Die Schwemme an Schwachstellenmeldungen macht auch vor Microsoft nicht halt. Die „Vulnocalypse“ nötigt das Unternehmen, am Juli-Patchday gleich 622 Schwachstellen in diversen Produkten aus dem Portfolio zu behandeln. Einige Schwachstellen waren bereits bekannt, andere werden schon im Netz aktiv angegriffen.

Microsoft liefert einen Überblick über die geschlossenen Schwachstellen am Patchday. Rund 60 der Sicherheitslücken stuft Microsoft als „kritisches“ Sicherheitsrisiko ein. Alleine in Windows haben die Entwickler sich demnach um 416 Schwachstellen gekümmert, darauf folgen Office und Office 2016 mit jeweils geschlossenen 82 Sicherheitslücken. Der Chromium-basierte Webbrowser Edge steuerte weitere 46 Sicherheitslecks zur Statistik bei. An fünfter Stelle findet sich bereits der SharePoint-Server mit 17 neuen CVE-Schwachstelleneinträgen, den es nun härter erwischt hat.

Bereits angegriffene Sicherheitslücken

Angreifer missbrauchen bereits eine fehlende Authentifizierung zur Ausweitung ihrer Rechte in SharePoint – dazu müssen sie zuvor nicht einmal angemeldet sein (CVE-2026-56164, CVSS 5.3, Risiko „mittel“). Davor warnt auch die US-amerikanische IT-Sicherheitsbehörde CISA. Die Behörde hat zudem eine dringende Anleitung veröffentlicht, nach der Admins ihre On-Premises-SharePoint-Server härten und gegen Angriffe schützen sollen. Auch in den Active Directory Federation Services (AD FS) machen sich Angreifer eine unzureichende Zugriffsrechte-Abstufung zunutze, um ihre Rechte in AD-Infrastrukturen auszuweiten (CVE-2026-56155, CVSS 7.8, Risiko „hoch“). Trend Micros Zero Day Initiative (ZDI) empfiehlt die zügige Prüfung und Installation des Patches, da die Lücke mit weiteren Codeschmuggel-Lücken zusammen etwa für Ransomware-Angriffe missbraucht werden kann.

Eine Sicherheitslücke ermöglicht die Umgehung der BitLocker-Verschlüsselung und ist bereits öffentlich bekannt, merkt Microsoft weiter an (CVE-2026-50661). Bereits am Juni-Patchday hatte Microsoft mehrere Defender- und BitLocker-Probleme gelöst, die der IT-Sicherheitsforscher mit dem Handle „Nightmare Eclipse“ zuvor publik gemacht hat. Ohne konkrete Auflistung haben die Microsoft-Entwickler zudem 428 CVE-Einträge für die Chromium-Basis des Edge-Webbrowsers veröffentlicht, die nicht von Microsoft selbst stammen.

IT-Verantwortliche sowie Nutzerinnen und Nutzer von Microsoft-Software sollten die Patches gegebenenfalls in ihren Umgebungen testen und zügig anwenden, um die Angriffsfläche für Cyberkriminelle zu minimieren.

(dmk)

Die Anklage gegen einen Ransomware-Verhandler vom November vergangenen Jahres endet in einer längeren Haftstrafe für den Täter. Er war als Ransomware-Verhandler bei der Firma DigitalMint angestellt, hat jedoch selbst Ransomware-Angriffe ausgeführt und dabei offenbar mehr als eine Million US-Dollar erbeutet.

Die Abteilung für Öffentlichkeitsarbeit des US-amerikanischen Justizministeriums hat das Urteil nun öffentlich gemacht. Am Donnerstag vergangener Woche wurde der angeklagte 41-Jährige aus Florida zu 70 Monaten Gefängnis verurteilt. Die Strafe ergeht für die Konspiration mit der Cybergang BlackCat/ALPHV zur Erpressung mehrerer Opfer sowie für die Verschwörung mit weiteren ehemaligen IT-Sicherheitsprofis zu weiteren Angriffen auf zusätzliche Opfer im Jahr 2023.

Vom Berater zum Täter

Eigentlich war der Verurteilte angestellt, um Opfern in Krisenzeiten beizustehen. Jedoch habe er sie betrogen und ihre vertraulichen Verhandlungspositionen an Cyberkriminelle weitergegeben und denen damit geholfen, mehr Geld aus den Opfern auszuquetschen, erklärte der US-Staatsanwalt für den Südbezirk von Florida, Jason A. Reding Quiñones.

