Künstliche Intelligenz
Hunderte infizierte FreePBX-Instanzen im Netz
Kriminelle attackieren bereits seit Ende 2025 bekannte Sicherheitslücken in der Open-Source-Bedienoberfläche FreePBX für Asterisk-Telefonanlagen. Die US-amerikanische IT-Sicherheitsbehörde CISA hat vor diesen beobachteten Angriffen gewarnt. Das reicht vielen IT-Verantwortlichen jedoch offenbar nicht, um ihre Anlagen auf den aktuellen Stand zu bringen: Hunderte infizierte Instanzen stehen zugreifbar im Internet.
Weiterlesen nach der Anzeige
Davor hat die Shadowserver Foundation auf Mastodon gewarnt. Vergangene Woche haben sie mehr als 900 IP-Adressen entdeckt, an denen kompromittierte FreePBX-Instanzen lauschten. Die IT-Forscher erklären, dass die kompromittierten Geräte wahrscheinlich über die Schwachstelle CVE-2025-64328 geknackt wurden – das deckt sich mit einer der Lücken aus der CISA-Warnung.
FreePBX: Auch in Deutschland zig infizierte Server
Die aktuellen Daten der Shadowserver Foundation zeigen nur einen sehr geringen Rückgang an kompromittierten FreePBX-Servern. Bei der Aufschlüsselung nach Ländern liegen die USA unangefochten und mit Abstand an erster Stelle. Darauf folgen Brasilien, Kanada und bereits an vierter Stelle Deutschland, mit zum Zeitpunkt dieses Artikels noch 38 unterwanderten FreePBX-Instanzen.
Fortinet hat eine Analyse vorgelegt, der zufolge insbesondere eine Cybergruppierung mit dem Namen „INJ3CTOR3“ seit frühem Dezember 2025 die Schwachstelle CVE-2025-64328 in FreePBX (FreePBX Endpoint Manager 17.0.2.36 – 17.0.3) missbraucht, um eine Webshell namens „EncystPHP“ auf geknackte Systeme zu verfrachten.
Die Angreifer haben dabei Datenbank-Informationen aus der FreePBX-Konfigurationsdatei ausgelesen. Anschließend haben sie Cron-Jobs und diverse FreePBX-Nutzerkonten gelöscht, darunter „ampuser“, „svc_freepbx“, „freepbx_svc“ und weitere. Außerdem sucht „EncystPHP“ weitere Webshells und versucht, die zu löschen; das passiert ebenso mit einigen Dateien, die auf Infostealer-Einnistung deuten. Schließlich erlangt die Webshell Persistenz durch Einrichtung eines root-Nutzers „newfpbx“, setzt diverse User-Passwörter auf einen bestimmten Wert zurück und erhöhte deren Zugriffsrechte. Damit die Angreifer sich verbinden können, schleust die Webshell einen öffentlichen SSH-Key ein und verändert die Systemkonfiguration, damit Port 22 (SSH) offen bleibt. Dann lädt EncystPHP weitere Dropper-Software nach. Am Ende verändert sie noch die Log-Dateien und löscht das FreePBX-Endpoint-Manager-Modul „endpoint“.
Weiterlesen nach der Anzeige
Die Malware greift noch weiter ins System ein, die Fortinet-Analyse liefert dazu Details und listet auch Hinweise für Infektionen (Indicators of Compromise, IOCs) auf. Damit können Admins ihr System auf Einbruchsspuren untersuchen.
(dmk)
Künstliche Intelligenz
Verteidigungsministerium verschärft Regeln für private Handys
Im Bundesverteidigungsministerium herrscht Alarmstimmung. Das Haus von Minister Boris Pistorius (SPD) reagiert mit einer dringlichen Sicherheitsanweisung auf die wachsende Bedrohung durch ausländische Geheimdienste. Die Nutzung privater Mobilgeräte sei in sensiblen Bereichen des Wehrressorts sowie in den Dienststellen der Bundeswehr deutlich eingeschränkt worden, schreibt der Spiegel. Die Maßnahme ziele darauf ab, die Kommunikation innerhalb des Apparats vor den neugierigen digitalen Augen und Ohren fremder Mächte zu schützen. Denn das Spionagerisiko wird als so hoch wie selten zuvor eingestuft.
