Sicherheitsexperten warnen vor einer neuen Welle gezielter Cyberangriffe, die sowohl Unternehmen als auch Privatpersonen betreffen. Im Fokus: gefälschte Software-Updates, manipulierte Hotel-WLAN-Netze und Phishing-Mails im Namen großer Banken.
Die Bedrohungslage in der digitalen Welt hat sich im Sommer 2026 weiter verschärft. Gleich mehrere Sicherheitskampagnen sorgen aktuell für Alarm bei Cybersicherheitsexperten. Besonders tückisch: Die Angreifer setzen auf bewährte Methoden wie gefälschte Updates und manipulierte Netzwerke, um Schadsoftware zu verbreiten. Für deutsche Unternehmen und Reisende ist das Risiko real – die Angriffe zielen auf alltägliche Schwachstellen.
„SMOKE#SCREEN“: Falsche Updates als Einfallstor
Eine besonders ausgeklügelte Kampagne mit dem Namen „SMOKE#SCREEN“ nutzt gefälschte Updates für beliebte Anwendungen wie Zoom und Adobe, um Schadsoftware zu verbreiten. Auch manipulierte Geschäftsdokumente und Systemtools dienen den Angreifern als Köder. Die Opfer werden über verschiedene Social-Engineering-Tricks dazu gebracht, die Schadsoftware zu installieren.
Die Angreifer setzen auf eine mehrstufige Infektionskette. Windows-basierte Loader sind darauf ausgelegt, die Sicherheitsvorkehrungen zu attackieren: Sie deaktivieren den Microsoft Defender, verändern die SmartScreen-Einstellungen und legen bestimmte Dateiausnahmen an. Eine macOS-Variante, die als Zoom-Update-Installationspaket getarnt ist, nutzt dieselbe Kommando-Infrastruktur wie die Windows-Versionen.
Um der Erkennung zu entgehen, haben die Entwickler mehrere Anti-Analyse-Funktionen eingebaut. Neuere Loader enthalten eine Verzögerung von drei Minuten, die die Korrelation in Sicherheitsüberwachungstools stören soll. Zudem prüfen die VBScript-Dropper die Umgebung: Sie erkennen Analysewerkzeuge wie Wireshark oder Prozessmonitore und stellen sicher, dass das System über mehr als 2 GB Arbeitsspeicher verfügt, bevor die Infektion fortgesetzt wird.
Phishing-Welle im Namen der Bank of America
In einem ähnlichen Zusammenhang berichten Sicherheitsforscher von einer Phishing-Kampagne, die sich als Bank of America ausgibt, um das Remote-Zugriffstool ScreenConnect zu verteilen. Ende Juli wurden E-Mails entdeckt, die von einer Adresse stammten, die offiziellen Bankbenachrichtigungen nachempfunden war.
Angesichts der Zunahme von gefälschten Bankbenachrichtigungen und Phishing-Versuchen ist der Schutz digitaler Konten wichtiger denn je. Dieser kostenlose Report zeigt, wie Sie die neue Passkey-Technologie nutzen, um Angreifern keine Chance mehr zu lassen. Passwortlose Anmeldung jetzt kostenlos einrichten
Während Mac-Nutzer auf gefälschte Anmeldeseiten gelockt wurden, erhielten Windows-Nutzer eine ZIP-Datei mit einem VBScript-Dropper. Dieser startet einen mehrstufigen Dekodierungsprozess, um einen 17 MB großen ScreenConnect-Installer von einer externen Hosting-Seite herunterzuladen. Die Malware nutzt eine Technik zur Rechteausweitung namens ICMLuaUtil-UAC-Bypass, um Administratorrechte zu erlangen. Anschließend installiert sie sich als dauerhafter Dienst unter dem Namen „Windows Security“ und verwendet spezielle Zugriffskontrolleinstellungen, um ihre Entfernung zu verhindern. Die Kommando-Infrastruktur dieser Kampagne wurde auf eine IP-Adresse in den Vereinigten Arabischen Emiraten zurückgeführt.
Russische Gruppe attackiert Hotel-WLAN-Netze
Eine weitere Bedrohung betrifft Reisende: Die russische Hackergruppe Storm-2945, auch bekannt als Midnight Blizzard, kompromittiert Hotel-WLAN-Gateways, um Reisedaten abzufangen und Malware zu verbreiten. Die Kampagne mit dem Namen „CaptiveCrunch“ ist seit mindestens Mai 2026 aktiv.
Wer sich vor manipulierten Netzwerken und gefährlichen Software-Fallen schützen möchte, sollte die Sicherheitseinstellungen seiner Geräte regelmäßig überprüfen. In diesem Gratis-Leitfaden erfahren Sie in 5 einfachen Schritten, wie Sie Sicherheitslücken effektiv schließen. Android-Sicherheits-Ratgeber kostenlos herunterladen
Die Angreifer manipulieren DNS- und HTTP-Datenverkehr auf den sogenannten Captive Portals – den Anmeldeseiten, die bei der WLAN-Nutzung im Hotel erscheinen. Nutzer werden auf gefälschte Domains umgeleitet, die Microsoft-365-Zugangsdaten abgreifen und über gefälschte Software-Update-Aufforderungen Schadsoftware verteilen. Zu den eingesetzten Schadprogrammen gehören der CornFlake-Remote-Access-Trojaner und der ChocoShell-Infostealer. In den vergangenen Monaten nutzte die Gruppe auch betrügerische Gerätecode-Authentifizierungs-Umleitungen, um die Zwei-Faktor-Authentifizierung zu umgehen.
Sicherheitsexperten empfehlen Reisenden, Hotel-WLAN grundsätzlich als unsicher zu betrachten. Virtuelle private Netzwerke mit Kill-Switch-Funktion oder mobile Datenverbindungen über das Smartphone-Hotspot gelten als deutlich sicherere Alternativen.
