Mustang Panda missbraucht Zoho: 19.000 Dateien aus Atomkraftwerk

Die Hacker-Kampagne GoSerpent stiehlt Geheimdokumente aus Regierungsnetzen. Parallel greifen Gruppen wie Mustang Panda indische Behörden an.

Eine koordinierte Spionagekampagne namens GoSerpent hat gezielt Regierungs- und Diplomatieeinrichtungen in Südostasien angegriffen. Die Angreifer stahlen sensible Dokumente und verschafften sich dauerhaften Netzwerkzugriff.

GoSerpent: Hochprofessionelle Spionagesoftware im Einsatz

Die Kampagne nutzt eine komplexe Kette von Schadprogrammen. Sicherheitsforscher bringen die Aktivitäten mit der Gruppe TetrisPhantom in Verbindung, die erstmals 2023 dokumentiert wurde. Die aktuelle Angriffswelle setzt unter anderem auf den Datensammler ThumbcacheService und das Passwort-Klau-Tool Mimikatz.

Das Hauptziel: der Diebstahl geheimer diplomatischen Dokumente. Die Malware operierte monatelang unbemerkt in den kompromittierten Netzwerken. Experten sehen darin einen weiteren Beleg für den Trend staatlich gesteuerter Cyber-Spionage in der Region.

Mustang Panda greift indische Behörden an

Parallel dazu hat die China-nahe Gruppe Mustang Panda indische Regierungsnetzwerke und Wasserkraft-Infrastruktur ins Visier genommen. Besonders raffiniert: Die Hacker nutzen die legitime Cloud-Plattform Zoho WorkDrive als Kommandozentrale. So umgehen sie herkömmliche Sicherheitsfilter.

Mustang Panda setzt dabei maßgeschneiderte Werkzeuge ein – darunter SHARDLOADER, MINIRECON und ZOHOMURK. Die Gruppe verwendet fest codierte Zoho-Zugangsdaten, um infizierte Systeme mit ihren externen Servern zu verbinden. Das ist ein gefährlicher Trend: Immer mehr Angreifer missbrauchen vertrauenswürdige Cloud-Dienste für ihre Zwecke.

Atomkraftwerk und EU-Kommission betroffen

Die Angriffswelle traf auch kritische Infrastruktur. Einem Bericht zufolge hat die Ransomware-Gruppe World Leaks rund 19.000 Dateien aus dem indischen Kernkraftwerk Kudankulam im Darknet veröffentlicht – insgesamt 14,3 Gigabyte Daten. Die Dateien stammen von einem Auftragnehmer, Reliance Infrastructure Limited. Die gestohlenen Informationen umfassen Konstruktionspläne, Mitarbeiterdaten und Lieferanteninformationen. Die indische Atomenergiebehörde NPCIL betont, dass die Sicherheitssysteme des Reaktors nicht gefährdet seien.

Anzeige

Immer mehr Unternehmen werden Opfer von Cyberangriffen – diese Checkliste hilft Ihnen, es zu verhindern. Experten erklären im kostenlosen E-Book, wie Sie sich proaktiv absichern, bevor es zu spät ist. Experten-Ratgeber für Cyber-Security jetzt gratis anfordern

Auch in Europa schlugen Hacker zu. Die Europäische Kommission meldete einen Einbruch, bei dem Angreifer über einen kompromittierten API-Schlüssel persönliche Daten wie Namen und E-Mail-Adressen erbeuteten. Die Gruppen TeamPCP und ShinyHunters stahlen insgesamt 92 Gigabyte Daten von mindestens 29 EU-Einrichtungen.

Wählerdaten und diplomatische Sicherheit

Freigegebene Geheimdokumente vom 16. Juli 2026 deuten darauf hin, dass externe Akteure versucht haben, 220 Millionen US-Wählerdaten aus 18 Bundesstaaten zu erbeuten. Die Dokumente beschreiben Strategien, die darauf abzielen, gesellschaftliche Spaltungen durch psychologische Kriegsführung und rechtliche Manöver zu vertiefen.

Die Sicherheitslage bleibt auch in Afrika angespannt. Am 18. Juli 2026 wurde die offizielle Website der kenianischen Präsidentschaft gekapert. Die Angreifer forderten 5 Bitcoin Lösegeld. Die kenianische IT-Behörde versicherte, dass keine sensiblen Daten verloren gingen – allerdings waren kenianische Regierungssysteme im letzten Quartal bereits über 3 Milliarden Cyberangriffen ausgesetzt.

Anzeige

Diese 7 psychologischen Schwachstellen Ihrer Mitarbeiter nutzen Hacker gnadenlos aus. Ein neuer Gratis-Report enthüllt die aktuellen Methoden der Cyberkriminellen – und wie man sie entlarvt. Kostenloses Anti-Phishing-Paket für Unternehmen herunterladen

Schwachstellen und neue Angriffsmethoden

Angreifer nutzen sowohl neue als auch ungepatchte Sicherheitslücken:

• WinRAR-Exploits: Russland-nahe Gruppen wie Earth Dahu und Gamaredon nutzen eine Schwachstelle in WinRAR (CVE-2025-8088), obwohl der Fehler bereits im Juli 2025 geschlossen wurde. Sie zielen auf ukrainische Organisationen ab und setzen die Datendiebe GammaPhish und GIFTEDCROOK ein.

• SonicWall-Zero-Days: Zwei bisher unbekannte Sicherheitslücken in SonicWall-Geräten (CVE-2026-15409 und CVE-2026-15410) werden seit dem 22. Juni 2026 ausgenutzt. Der Angreifer UTA0533 verschafft sich damit Root-Zugriff auf betroffene Systeme.

• Drittanbieter-Kompromittierung: Die Wirtschaftsprüfungsgesellschaft Ernst & Young (EY) meldete einen Datendiebstahl, der zwischen dem 28. März und 12. April 2026 stattfand. Über eine kompromittierte IT-Support-Plattform erbeuteten Angreifer Steuererklärungen und Finanzdaten von mindestens 1.366 betroffenen Personen in vier US-Bundesstaaten.