Weiterlesen nach der Anzeige
Kern der neuen Richtlinie ist ein striktes Mitbringverbot für private Smartphones, Tablets und sogar Smartwatches bei Besprechungen. Dies gilt laut dem Bericht nicht nur für physische Treffen in den Konferenzräumen. Betroffen seien auch virtuelle Zusammenkünfte, sobald dort Informationen geteilt würden, die mindestens als „Verschlusssache – nur für den Dienstgebrauch“ eingestuft sind.
Im Fokus stehen dabei Runden, in denen es um die Einsatzbereitschaft der Truppe oder die konkrete Planung von Übungsvorhaben und Einsätzen geht. In solchen Fällen müssen die privaten Begleiter zwingend in Schließfächern auf den Fluren verweilen.
Einzugsbereich bis in die Dienstzimmer
Die Tragweite der Entscheidung wird beim Blick auf die räumlichen Konsequenzen deutlich. Die Regelung beschränkt sich nämlich nicht auf explizite Sitzungssäle. Sie erstreckt sich auch auf sämtliche Amtsstuben, in denen als Verschlusssache eingestufte Dokumente lagern. Im Berliner Bendlerblock, dem Hauptsitz des Ministeriums, betrifft das fast jedes Dienstzimmer. Für die Beamten sowie das militärische Personal bedeutet das eine Rückkehr zur strikten Trennung von Privatem und Dienstlichem, die im digitalen Zeitalter vielerorts brüchig geworden ist.
Die Begründung der Sicherheitsabteilung lässt wenig Spielraum für Interpretation. Die Bundeswehr gilt derzeit als eines der prioritären Aufklärungsziele russischer Dienste. Doch nicht nur der Kreml bereitet Sorgen: Auch China wird in der internen Anweisung explizit erwähnt. Demnach verfolgt Peking einen strategischen und langfristigen Ansatz bei der nachrichtendienstlichen Informationsgewinnung.
Die privaten Geräte der Mitarbeiter werden dabei als Achillesferse identifiziert. Während dienstliche Mobiltelefone regelmäßig auf Schadsoftware geprüft werden und speziell abgesichert sind, entziehen sich Privatgeräte der staatlichen Kontrolle.
Weiterlesen nach der Anzeige
Das Smartphone als Spionagewerkzeug
Das Risiko ist technischer Natur: Über manipulierte Apps oder gezielte Phishing-Angriffe lassen sich Abhörprogramme relativ simpel auf herkömmlichen Smartphones installieren. Da das Ministerium keinen Zugriff auf die privaten Geräte hat, könnten solche Infektionen über Monate oder Jahre unbemerkt bleiben. Das Smartphone in der Hosentasche wird so zum potenziellen Sender, der sensible Details über die Verteidigungsfähigkeit des Landes direkt an gegnerische Geheimdienste übermittelt.
Die Anweisung trifft eine Belegschaft, die sich an die ständige Erreichbarkeit gewöhnt hat. Zwar ist das Personal nahezu flächendeckend mit Dienst-Handys ausgestattet, auf denen auch die Bearbeitung eingestufter Dokumente möglich ist. Doch diese Geräte unterliegen strengen Software-Beschränkungen. Gängige Messenger wie WhatsApp sind dort aus Sicherheitsgründen tabu. Das führte dazu, dass von einfachen Angestellten bis hinauf in die Leitungsebene fast jeder sein privates Zweitgerät ständig bei sich trägt, um privat vernetzt zu bleiben. Damit soll nun in den sicherheitsrelevanten Zonen Schluss sein.
