USA: Dutzende Unternehmen wurden aufgrund einer Sicherheitslücke in Oracle Opfer von Datendiebstahl.

Googles Cybersicherheitsexperten haben soeben vor einer groß angelegten Angriffskampagne der Hackergruppe Clop gewarnt, die es auf die Oracle E-Business Suite-Software abgesehen hat und zum Diebstahl von Daten aus Dutzenden von Organisationen geführt hat.

Dies wird als erstes Anzeichen dafür gesehen, dass sich der Umfang der Kampagne global ausweiten könnte.

Laut Google nutzte die Clop-Gruppe eine schwerwiegende Sicherheitslücke (Zero-Day-Schwachstelle) in Oracle E-Business Suite aus, einer Unternehmenssoftwareplattform zur Verwaltung von Kundendaten, Finanzen und Personalwesen...

Oracle sah sich gezwungen, einen Notfall-Patch zu veröffentlichen, um die anhaltende Sicherheitslücke zu schließen.

Diese als CVE-2025-61882 identifizierte Schwachstelle hat einen Schweregrad von 9,8/10 und ermöglicht es Angreifern, Remote-Code ohne Authentifizierung auszuführen, indem sie einfach über das HTTP-Protokoll zugreifen.

Nach erfolgreicher Ausnutzung dieser Sicherheitslücke könnte der Hacker die vollständige Kontrolle über die Concurrent Processing-Funktion des Oracle E-Business Suite-Systems erlangen.

Analysten zufolge begann die Angriffskampagne am 10. Juli 2025, drei Monate bevor die ersten Organisationen Anfang Oktober Anzeichen eines Eindringens feststellten.

Führungskräfte mehrerer US-amerikanischer Unternehmen erhielten daraufhin Lösegeldforderungen per E-Mail, in denen Hacker behaupteten, im Besitz sensibler, aus ihren Systemen gestohlener Datendateien zu sein.

Google gab an, dass die Clop-Gruppe der Hauptdrahtzieher der Kampagne sei, die hinter einer Reihe groß angelegter Ransomware-Angriffe stehe, bei denen Zero-Day-Schwachstellen in Dateitransfer-Tools wie MOVEit, Cleo und GoAnywhere ausgenutzt wurden.

Mehrere technische Indikatoren deuten zudem auf eine Verbindung zwischen dieser Kampagne und der FIN11-Gruppe, einem finanziell motivierten Cyberkriminalitätssyndikat, sowie Scattered Lapsus$ Hunters hin.

Charles Carmakal, CTO von Mandiant-Google Cloud, bestätigte, dass die Lösegeld-E-Mails von Hunderten kompromittierter E-Mail-Konten verschickt wurden, darunter mindestens ein Konto, das zuvor mit FIN11-Aktivitäten in Verbindung gebracht wurde.

Zunächst veröffentlichte Rob Duhart, Chief Security Officer von Oracle, im Juli eine Mitteilung, in der er behauptete, die Sicherheitslücken seien behoben worden, was den Eindruck erweckte, die Angriffe seien beendet. Diese Mitteilung wurde jedoch später entfernt.

Nur wenige Tage später musste Oracle einräumen, dass Hacker weiterhin die Software des Unternehmens ausnutzten, um persönliche Daten und Unternehmensdokumente zu stehlen. Oracle veröffentlichte umgehend einen Notfall-Patch und bestätigte damit die Existenz der Zero-Day-Schwachstelle.

Google hat E-Mail-Adressen, Indikatoren für eine Kompromittierung (IoCs) und technische Anleitungen veröffentlicht, um Cybersicherheitsexperten bei der Überprüfung zu unterstützen, ob ihre Oracle-Systeme kompromittiert wurden.

Oracle beteuert, dass Kundenzahlungsdaten nicht betroffen seien, Experten warnen jedoch, dass möglicherweise Personaldaten und betriebliche Informationen durchgesickert sind.

Sicherheitsexperten empfehlen Unternehmen, unverzüglich den neuesten Patch der Oracle E-Business Suite zu installieren, HTTP-Zugriffsprotokolle und ungewöhnliche Aktivitäten im Zusammenhang mit der gleichzeitigen Verarbeitung zu überwachen sowie eine forensische Prüfung durchzuführen, wenn sie einen Einbruch vermuten.

Diese Angriffskampagne verdeutlicht einmal mehr das wachsende Risiko durch Zero-Day-Schwachstellen in Unternehmenssoftware und unterstreicht die Notwendigkeit schneller Patches und proaktiver Überwachung angesichts immer raffinierterer Cyberkriminalität.

Kommentar (0)