Microsoft beschreibt ein Angriffsmuster, das es als besonders folgenschwer einstuft: Über die externe Zusammenarbeit in Teams geben sich Angreifer als IT- oder Helpdesk-Mitarbeiter aus und bringen Nutzer dazu, eine interaktive Fernsitzung zu gestatten. “Sobald die Fernsteuerung über RMM-Werkzeuge hergestellt ist, nutzt der Angreifer PowerShell, um ein bösartiges MSI-Paket herunterzuladen und still zu installieren”, so der Konzern. Dieses lädt eine portable Node.js-Laufzeitumgebung und ein verschleiertes JavaScript-Implantat nach, das dauerhafte Befehlsausführung und Command-and-Control ermöglicht. Danach folgen Aufklärung in Host und Active Directory, Screenshots des Opfer-Desktops, Nachladen weiterer Schadlast über vertrauenswürdige Windows-Programme und laterale Bewegung per Windows Remote Management in Richtung Domänencontroller.
Unit 42 ordnet eine ähnliche Masche der Operation Spring Ring zu: Was wie ein harmloser Chat wirke, sei tatsächlich ein Vishing-Anruf, bei dem Opfer zur Ausführung von RMM-Werkzeugen oder eigener Schadsoftware gedrängt würden. In einer fortgeschrittenen Variante gingen die Angreifer vom Anruf zu einem vollständigen NTLM-Relay-Angriff auf den Domänencontroller über. 26 verschiedene Angreiferidentitäten wurden identifiziert.
Sophos zählt für die Ransomware-Operation The Gentlemen, intern als Gold Sherwood geführt, bis Ende Juli 2026 insgesamt 683 Opfer, davon 169 allein im Juli. Die Partner arbeiteten flexibel mit Windows-Bordmitteln, kommerziellen und quelloffenen Werkzeugen, EDR-Killern auf BYOVD-Basis und der Manipulation von Backup-Diensten. Das Ransomware-as-a-Service-Programm CRPx0, seit dem 7. Juni 2026 aktiv, verbreitet sich laut Ransom-ISAC Research Team über ClickFix-Köder mit gefälschten Update- und reCAPTCHA-Aufforderungen; die plattformübergreifende Python-Schadsoftware exfiltriert Daten, verschlüsselt mit AES-128-CBC via Fernet und fordert binnen 48 Stunden Bitcoin oder Monero. Der Anbieter F6 wiederum ordnet die neue Gruppe VantaCore, die mindestens sieben russische Unternehmen angriff, einer Umbenennung der pro-ukrainischen Gruppe Thor zu.
Im Phishing-Geschäft bleibt die Plattform Outsider des Akteurs “ChenLun” hartnäckig: Group-IB fand binnen eines Monats nach der Zivilklage von Google gegen die Betreiber über 700 neue Phishing-Seiten. “Was einst technisch anspruchsvoll war, ist auf ein Abonnement und einen Telegram-Kanal reduziert worden”, so Group-IB. ZeroBEC beschreibt zudem den Dienst BlueKit, der Vorstandschefs aus der Finanzbranche über eine Browser-in-the-Middle-Infrastruktur angreift und für 250 Dollar (sieben Tage) bis 940 Dollar (30 Tage) angeboten wird.
Dropbox teilte Reuters mit, man habe unbefugten Zugriff auf Konten festgestellt, die mit einer Lenovo ID ohne aktivierte Zwei-Faktor-Authentifizierung verknüpft waren; alle über Lenovo ID authentifizierten Sitzungen wurden beendet. Lenovo verweist auf eine “veraltete Integration” zwischen Lenovo ID und Dropbox. Das FBI untersucht parallel den am 31. August 2026 im Darknet gestarteten Dienst Nexus, der laut dem Journalisten Brian Krebs Bilder des Identitätsprüfers IDScan.net abgreift und Datensätze für je 100 Dollar freischaltet; kurz nach der Veröffentlichung ging Nexus offline.
Ein israelisches Startup scannte 6.214 Domains von Rüstungszulieferern, Fortune-500- und Big-Tech-Unternehmen und fand 8.265 llms.txt- und llms-full.txt-Dateien. In 120 Fällen verwiesen Installationsanweisungen auf nie registrierte PyPI- oder npm-Pakete. Die Forscher registrierten einige davon; der erste Rückruf traf laut Alon Hertz in weniger als vier Minuten ein. Beim Authentifizierungsanbieter Clerk wurde die Fehlkonfiguration bereits ausgenutzt: Ein Unbekannter registrierte das genannte Paket “clerk-next-fix-auth-protection” und sammelte Benutzer- und Rechnernamen. Clerk hat das Problem behoben.