Den Verfahrensakten zufolge habe der Täter seit April 2023 seine Rolle bei dem IT-Incident-Response-Unternehmen missbraucht, um sich mit den Betreibern der BlackCat-Ransomware zu verschwören, um fünf unterschiedliche Ransomware-Opfer um Lösegeld zu erpressen. Der Verurteilte habe Geld von BlackCat für die Preisgabe vertraulicher Informationen wie der Verhandlungsposition und -strategie der Opfer angenommen. Außerdem soll sich der Verurteilte mit einem 36-jährigen Texaner und einem 41-Jährigen aus Georgia verbündet haben, um die BlackCat-Ransomware im Zeitraum vom April bis November 2023 bei weiteren Opfern zu verteilen. Nach der erfolgreichen Erpressung eines Opfers um rund 1,2 Millionen US-Dollar in Bitcoin haben die drei sich das Lösegeld geteilt und auf diverse Arten gewaschen.

Mitte April plädierte der nun Verurteilte auf „schuldig“. Bereits im Mai wurden die beiden anderen Täter zu 48 Monaten Haft verurteilt. Die Strafverfolger konnten Gegenstände einschließlich digitaler Währungen im Wert von 10 Millionen US-Dollar sicherstellen. Dazu gehören außerdem Autos, ein Foodtruck und ein Luxus-Angelboot. Eine Anhörung zur Festsetzung der Höhe des Schadenersatzes ist für den 17. September angesetzt.

Im vergangenen November kam es zunächst zur Anklage gegen zwei Männer. Dabei wurde bekannt, dass der Täter sich nicht nur Anteile vom Lösegeld zugeschustert haben soll, sondern selbst hinter den Ransomware-Angriffen steckte.

(dmk)

Die Kurzdomain t.me ist derzeit nicht erreichbar. Die Adresse gehört zum Telegram-Messenger, der sie für Kurzlinks zu Kanälen oder Mitgliederprofilen verwendet. Die Ursache der Sperrung ist nicht vollends geklärt, könnte aber mit Sanktionen der USA gegen einen VPN-Anbieter zusammenhängen.

Die Domain ist derzeit von der Vergabestelle, dem NIC (Network Information Center) des Landes Montenegro, auf den Status „registryHold“ gesetzt. Dieser kann – so die Erklärung bei ICANN (Internet Corporation for Assigned Names and Numbers), auf ein Problem mit der Domain hinweisen, das durch den Inhaber gemeinsam mit der Vergabestelle geklärt werden muss.

Der Messengerdienst verwendet t.me, um das Teilen von Links zu Kanälen zu erleichtern – diese Funktion ist daher bei vielen Telegram-Clients derzeit nicht nutzbar. Zumindest in der aktuellen Version des Telegram-Messengers unter IOS und macOS verwendet die App noch die defekte Domain. Wer einen Telegram-Kanal per Link mit Freunden teilen möchte, kann hilfsweise t.me durch telegram.me ersetzen – diese Domain funktioniert noch.

War die OFAC schuld?

Wie Jonah Aragon, Mitarbeiter der NGO Privacy Guides, vermutet, könnte eine US-Sanktion schuld an der Sperrung sein. Die Kontrollbehörde des US-Finanzministeriums OFAC, zuständig für internationale Sanktionen, hat am 13. Juli den ukrainischen VPN-Anbieter FirstVPN auf die Sanktionsliste SDN (Specially Designated Nationals) gesetzt – und dieser Dienst verwendet neben Domains aus den Namensräumen .com, .net und .org auch den Direktlink zu seinem Telegram-Kanal als Kontaktadresse.

Bei der Umsetzung der Sanktionen durch das montenegrinische NIC kann es sich also um „Overblocking“ handeln. Ob es sich hierbei um den tatsächlichen Grund handelt, ist unklar, doch die Erklärung scheint plausibel. Auch die .org-Domain ist vom Domainregistrar Key-Systems auf „serverHold“ gesetzt worden, die .com-Domain des VPN-Anbieters wurde offenbar von Cloudflare durch Löschen der DNS-Einträge deaktiviert.

Telegram ist immer wieder von Sperren betroffen, zuletzt in Indien während der Prüfungsphase.

(cku)