Einführung
In August 2025, ein Telegram-Kanal namens „Verstreute LAPSUS$-Jäger“ aufgetaucht und stellt eine Verbindung zu berüchtigten Cybercrime-Gruppen her: Verstreute Spinne, Glänzende Jäger und LAPSUS $Die Gruppe begann schnell, gestohlene Daten, Lösegeldforderungen und provokante Aussagen zu veröffentlichen und entfachte damit das Chaos, das einst von LAPSUS$ verursacht wurde. Ihr Name deutet auf Verbindungen hin zu „Die Com“, ein Untergrundnetzwerk, in dem Akteure oft Werkzeuge und Identitäten teilen, was die Zuordnung komplex macht. Wie in unserem früheren Blog über die Google-Salesforce-Sicherheitslücke, solche Überlappungen sind bei Clustern wie UNC3944 (Scattered Spider), UNC5537 und UNC6040 üblich.
Die Gruppe Scattered LAPSUS$ Shiny Hunters (SLSH) hat Berichten zufolge Exploit-Code für CVE-2025-61882 geteilt, eine kritische Zero-Day-Sicherheitslücke in Oracles E-Business Suite, die unauthentifizierte Remotecodeausführung ermöglicht. Oracle bestätigte das Problem und veröffentlichte einen Notfall-Patch, nachdem Mandiant enthüllt hatte, dass die Clop-Ransomware-Gruppe die Sicherheitslücke im August 2025 ausgenutzt hatte, um Daten zu stehlen und Lösegeldkampagnen durchzuführen. Im September drangen Hacker aus dem Umfeld von SLSH in einen Drittanbieter von Discord ein, legten begrenzte Benutzerdaten, darunter Zahlungsdetails und IDs, offen und forderten Lösegeld, um Lecks zu verhindern. Hinweise deuteten auf einen Zugriff auf die Verwaltungssysteme von Discord über eine Zendesk-Kompromittierung hin. Forscher glauben, dass ShinyHunters eine Erpressung als Dienstleistung (EaaS)-Modell, bei dem mit anderen Hackern Partnerschaften für Lösegeldforderungen geschlossen werden, eine Idee, die durch andere Sicherheitsverletzungen bestärkt wurde. Am 11. Oktober kündigte SLSH Pläne zur öffentlichen Einführung seiner EaaS-Plattform an.
Bedrohungslandschaft
Jüngste Posts drohen mit dem Durchsickern von Salesforce-bezogenen Daten, falls bis zum 10. Oktober kein Lösegeld gezahlt wird, und deuten auf weitere Angriffe im Zusammenhang mit dem Salesloft-Ökosystem hin. Untersuchungen deuten darauf hin, dass die Gruppe stark auf Vishing-basiertes Social Engineering setzt und Mitarbeiter dazu bringt, gefälschte Salesforce Data Loader-Apps zu installieren oder bösartige verbundene Apps zuzulassen, um Zugriff zu erhalten. Diese Vorfälle unterstreichen, dass die eigentliche Schwachstelle nicht in Softwarefehlern, sondern in menschlicher Manipulation liegt – einem anhaltenden Kennzeichen dieser sich entwickelnden Bedrohungslandschaft. Salesforce hat öffentlich erklärt, den Lösegeldforderungen der Gruppe Scattered LAPSUS$ Hunters (SLH) nicht nachzukommen.
Kurz nachdem diese Haltung öffentlich wurde, mit Malware verseuchte Nachricht betitelt „Glänzende Jäger“ wurde gesendet an KrebsOnSicherheit, die physische Bedrohungen und einen bösartigen Link enthält, der auf limewire[.]com. Ähnliche Droh-E-Mails zielten auf Mandiant und mehrere andere Sicherheitsfirmen.
Der Link war als Screenshot-Datei getarnt und enthielt heimlich einen Remote Access Trojan (RAT), der Überwachung, Zugangsdatendiebstahl und Keylogging ermöglichte, ohne dass das Opfer die Datei öffnen musste. Mandiant identifizierte die Malware später als AsyncRAT, ein .NET-basiertes RAT, das häufig in der Cyberkriminalität eingesetzt wird. Sein Plugin-basiertes Design ermöglicht es Angreifern, unbemerkt schädliche Tools auszuführen, Screenshots zu machen, Tastatureingaben zu protokollieren und Kryptowährungen zu schürfen.
