senn-techIT-News KW29/2026: Sandworm ClickFix, Cloudflare BGP, snap-confine
Die Woche zum 25. Juli bringt erneute ClickFix-Angriffe durch Sandworm, gleich drei Cloudflare-Infrastruktur-Updates, eine Local-Root-Lücke in Ubuntus snap-confine und den Passkey-Start bei GMX und Web.de.
Deep Dive: ClickFix als bevorzugter Angriffsvektor
Sandworm nutzt ClickFix für gezielte Malware-Verteilung
Die russische Sandworm-Gruppe setzt ClickFix-Sozialtechnik ein, um in gezielten Angriffen Schadsoftware zu verteilen. Opfer werden durch gefälschte Fehlermeldungen und CAPTCHA-Prompts zur Ausführung von PowerShell-Befehlen verleitet. Ukraines CERT warnte vor der Kampagne.
Steam-Foren als ClickFix-Vektor: 8.000 PCs infiziert
Cyberkriminelle missbrauchen Steam-Diskussionsforen für ClickFix-Angriffe. Gefälschte Lösungsvorschläge verleiten Nutzer zum Ausführen von PowerShell-Befehlen, die einen XMRig-Cryptominer installieren und eine Defender-Ausnahme einrichten.
Beide Fälle folgen demselben Muster: Der Angreifer bringt das Opfer dazu, den Befehl selbst einzufügen und auszuführen. Kein Exploit, keine Schwachstelle, deshalb greift auch kein Patch. Was hilft, ist die Erklärung im Team, dass eine Website niemals einen Grund hat, PowerShell-Befehle zum Kopieren anzubieten.
Deep Dive: Cloudflare-Infrastruktur-Updates
BGP ORIGIN: ~70% der Pfade manipuliert
Cloudflare-Forscher haben festgestellt, dass ~70% der BGP-Pfade ihr ORIGIN-Attribut durch Transit-Provider umgeschrieben werden, um Traffic-Vorteile zu erlangen. Die Studie argumentiert für Deprecation von ORIGIN in der Route-Auswahl, ein relevantes Thema für Netzbetreiber und Hosting-Provider.
Cache Response Rules: Set-Cookie/Cache-Control am Edge überschreiben
Eine neue Funktion erlaubt es, Set-Cookie- und Cache-Control-Header der Origin am Edge zu überschreiben. Praktisch für Anwendungen, deren Cache-Verhalten sich nicht am Ursprung korrigieren lässt.
Internal DNS: Authoritative + Recursive für private Netzwerke
Cloudflares Internal DNS ist allgemein verfügbar: autoritatives und rekursives DNS für private Netze, integriert mit Zero Trust. Wer internes DNS bisher selbst betreibt, bekommt hier eine Alternative; mit der bekannten Kehrseite, dass die interne Namensauflösung damit bei einem externen Anbieter liegt.
Digest: Weitere wichtige Nachrichten
Sicherheit
- Ubuntu: Root über snap-confine: Eine Race Condition in snap-confine erlaubt jedem lokalen Benutzer Root-Rechte auf Standardinstallationen von Ubuntu Desktop 24.04, 25.10 und 26.04 (CVE-2026-8933, CVSS 7,8). Ironie der Ursache: Die Lücke entstand durch eine Härtungsmaßnahme; den Wechsel von setuid-root auf ein Capabilities-Modell. Qualys beschreibt den Exploit über ein FUSE-Dateisystem und Symlinks. Snapd aktualisieren.
- GitLab RCE PoC publiziert: Funktionierender Proof-of-Concept für eine Remote Code Execution, relevant für alle, die GitLab selbst hosten.
- GitHub Dependabot Cooldown: Dependabot wartet jetzt standardmäßig 3 Tage mit Version-Update-PRs, um Maintainer Zeit zu geben und Supply-Chain-Angriffe zu verlangsamen.
- GitHub Bug Bounty Reorganisation: Fokus auf hoch-impact Schwachstellen, verbesserte Researcher-Erfahrung, neues VIP-Programm.
Netzwerk & Hardware
- NetBird v0.75 Desktop App: Das WireGuard-basierte Mesh-Netzwerk-Tool erhält eine komplett neue Desktop-App auf Wails3/React-Basis mit MDM-Richtlinien-Enforcement und Lokalisierung in 10 Sprachen.
Enterprise IT
- GMX und Web.de schalten Passkeys frei: Seit 23. Juli steht der passwortlose Login rund 38 Millionen Nutzern in Deutschland, Österreich und der Schweiz offen, ohne Warteliste, kostenlos. Das bisherige Passwort funktioniert parallel weiter. Ein Passkey ist an die Domain gebunden und läuft auf gefälschten Login-Seiten schlicht ins Leere, was Phishing gegen diese Konten deutlich erschwert. heise ordnet den Schritt ein.
Zusammengestellt am 25. Juli 2026. Quellen: The Hacker News, BleepingComputer, Cloudflare Blog, GitHub Blog, Qualys, GMX Newsroom, heise.de.