Andere Institutionen haben noch schärfere Vorgaben. Beim Bundesnachrichtendienst (BND) etwa ist das Mitführen privater Elektronik schon lange grundsätzlich untersagt. Auch die NATO setzt auf drakonische Einschränkungen.
(mma)
Künstliche Intelligenz
Bundesgerichtshof: Netflix-Abo verlängert sich nicht durch Guthaben
Was passiert bei einem Streaming-Abo, wenn der Nutzer noch über Guthaben auf vorausbezahlten Gutscheinkarten verfügt? Netflix war der Auffassung: Solange noch ein Betrag auf dem Konto vorhanden sei, könne der Nutzer das Konto nicht schließen. Die Kündigung greife erst danach, hieß es in den Allgemeinen Geschäftsbedingungen des Unternehmens, die von Verbraucherschützern für unzulässig gehalten werden. Das Kammergericht Berlin folgte im Sommer 2025 noch der Argumentation der Anwälte des Unternehmens.
Weiterlesen nach der Anzeige
Irrtum des Kammergerichts
Die Richter des III. Zivilsenats am Bundesgerichtshof befanden in ihrem am heutigen Donnerstag gesprochenen Urteil eine entsprechende Klausel der Geschäftsbedingungen des Streaminganbieters hingegen für unzulässig: „Die angegriffene Klausel benachteiligt Kunden der Beklagten entgegen den Geboten von Treu und Glauben unangemessen im Sinne des § 307 Abs. 1 Satz 1 BGB.“
Treu und Glauben gelten gemeinhin als besonders umstrittene Rechtsmaterie: Werden Verbraucher in den allgemeinen Geschäftsbedingungen von einer Klausel so sehr abweichend von den sonstigen gesetzlichen Kündigungsvorschriften (§ 620, 521 BGB) benachteiligt, dass sie damit nicht hätten rechnen müssen, ist diese demnach unwirksam. Die Richter am Berliner Kammergericht (in allen anderen Bundesländern Oberlandesgericht genannt) hätten sich geirrt, da sie den Netflixvertrag als Mietvertrag und nicht als Dienstvertrag eingeschätzt hätten, heißt es in der Mitteilung des Gerichts.
Dass Netflix das Interesse habe, dass Guthaben nicht unendlich lange bestehen, habe das Interesse der Nutzer nicht aufwiegen können, so der III. Zivilsenat in Karlsruhe. Die klagenden Verbraucherschützer geben sich am frühen Abend zufrieden: „Verbraucherinnen und Verbraucher im Vertrag festzuhalten, bis das Guthaben der Geschenkkarte oder des Gutscheins aufgebraucht ist, war rechtswidrig“, sagt Ramona Pop, Vorständin des Verbraucherzentrale Bundesverbands (vzbv). Das Urteil (Aktenzeichen III ZR 152/25) sei daher sehr erfreulich für Verbraucherinnen und Verbraucher. Der vzbv verklagt Streamingdienste häufig aufgrund vermeintlich unzulässiger Geschäftsbedingungen – oftmals mit Erfolg.
Bedeutung über Netflix hinaus
Der Urteilstext selbst ist bislang noch nicht veröffentlicht. Es gilt erst einmal konkret für Netflix, die darin festgestellten Umstände und die Qualifizierung des Vertrags als Dienstvertrag dürfen jedoch auch für alle anderen Anbieter mit vergleichbaren Abomodellen und Guthabenkarten als deutliche rechtliche Einordnung verstanden werden.