Solche Einschüchterungstaktiken entsprechen dem Verhalten der SLH in der Vergangenheit, als Mitglieder gezielt gegen Forscher und Strafverfolgungsbehörden vorgingen, die ihre Kampagnen untersuchten. Inzwischen steigt der Druck der Strafverfolgungsbehörden. Ende September zwei mutmaßliche Mitglieder von Scattered Spider wurden in Großbritannien festgenommen wegen Diebstahls und Erpressung von über 115 Millionen US-Dollar durch ähnliche Operationen.
Trotz mehrfacher Verhaftungen im Laufe der Jahre bleiben diese Gruppen oder ihre Umbenennungen aktiv und werden zunehmend dreister. Sie behaupten, einen neuen Ransomware-Dienst zu betreiben, „SHINYSP1D3R“ und verkaufen Exploits, obwohl die meisten dieser Behauptungen unbestätigt bleiben. Viele mutmaßliche Opfer stimmen mit früheren Zielen von UNC5537 und UNC6040 überein, was eher auf Kontinuität als auf einen neuen Akteur hindeutet.
Oracle Zero-Day-Exploitation
Das Verstreute LAPSUS$ Shiny Hunters (SLSH) Die Gruppe scheint auch Exploit-Code geteilt zu haben CVE-2025-61882, eine kritische Zero-Day-Sicherheitslücke in der E-Business Suite von Oracle, die eine nicht authentifizierte Remotecodeausführung ermöglicht, d. h. sie kann über ein Netzwerk ausgenutzt werden, ohne dass ein Benutzername und ein Kennwort erforderlich sind.
Oracle hat überprüft und ausgegeben ein Notfall-Patch, der Kunden dringend dazu auffordert, sofort zu aktualisieren. Charles Carmichael von Mandiant bestätigt , dass die Clop-Ransomware Die Gruppe nutzte diese Schwachstelle erstmals im August 2025 aus, um Daten von Oracle-Servern zu stehlen und Lösegeldkampagnen zu starten.
Bereits im Juli 2025, also vor der Veröffentlichung offizieller Patches, wurden Angriffe auf Oracle EBS-Server beobachtet. Einige der gefundenen Artefakte überschneiden sich Berichten zufolge mit einem Exploit, der am 3. Oktober 2025 im SLSH-Telegram-Kanal geteilt wurde. GTIG (Google) Threat IntelDie Legal Group stellt fest, dass es nicht genügend Beweise gibt, um den Kernangriff eindeutig SLH oder „Shiny Hunters“ (UNC6240) zuzuordnen.
Red Hat und Discord Breach
On September 20Hacker drangen in einen Drittanbieter-Support-Anbieter ein, der von Discord, stehlen Benutzeridentitäten, Zahlungsinformationen und amtliche Ausweise von einer begrenzten Anzahl von Benutzern, die mit dem Kundensupport oder Trust & Safety interagiert haben.
Die Gruppe wurde erstmals im September 2025 von Rapid7 entdeckt und nutzt das Open-Source-Tool TruffleHog, um nach durchgesickerten AWS-Anmeldeinformationen zu suchen. Sobald der Zugriff erlangt ist, erstellen sie neue Benutzer, erweitern ihre Berechtigungen und exfiltrieren Datenbanken, Projekt-Repositories und EBS-Snapshots mithilfe nativer AWS-Dienste wie S3 und RDS.
Sie setzen häufig benutzerdefinierte EC2-Instanzen mit freizügigen Sicherheitsgruppen ein, hängen gestohlene Volumes an und verwenden Simple Email Service (SES) oder externe Konten, um Erpresser-E-Mails an ihre Opfer zu senden. Die Taktik der Gruppe zeugt von sorgfältiger Planung, hoher Automatisierung und einem Fokus auf Cloud-nativem Missbrauch – und das alles unter Ausnutzung gültiger Anmeldeinformationen, nicht von Exploits.
Obwohl die genaue Struktur unklar bleibt, deuten die Verwendung gemeinsam genutzter IP-Adressen und die Formulierungen in den Lösegeldforderungen darauf hin, dass mehrere Akteure beteiligt sind. Ihr Fokus scheint eher auf Datendiebstahl als auf Verschlüsselung zu liegen, was sie eher mit modernen Erpressungsmethoden als Dienstleistung in Einklang bringt.
