TÄGLICHES BRIEFING
Rhysida greift Berliner Verwaltung an, während Aurora-Ransomware-Betreiber Cursor AI missbrauchen.
Das heutige Briefing behandelt den Datendiebstahl durch die Rhysida-Ransomware in Berlin, die Aurora-Ransomware-Betreiber, die Cursor AI einsetzen, und ValleyRAT, das als Adware getarnt ist, um Antiviren-Ausschlüsse zu umgehen.
5 Meldungen2 Min. Lesezeit
Cyberkriminelle Gruppen nutzen zunehmend legitime Verwaltungstools und KI-Plattformen, um ihre Abläufe zu optimieren und Sicherheitskontrollen zu umgehen. Jüngst attackierten die Betreiber der Rhysida-Ransomware die Berliner Stadtverwaltung, während die mit der Aurora-Ransomware verbundenen Akteure den KI-Programmierassistenten Cursor einsetzten, um Angriffe auf Zielnetzwerke zu planen.
Gleichzeitig ist die Endpunktsicherheit zunehmenden Risiken durch Softwareentscheidungen der Nutzer und lokale KI-Agenten ausgesetzt. Die Silver Fox-Gruppe wurde dabei beobachtet, wie sie die ValleyRAT-Backdoor in signierten Adware-Anwendungen wie QN Wallpaper einsetzte und dabei Nutzer ausnutzte, die solche Tools zu den Ausnahmen ihres Antivirenprogramms hinzugefügt hatten.
Sicherheitsteams müssen der Endpunktverwaltung Priorität einräumen, lokale Ausschlüsse strikt verwalten und die Aktivitäten von KI-Agenten transparent machen, um diesen sich ständig weiterentwickelnden Bedrohungsvektoren entgegenzuwirken.
Berlin bestätigt Datendiebstahl nach Rhysida-Ransomware-Angriff
Die Berliner Stadtverwaltung bestätigte, dass Cyberkriminelle versuchen, die Stadt zu erpressen, nachdem die Rhysida-Ransomware-Gruppe sie nach einem Datendiebstahl auf ihrer Datenleck-Website gelistet hatte.
Die ValleyRAT-Hintertür versteckt sich in signierter Adware, die Benutzer zu den Antiviren-Ausnahmen hinzufügen.
Der Bedrohungsakteur Silver Fox verbreitet die ValleyRAT-Backdoor, getarnt als QN Wallpaper, eine signierte chinesische Adware-App. Die Schadsoftware läuft unter Nutzung vertrauenswürdiger Prozesse, um auf Endgeräten, auf denen Benutzer die Adware zu den Ausnahmen ihres Antivirenprogramms hinzugefügt haben, nicht erkannt zu werden.
Aurora-Ransomware-Betreiber nutzen Cursor-KI bei Angriffen auf 10 Ziele.
Die mit der Aurora-Ransomware in Verbindung stehenden Angreifer nutzten den KI-gestützten Programmierassistenten Cursor, um Angriffe gegen über 20 Organisationen zu planen. Ein ungeschütztes Verzeichnis enthüllte monatelange Aktivitäten und durchgesickerte Angriffswerkzeuge.
- Warum das wichtig ist
- Cyberkriminelle Gruppen nutzen agentenbasierte KI-Tools, um die Durchführung von Angriffen und die Planung von Netzwerkangriffen auf Unternehmensziele zu optimieren.
Sicherung des Claude-Codes: Die neue Compliance-API, lokale Transparenz und Identitätsmanagement
Anthropic hat neue Compliance-API-Endpunkte für Claude Code eingeführt, um Sicherheitsteams bei der Überwachung des lokalen Dateizugriffs, der Ausführung von Shell-Befehlen und der Tool-Nutzung zu unterstützen. Lokale KI-Agenten machen derzeit 68,6 % der in Kundenumgebungen eingesetzten KI-Agenten aus.
- Warum das wichtig ist
- Lokale KI-Agenten laufen auf Endpunkten, die Mitarbeiteranmeldeinformationen und Netzwerkberechtigungen erben, wodurch eine Aktivitätsüberwachung erforderlich wird, um unkontrollierten Zugriff zu verhindern.
Microsoft gibt an, dass das Windows 11-Update KB5120998 die Mauseinstellungen zurücksetzt.
Microsoft bestätigte, dass die Installation des nicht sicherheitsrelevanten Vorschauupdates KB5120998 vom August 2026 für Windows 11 dazu führt, dass die Mauseinstellungen automatisch auf die Standardwerte zurückgesetzt werden.
Die wichtigsten Punkte
- Berlin bestätigte Datendiebstahl nach Ransomware-Erpressungsversuchen der Rhysida-Gruppe.
- Die Betreiber der Aurora-Ransomware nutzten den KI-Programmierassistenten Cursor, um Netzwerkangriffe zu planen.
- Silver Fox setzte ValleyRAT innerhalb der signierten QN Wallpaper-Adware ein, um die Ausschlüsse des Antivirenprogramms zu umgehen.
- Lokale KI-Agenten wie Claude Code benötigen Identitätsmanagement und Kontrollen zur Endpunkt-Sichtbarkeit.