Outlook-Lücke CVE-2026-42897: Laundry Bear setzt OWAReaper ein

Gleich drei staatlich gesteuerte Hacker-Gruppen haben Ende Juli massive Angriffswellen gestartet. Betroffen sind Regierungen, Telekommunikation und Luftfahrt.

Sicherheitsforscher mehrerer Unternehmen schlagen Alarm: Innerhalb weniger Tage wurden koordinierte Cyberoperationen aus Russland, Iran und Nordkorea aufgedeckt. Die Angriffe richten sich gegen Behörden und Unternehmen in Nordamerika, Europa und Afrika.

Russische Gruppe nutzt Outlook-Lücke für Dauerzugriff

Am 29. Juli 2026 veröffentlichten Forscher von Proofpoint Details zu einer Kampagne der russischen Gruppe Laundry Bear (auch bekannt als TA488 oder Void Blizzard). Die Hacker nutzen eine Sicherheitslücke in Microsofts Outlook Web Access aus. Die als CVE-2026-42897 registrierte Schwachstelle ermöglicht einen sogenannten Cross-Site-Scripting-Angriff.

Besonders perfide: Schon das bloße Öffnen einer infizierten E-Mail reicht aus, um die Schadsoftware OWAReaper auszulösen. Das Programm arbeitet direkt im Lesefenster von Outlook und ist extrem widerstandsfähig. Es nutzt Browser-Speicher, Mailbox-Berechtigungen und versteckte Datenbanken, um selbst nach Passwortwechseln oder einer kompletten Neuinstallation des Systems zu überleben. Die aktive Angriffswelle begann am 22. Juli – nur Tage, nachdem Behörden vor Schwachstellen in anderen Webmail-Plattformen gewarnt hatten.

Iranische Hintertür: NightLedger schleicht sich in sechs Länder

Einen Tag zuvor, am 28. Juli, enthüllte Kaspersky eine Kampagne der iranischen Gruppe Mirage Kitten (auch Nimbus Manticore oder Smoke Sandstorm). Die Angreifer haben Regierungen, Luftfahrt- und Telekommunikationsunternehmen in sechs Ländern ins Visier genommen: Ägypten, Jordanien, Tansania, Pakistan, Äthiopien und Burkina Faso.

Immer mehr Unternehmen werden Opfer von Cyberangriffen – diese Checkliste hilft Ihnen, es zu verhindern. Experten erklären im kostenlosen E-Book, wie Sie sich proaktiv absichern, bevor es zu spät ist. Experten-Checkliste jetzt kostenlos herunterladen

Die Hacker setzen eine neu entdeckte Hintertür namens NightLedger ein, die sich als Systemdatei tarnt. Zwei weitere Werkzeuge – BridgeHead und ArcBridge – verwandeln gekaperte Rechner in Relaisstationen. Den ersten Zugriff verschafften sich die Angreifer meist durch gefälschte Stellenanzeigen und betrügerische Videokonferenz-Seiten. Die Kampagne steht nach Erkenntnissen der Ermittler im Zusammenhang mit regionalen Konflikten.

Nordkorea kapert Open-Source-Bibliotheken

Amazon Threat Intelligence warnte am 29. Juli vor der nordkoreanischen Gruppe Sapphire Sleet (auch Stardust Chollima oder BlueNoroff). Die Hacker haben mehrere weit verbreitete Open-Source-Pakete kompromittiert. Durch gezielte Social-Engineering-Angriffe manipulierten sie die Betreuer der Software, schädliche Updates zu veröffentlichen.

Betroffen sind unter anderem die JavaScript-Bibliothek axios – mit über 100 Millionen wöchentlichen Downloads eine der populärsten weltweit – sowie die Pakete debug, chalk und typo-crypto. Während der Angriff auf typo-crypto im März 2025 noch als Testlauf galt, markierten die Kompromittierungen von debug und chalk im September 2025 sowie von axios im März 2026 eine deutliche Eskalation. Branchendaten zufolge war innerhalb weniger Stunden nach der Veröffentlichung der manipulierten Updates etwa jede zehnte Cloud-Umgebung betroffen.

Künstliche Intelligenz verändert die Bedrohungslage

Ein am 29. Juli veröffentlichter Halbjahresbericht von TrendAI zeigt einen besorgniserregenden Trend: Hacker setzen zunehmend generative KI in allen Phasen ihrer Angriffe ein. Chinesische Gruppen nutzen KI demnach für autonome Aufklärung und die Entwicklung von Exploits. Andere Akteure verstecken ihre Kommandozentralen auf vertrauenswürdigen kommerziellen Plattformen.

Neue KI-Gesetze, neue Cyberrisiken: Was kommt wirklich auf Ihr Unternehmen zu? Dieser kostenlose Report klärt auf, welche rechtlichen Pflichten und Bedrohungen Unternehmer jetzt kennen müssen. Kostenlosen Report zu KI und Cyberrisiken anfordern

Der Bericht identifiziert zudem eine neue Überwachungsmethode namens ADINT. Dabei werden Daten aus digitalen Werbeauktionen gesammelt, um gezielt Personen zu verfolgen. Parallel dazu läuft die GoSerpent-Kampagne gegen diplomatische Einrichtungen in Südostasien, während chinesischsprachige Gruppen mit der SparkKitty-Schadsoftware Kryptowährungs-Zugangsdaten von Mobilgeräten stehlen.

de | wissenschaft | 69898127 |