Es gibt zunehmend Spekulationen darüber, dass Red Hat-Kompromittierung kann mit einer kürzlich bekannt gewordenen Sicherheitslücke in Red Hat OpenShift AI - CVE-2025-10725 (CVSS 9.9). Obwohl keine offizielle Zuordnung erfolgt ist, haben wir festgestellt, dass die von Scattered LAPSUS$ Shiny Hunters (SLSH) geleakten Beispieldaten .config- und .yml-Dateien enthielten, die auf interne Infrastrukturdetails verwiesen. Dies deutet darauf hin, dass Crimson Collective die Schwachstelle möglicherweise als Teil seiner Zugriffs- oder Eskalationsstrategie innerhalb der kompromittierten Umgebung ausgenutzt hat. Laut Red Hat erfordert die Schwachstelle eine minimale Authentifizierung und ermöglicht eine Benutzer mit geringen Berechtigungen um Privilegien zu erweitern und Cluster-Administratorzugriff, wodurch möglicherweise alle Workloads und Daten innerhalb der Hybrid-Cloud-Umgebung gefährdet werden.
Diese ernste Schwachstelle bedroht die Vertraulichkeit, Integrität und Verfügbarkeit der gesamten KI-Plattform. OpenShift-KI, die unternehmensweite Lösung von Red Hat zur Verwaltung von KI/ML-Workloads im großen Maßstab, wird branchenübergreifend eingesetzt und integriert Tools wie Jupyter-Notebooks, wodurch die Auswirkungen eines solchen Fehlers potenziell weitreichend sind.
Die von Rapid7 mit dieser Aktivität verknüpften IP-Adressen wurden hauptsächlich für Port-Scanning-Aktivitäten verwendet. Die Zielports sind 9, 21, 80, 81, 82, 443, 3000, 3001, 4443, 5000, 5001, 7001, 8000, 8008, 8010, 8080, 8081, 8082, 8443, 8888, 9000, 9001, 9090, 9091 und 9099. Die Aktivität dieser IPs wurde zwischen dem 8. und 20. September beobachtet.
Später stellten Forscher fest, dass Verstreute Lapsus$ Shiny Hunters (SLSH) gelistet Red Hat auf ihrer Leak-Site – was darauf hinweist, dass SLSH erpresst Red Hat im Auftrag von Crimson Collective. Analysten glauben nun, dass die Datenleck bei Red Hat ist wahrscheinlich a Zusammenarbeit zwischen SLSH und Crimson Collective.
Eine Analyse des von Crimson Collective geteilten Dateibaums und der Datenproben – die später auf der Leak-Site Scattered LAPSUS$ Hunters referenziert wurden – deutet darauf hin, dass zahlreiche Organisationen von der Red Hat-Sicherheitslücke betroffen sein könnten. Die Namen der Unternehmen und Umgebungen in der geleakten Repository-Struktur deuten auf ein breites operatives Profil hin. Während der eigentliche Dateiinhalt unzugänglich bleibt, geben die Namenskonventionen und die Struktur Aufschluss über die mögliche Reichweite der Kompromittierung. Einige der auf der Leak-Site geteilten CER-Beispieldatensätze enthüllten Beispiele Konfigurationsskripte (.cfg, .yml), Beispiel Authentifizierungs-Token, Beispielnetzwerkdiagramme und Standardkennwörter. Auch wenn diese Dateien als „Beispiele“ gekennzeichnet sind, können sie ein Risiko für Kunden darstellen (die in diesen CER-Dateien erscheinen), wenn sie direkt aus produktionsähnlichen Engagements stammen.
Es ist wichtig zu beachten, dass das folgende statistische Diagramm ausschließlich auf Verzeichnisbäumen und Dateinamen basiert. die wir in ihrer durchgesickerten Beispieldatenstruktur beobachtet habenDa die zugrunde liegenden Dateien oder Daten nicht zugänglich waren, können wir nicht mit absoluter Sicherheit sagen, dass alle Einträge aktive oder legitime Systeme widerspiegeln. Einige Einträge könnten veraltete Systeme, interne Tests oder unvollständige Bereitstellungen widerspiegeln. Die umfangreiche Auflistung – die fast fünf Jahre Beratungstätigkeit abdeckt – deutet jedoch stark darauf hin, dass sich ein erheblicher Teil dieser Informationen auf reale, implementierte Produktionsumgebungen in den aufgeführten Organisationen beziehen könnte.