Weiterlesen nach der Anzeige
(mho)
Künstliche Intelligenz
„Power Off“: BKA geht gegen DDoS-Angebote vor
Die „Power Off“ genannte Operation sollte Betreiber von Stresserdiensten, mit denen auch technisch weitgehend ahnungslose Nutzer verteilte Überlastungsangriffe buchen konnten, unter Druck setzen. So ein Distributed-Denial-of-Service (DDoS) legt durch viele gleichzeitige Zugriffe Dienste lahm. Bei der Operation gingen das Bundeskriminalamt, die Zentralstelle zur Bekämpfung der Internetkriminalität und internationale Partner koordiniert vor, um Angebote auszuschalten und Tatbeteiligte zu erreichen. Die Zentralstelle ist Teil der Generalstaatsanwaltschaft Frankfurt am Main und bei solchen Verfahren in Deutschland oft federführend.
Weiterlesen nach der Anzeige
Die „Stressoren“ werden dabei aus ganz unterschiedlichen Gründen gebucht. „Haktivistische Gruppierungen versuchen unsere Gesellschaft unter Druck zu setzen, Online-Gamer versprechen sich Wettbewerbsvorteile“, erklärt Carsten Meywirth, der beim BKA die Abteilung Cybercrime leitet. Der Leiter der ZIT Benjamin Krause sieht hier ein Muster: „Gerade jüngere Beschuldigte, unter anderem in der Gaming-Szene, nutzen häufig Stresserdienste als vermeintlich harmlosen Spaß oder um sich Vorteile in Spielen zu verschaffen.“ Das Stören fremder Systeme sei jedoch kein Spiel, sondern eine Straftat, betonen die Behörden.
Deutscher mit Haftbefehl gesucht
Ein Verfahren in dem Zusammenhang richtet sich laut den deutschen Behörden gegen einen deutschen Staatsbürger, der im Ausland lebt und mit „Fluxstress“ sowie „Netdowner“ zwei der größten Angebote betrieben haben soll. Der Deutsche wurde in Thailand festgenommen, die deutschen Strafverfolger werfen ihm gewerbs- und bandenmäßiges Betreiben einer kriminellen Handelsplattform vor. Bei insgesamt 150 Maßnahmen und 16 Durchsuchungen in 21 Ländern seien in Polen nun zudem zwei mutmaßliche Administratoren und ein weiterer Tatbeteiligter festgenommen worden.
Seit 2019 versuchen die Strafverfolgungsbehörden den Verfolgungsdruck auf derartige „Crime-as-a-Service“-Angebote im Rahmen internationaler Aktionen zu erhöhen und setzen auch auf Abschreckung: Warnhinweise und direkter Kontakt zu Kunden der kriminellen Dienste gehören zum Instrumentarium der Ermittler. Vier Verhaftungen und 53 Domain-Takedowns listet die Website der Operation Power Off derzeit auf – die Behörden gehen davon aus, dass diese Zahlen nach dem heutigen Tag weiter steigen werden. Das Projekt besteht seit Jahren und richtet sich gegen verschiedene Cybercrime-Angebote, immer wieder auch gegen DDoS-Anbieter.
(cku)
-
Künstliche Intelligenzvor 2 Monaten
Top 10: Die beste kabellose Überwachungskamera im Test – Akku, WLAN, LTE & Solar
-
Social Mediavor 2 MonatenCommunity Management und Zielgruppen-Analyse: Die besten Insights aus Blog und Podcast
-
Social Mediavor 2 MonatenCommunity Management zwischen Reichweite und Verantwortung
-
UX/UI & Webdesignvor 3 MonatenEindrucksvolle neue Identity für White Ribbon › PAGE online
-
Entwicklung & Codevor 1 MonatCommunity-Protest erfolgreich: Galera bleibt Open Source in MariaDB
-
Künstliche Intelligenzvor 3 MonatenInterview: Massiver Anstieg der AU‑Fälle nicht durch die Telefon‑AU erklärbar
-
Künstliche Intelligenzvor 2 MonatenSmartphone‑Teleaufsätze im Praxistest: Was die Technik kann – und was nicht
-
Entwicklung & Codevor 3 MonatenKommentar: Entwickler, wacht auf – oder verliert euren Job
