fixes für Version 5.19.4 und 6.2.3 bereitgestellt.
Cyberbetrug auf Rekordhöhe: $20,87 Milliarden Gesamtschaden
Das FBI verzeichnet für 2025 Cyberbetrugsverluste von über $17,7 Milliarden, die Gesamtverluste inklusive anderer Formen der Internetkriminalität belaufen sich auf $20,87 Milliarden – ein Anstieg von 26 Prozent gegenüber 2024. Cyberbetrug macht fast 85 Prozent aller gemeldeten Verluste aus. Cryptocurrency-Investitionsbetrug führt mit $7,2 Milliarden an Verlusten, gefolgt von Business-Email-Compromise ($3 Milliarden) und Tech-Support-Betrug ($2,1 Milliarden). 63 neue Ransomware-Varianten verursachten über $32 Millionen Schaden, wobei Akira, Qilin und Lockbit Kritische Infrastrukturen im Gesundheits-, Fertigungs- und Energiesektor angegriffen haben.
DDoS-Angriffe mit KI-Integration: 8 Millionen Attacken weltweit
Netscout dokumentierte zwischen Juli und Dezember 2025 über 8 Millionen DDoS-Attacken in 203 Ländern. Während die Anzahl stabil bleibt, hat sich die Sophistikation dramatisch erhöht. Das TurboMirai-Botnet (inklusive AISURU und Eleven11/RapperBot) ist zur dominierenden Kraft geworden. Besorgniserregend: DDoS-for-Hire-Plattformen integrieren Dark-Web-LLMs und Konversations-KI, was selbst unskillierte Angreifer zu komplexen Multi-Vektor-Angriffen befähigt.
ClickFix und Magecart: Neue Attack-Vektoren
ClickFix-Kampagnen zeigen innovative Techniken: Windows-Varianten liefern Node.js-basierte Infostealer über MSI-Installer, die ihre Stealing-Module nur im RAM laden. macOS-Angriffe umgehen neue Terminal-Sicherheitsfeatures durch das applescript://-URL-Schema und liefern Atomic Stealer. Eine Magecart-Kampagne infizierte 99 Magento-Stores mit unsichtbaren 1×1-Pixel-SVG-Skimmern und stahl Kreditkartendaten.
AI-Sicherheit: Guardrails unter Druck
Forschungen zeigen, dass Anthropics Claude Code durch manipulierte CLAUDE.md-Dateien zu Penetrationstests getrickst werden kann. Grafana-AI-Funktionen wurden durch GrafanaGhost-Attacken mit Prompt-Injection-Techniken ausgenutzt, um unbemerkt sensible Daten zu exfiltrieren. Eine misconfigurierte npm-Komponente offenbarte 512.000 Zeilen Anthropic-Code, was Cyberkriminelle nutzten, um Vidar Stealer und PureLogs Stealer über gefälschte GitHub-Repositories zu verteilen.
Kritische Infrastruktur im Visier
Censys entdeckte 5.219 internet-exponierte Rockwell Automation/Allen-Bradley-Geräte, 74,6 Prozent davon in den USA. Das Joint Advisory US-amerikanischer Behörden warnt vor gezielten Exploits durch iranische Nation-State-Akteure seit März 2026 gegen PLCs in kritischen Infrastrukturen.
Supply-Chain und Zusammenfassung
Die Woche zeigt ein Muster: Attacken folgen Vertrauensbeziehungen. Von manipulierten PyPI-Paketen (hermes-px) über Missbrauch von GitHub als Malware-Kanal bis zur Ausnutzung von Collaboration-Platform-Benachrichtigungen für Phishing – Angreifer nutzen legitime Infrastrukturen als Waffen. Für deutsche Unternehmen heißt das: Patches priorisieren, standardmäßig vertraute Tools kritisch hinterfragen und AI-Integrationen genauer überwachen.