Eine Analyse auf Grundlage des durchgesickerten Verzeichnisbaums von Red Hat zeigt, dass BFSI der am stärksten betroffene Sektor (~29 %) ist, gefolgt vom Technologiesektor (~17 %) und dem Regierungssektor (~11 %) weltweit.
Sicherheitsforscher vermuten seit Monaten Glänzende Jäger der Tätigkeit als Erpressung als Service (EaaS) Gruppe – die mit anderen Bedrohungsakteuren zusammenarbeitet, um Opfer zu erpressen und einen Teil des Lösegelds einzustreichen, ähnlich einem Ransomware-Partnermodell. Diese Theorie gewann nach mehreren Sicherheitsverletzungen an Bedeutung, darunter auch bei Oracle Cloud und PowerSchool, wurden unter dem Namen ShinyHunters erpresst, obwohl die Gruppe die Einbrüche nicht direkt für sich beanspruchte.
In Gesprächen mit PiependerComputerShinyHunters gab zu, dass sie oft als Makler für gestohlene Daten fungieren und typischerweise 25-30% von Erpressungszahlungen. Mit dem Start ihrer öffentlichen Datenleck-Site, scheinen sie diesen Service nun offen anzubieten.
Zusätzlich zu den Modi Red Hat, ShinyHunters erpresst derzeit S & P Global im Namen eines anderen Bedrohungsakteurs, der die Verantwortung für einen Angriff im Februar 2025 übernahm. Während S&P zuvor jeglichen Angriff bestritt, hat ShinyHunters nun Beispieldaten veröffentlicht und eine Oktober 10 Frist für die Lösegeldzahlung. Auf Anfrage von S&P Global lehnte dies mit Verweis auf die Offenlegungspflichten als in den USA börsennotiertes Unternehmen ab.
Die Scattered LAPSUS$ Shiny Hunters haben auf ihrem Telegram-Kanal eine offene Rekrutierungsnachricht gepostet, in der sie um Insider-Zugang von Mitarbeitern umsatzstarker Unternehmen werben – und dabei explizit auf Branchen wie Telekommunikation (Claro, Telefónica, AT&T usw.), große Software- und Spielefirmen (Microsoft, Apple, EA, IBM usw.), Callcenter-/BPM-Anbieter (Atento, Teleperformance usw.) und Server-Hosts (OVH, Locaweb usw.) abzielen. Der Post macht deutlich, dass sie nicht hinter Daten her sind (sie behaupten, „bereits alles zu haben“), sondern dauerhaften Netzwerkzugriff – VPN-/VDI-/Citrix-Zugriff, Active Directory-Funktionen, privilegierten Zugriff auf Okta/Azure/AWS – und bieten bereitwilligen Insidern eine Bezahlung. Sie ermutigten unsichere Kandidaten, ihnen eine Direktnachricht zu senden, sagten, dass auch Nicht-Mitarbeiter mit VPN-/VDI-Zugriff von Interesse seien, und wiesen darauf hin, dass der Schwerpunkt auf Zielen in den USA, Australien, Großbritannien, Kanada und Frankreich liege. Diese dreiste Aufforderung unterstreicht ihre Hinwendung zu von Insidern ermöglichten Eindringversuchen zur Unterstützung von Erpressungsoperationen.
Am 8. Oktober veröffentlichte die SLSH Group in ihrem Telegram-Kanal, dass sie über einen umfangreichen KYC-Datensatz zu einem indischen Staatsbürger verfügt. Weitere Beweise wurden nicht vorgelegt, sodass die Echtheit dieser Behauptung zum Zeitpunkt der Erstellung dieses Berichts ungewiss ist.
Am 11. Oktober gaben Scattered LAPSUS$ Shiny Hunters (SLSH) bekannt, ein öffentliches EaaS-Angebot starten zu wollen. Laut ihrer Erklärung werden ein Portal und die dazugehörigen Anweisungen bereitgestellt. Der Hauptvorteil bestehe darin, dass Angreifer den Namen und den Ruf der Gruppe nutzen können, um ihre Effektivität im Vergleich zu anonymen Angriffen zu erhöhen. Weitere Informationen werden erwartet. Zudem veröffentlichten sie die vollständigen geleakten Datensätze von „Qantas Airways Limited“, „Albertsons Companies, Inc.“, „GAP INC.“, „Fujifilm“, „Engie Resources“ und „Vietnam Airlines“ auf ihrer Darknet-Site, vermutlich nachdem Verhandlungen gescheitert oder Lösegeldforderungen abgelehnt worden waren.
