Malware-Report Juni 2025

Check Point hat seine Übersicht über Malware-Angriffe im Juni 2025 vorgelegt. Es geht dabei um Trends, welche Ransomware-Gruppen und Malware-Familien am häufigsten beobachtet werden. Der Infostealer Formbook ist für 15 Prozent aller Malware-Attacken in Deutschland verantwortlich.

Sicherheitsanbieter Check Point® Software Technologies Ltd. (CPR) hat seinen Global Threat Index für Juni 2025 veröffentlicht. Nachdem Check Point Research zuletzt aufdeckte, dass AsyncRAT, ein Remote-Access-Trojaner (RAT), Discord-Einladungslinks ausnutzt, um bösartige Nutzlasten zu verbreiten, ist dieser nun auch global unter die Top drei der am weitesten verbreiteten Malware-Typen aufgestiegen. Unterdessen bleibt FakeUpdates die weltweit aktivste Malware und richtet weiterhin großflächig Schaden in Unternehmen über Ländergrenzen hinweg an.

Formbook dominiert im Juni

Im Juni 2025 dominierte Formbook abermals mit weitem Abstand die Statistik hierzulande: Über 15 Prozent aller von CPR festgestellten Malware-Infektionen in Deutschland gingen auf das Konto des Infostealers. Dahinter lagen mit weitem Abstand Androxgh0st mit 2,45 Prozent und FakeUpdates mit 1,76 Prozent.

Im Bereich der Datenerpressung ist die Ransomware-Gruppe Qilin nach wie vor einer der aktivsten Akteure in der Cyberkriminalitätsszene und greift gezielt große Unternehmen an, insbesondere im Gesundheits- und Bildungswesen.

Top-Malware in Deutschland

Die Pfeile beziehen sich auf die Veränderung des Rankings im Vergleich zum Vormonat. In Klammern findet sich der prozentuale Anteil an allen Malware-Infektionen im jeweiligen Raum.

• ↑ Formbook (DE: 15,33 %, Global: 2,09 %): Erstmals 2016 identifiziert, ist eine Infostealer-Malware, die vor allem Windows-Systeme angreift. Die Malware sammelt Anmeldedaten aus verschiedenen Webbrowsern, erstellt Screenshots, überwacht und protokolliert Tastatureingaben und kann zusätzliche Payloads herunterladen und ausführen. Die Malware verbreitet sich über Phishing-Kampagnen, bösartige E-Mail-Anhänge und kompromittierte Websites, oft getarnt als legitime Dateien.
• ↔ Androxgh0st (DE: 2,45 %, Global: 3,46 %): AndroxGh0st ist eine auf Python basierte Malware, die auf Anwendungen zielt, die das Laravel-PHP-Framework verwenden, indem sie nach exponierten .env-Dateien sucht, die sensible Informationen, wie Anmeldedaten für Dienste, darunter AWS, Twilio, Office 365 und SendGrid, enthalten. Der Schädling nutzt ein Bot-Netz, um Websites mit Laravel zu identifizieren und vertrauliche Daten zu stehlen. Sobald der Zugriff erfolgt ist, können Angreifer zusätzliche Malware einsetzen, Backdoor-Verbindungen herstellen und Cloud-Ressourcen für verschiedene Aktivitäten, wie das Mining von Krypto-Währungen, ausnutzen.
• ↓ FakeUpdates (Deutschland: 1,76 %, Global: 4,22 %): FakeUpdates (auch bekannt als SocGholish) ist eine Downloader-Malware, die erstmals im Jahr 2018 entdeckt wurde. Sie wird über Drive-by-Downloads über kompromittierte oder bösartige Websites verbreitet und fordert die Nutzer auf, ein gefälschtes Browser-Update zu installieren. Die FakeUpdates-Malware wird mit der russischen Hackergruppe Evil Corp in Verbindung gebracht. Sie soll nach der ersten Infektion verschiedene sekundäre Payloads liefern.

Meistattackierte Sektoren

Im Juni war das Bildungswesen weiterhin der am häufigsten attackierte Bereich. Auch die Telekommunikationsbranche verweilte am zweiten Monat in Folge auf Platz zwei. Energie und Versorgungsunternehmen wurden auf dem dritten Platz abgelöst von Firmen aus der Biotechnologie und dem Pharmabereich.

• ↔ Bildung
• ↔ Telekommunikation
• ↑ Biotechnologie und Pharmazeutika

Top Mobile Malware

• ↔ Anubis – Anubis ist die am weitesten verbreitete mobile Malware, die dafür bekannt ist, dass sie die Multi-Faktor-Authentifizierung (MFA) umgehen und Bankdaten stehlen kann. Sie wird häufig über bösartige Apps im Google Play Store verbreitet.
• ↔ AhMyth – AhMyth, ein Fernzugriffs-Trojaner (RAT) für Android, ist als legitime App getarnt und gewährt Angreifern Zugriff, um Bankdaten und MFA-Codes zu exfiltrieren sowie Keylogging und Bildschirmaufnahmen durchzuführen.
• ↔ Necro – Necro ist ein bösartiger Downloader, der Befehle auf Android-Geräten ausführen kann, darunter das Herunterladen von Malware und Werbung sowie das Umleiten des Internetverkehrs über kompromittierte Geräte, wodurch diese zu einem Teil eines Botnets werden.

Die wichtigsten Ransomware-Gruppen

Die Daten basieren auf Erkenntnissen von sogenannten "Ransomware-Shame-Sites", die von Ransomware-Gruppen mit Doppelter Erpressung als Methode betrieben werden:

• Qilin – Qilin (auch bekannt als Agenda) bleibt die führende Ransomware-Gruppe und war im Juni 2025 für 17 % der Angriffe verantwortlich. Diese Ransomware-as-a-Service-Gruppe hat sich auf große Unternehmen spezialisiert, insbesondere im Gesundheits- und Bildungssektor.
• SafePay – SafePay ist weiterhin eine große Ransomware-Bedrohung, die ein doppeltes Erpressungsmodell verwendet, um die Dateien der Opfer zu verschlüsseln und gleichzeitig sensible Daten zu stehlen. Diese Ransomware-Gruppe war sowohl gegen große Organisationen als auch gegen kleine Unternehmen aktiv.
• Akira – Akira-Ransomware nutzt Schwachstellen in VPN-Endpunkten aus und verschlüsselt Daten mit der charakteristischen Erweiterung ".akira". Sie zielt hauptsächlich auf Unternehmen mit schwachen oder veralteten Sicherheitsmaßnahmen ab.

Der globale Bedrohungsindex vom Juni 2025 zeigt die Zunahme mehrstufiger Malware-Kampagnen und die zunehmende Raffinesse von Ransomware-Gruppen wie Qilin. Während FakeUpdates weiterhin die am weitesten verbreitete Malware weltweit ist, erfordern zusätzliche Bedrohungen wie AsyncRAT und Qilin-Ransomware dringende Aufmerksamkeit von IT-Sicherheitsteams.

In Deutschland sind die Sektoren Bildung, Telekommunikation sowie Biotechnologie und Pharmazeutika am stärksten von Cyberattacken gefährdet. Cyberkriminelle entwickeln ihre Taktiken stetig weiter, deshalb müssen Unternehmen umfassende, proaktive Sicherheitsmaßnahmen ergreifen, um sich vor diesen fortschrittlichen Bedrohungen zu schützen.

Check Point Research hat den vollständigen Global Threat Index für Juni 2025 online gestellt.