Kontextualisierung
Seqrite Threat Intelligence (STI) bietet eine vollständige Korrelation in Bezug auf diese Gruppen sowie eine angemessene Anreicherung und Kontextualisierung in Bezug auf Opferforschung, TTPs, Schwachstellen und mehr:
Fazit
Der Aufstieg der Scattered LAPSUS$ Hunters markiert eine neue Phase der Cyber-Erpressung, die eher auf Publicity, Social Engineering und Zusammenarbeit als auf reinem technischen Können basiert. Ihre Mischung aus Taktiken von LAPSUS$, ShinyHunters und Scattered Spider spiegelt eine breitere Entwicklung hin zu lose verbundenen Erpresserallianzen wider, die von Chaos und Sichtbarkeit leben.
Die Nutzung durchgesickerter Exploits wie der Zero-Day-Angriff auf die Oracle E-Business Suite zeigt, wie schnell Bedrohungsakteure öffentliche Tools als Waffe einsetzen können, um ihre Wirkung zu verstärken. Die Zuordnung bleibt unklar, da Gruppen Infrastruktur und Code über offene Plattformen hinweg teilen. Diese Kampagne unterstreicht, dass Menschen und nicht nur Systeme das schwächste Glied sind. Die beste Verteidigung liegt nun in starken Zugriffskontrollen, Multi-Faktor-Authentifizierung, kontinuierlicher Bedrohungsüberwachung und Benutzeraufklärung. Diese hybriden Angriffe beweisen, dass es bei moderner Cyberkriminalität ebenso sehr um psychologischen Druck und Reputationsschäden geht wie um technische Beeinträchtigungen.
- Rotieren Sie alle Anmeldeinformationen und Dienstkonten zwischen Oracle, Discord und Systemen von Drittanbietern und befolgen Sie die im Advisory veröffentlichten Richtlinien von Red Hat.
- Patchen Sie alle Systeme sofort und isolieren Sie alle nicht gepatchten Server.
- Widerrufen und regenerieren Sie Standard-Authentifizierungstoken, API-Schlüssel, Sitzungscookies, digitale Zertifikate (CER-Dateien) und private Schlüssel.
- Überprüfen und bereinigen Sie alle Konfigurationsdateien, um fest codierte Anmeldeinformationen oder Token zu entfernen.
- Implementieren Sie kontinuierliches geheimes Scannen in Code- und Konfigurations-Repositories.
- Beschränken Sie den Administrator- und Servicezugriff mithilfe von Least-Privilege- und Just-in-Time-Modellen.
- Verbessern Sie die SIEM- und EDR/XDR-Überwachung, um den Missbrauch von Anmeldeinformationen oder Token zu erkennen.
- Bewerten und sichern Sie Drittanbieter; verlangen Sie die Einhaltung von SOC 2 oder ISO 27001.
- Führen Sie eine vollständige Datenexpositionsanalyse durch, um Umfang und Auswirkungen der durchgesickerten Daten zu bestätigen.
- Erstellen Sie kompromittierte Systeme aus sauberen Backups neu oder stellen Sie sie wieder her, wenn die Integrität unsicher ist.
- Aktualisieren Sie den Vorfallreaktionsplan, um Szenarien mit durchgesickerten Konfigurationen, Token und Zertifikaten einzubeziehen.
- Benachrichtigen Sie betroffene Benutzer oder Partner und halten Sie die Offenlegungsvorschriften ein.
- Aktivieren Sie kontinuierliche Schwachstellenscans und die geplante Rotation von Anmeldeinformationen/Schlüsseln.
- Überwachen Sie Dark-Web-Quellen auf durchgesickerte Konfigurationen, Token oder Zertifikate.
- Schulen Sie Ihre Mitarbeiter darin, Phishing und Versuche zum Diebstahl von Anmeldeinformationen zu erkennen und zu vermeiden, in die Vishing-Falle zu tappen.
