{"data":{"cases":[{"actions":{"de":["Prüfe unter Windows 2000 Server, ob IIS läuft: Es ist standardmäßig installiert, und die Lücke ist auch dann erreichbar, wenn niemand den Indexdienst nutzt.","Installiere Microsofts Patch **MS01-033** (KB Q300972) oder ein späteres Update, das ihn enthält, etwa **Windows 2000 Service Pack 3**.","Wenn du ihn nicht installieren kannst, entferne in IIS die **Skriptzuordnungen für .ida und .idq**.","Halte Server, auf denen noch Windows NT 4.0 oder Windows 2000 läuft, vom offenen Internet fern."],"en":["On Windows 2000 Server, check whether IIS is running: it is installed by default, and the flaw can be reached even if nobody uses the indexing service.","Install Microsoft's fix **MS01-033** (KB Q300972) or a later update that contains it, such as **Windows 2000 Service Pack 3**.","If you cannot install it, remove the **.ida and .idq script mappings** in IIS.","Keep servers that still run Windows NT 4.0 or Windows 2000 off the open internet."]},"criteria":{"damage":{"de":"Die Kosten einschließlich späterer Versionen des Wurms werden auf mehr als 2,6 Milliarden US-Dollar geschätzt (Schätzung von Computer Economics, zitiert von CAIDA).","en":"The cost, including later versions of the worm, is estimated at more than USD 2.6 billion (estimate by Computer Economics, quoted by CAIDA).","met":true},"exploitation":{"de":"Code Red war ein sich selbst verbreitender Wurm: Jeder infizierte Server griff von selbst neue Server an (CAIDA).","en":"Code Red was a self-spreading worm: every infected server attacked new ones on its own (CAIDA).","met":true},"reach":{"de":"Code Red infizierte am 19. Juli 2001 in weniger als 14 Stunden 359.104 Computer (CAIDA).","en":"Code Red infected 359,104 computers in less than 14 hours on July 19, 2001 (CAIDA).","met":true},"response":{"de":"Der Patch von Microsoft war seit dem 18. Juni 2001 verfügbar; die Quellen belegen keine Maßnahmen über das übliche Patchen hinaus (Microsoft, CAIDA).","en":"Microsoft's fix had been out since June 18, 2001; the sources document no measures beyond routine patching (Microsoft, CAIDA).","met":false}},"cves":["CVE-2001-0500"],"cvss":10,"cvss_version":"2.0","cwe":"NVD-CWE-Other","dates":[{"date":"2001-06-18","key":"patched"},{"date":"2001-07-12","key":"exploited"},{"date":"2001-07-19","key":"outbreak"},{"date":"2001-08-01","de":"Code Red verbreitet sich erneut","en":"Code Red starts to spread again"},{"date":"2001-08-04","de":"CodeRedII, ein anderer Wurm, nutzt dieselbe Sicherheitslücke aus","en":"CodeRedII, a different worm, uses the same flaw"}],"de":{"credit":"eEye Digital Security","fixed":"Microsoft-Patch MS01-033 (18. Juni 2001); enthalten im Windows 2000 Service Pack 3","product":"Microsoft-IIS-Webserver","summary":"Ein sich selbst verbreitender Wurm nutzte eine Lücke in Microsofts Webserver-Software IIS aus – einen Monat, nachdem Microsoft den Patch veröffentlicht hatte."},"disclosed":"2001-07-19","en":{"credit":"eEye Digital Security","fixed":"Microsoft patch MS01-033 (June 18, 2001); part of Windows 2000 Service Pack 3","product":"Microsoft IIS web servers","summary":"A self-spreading worm used a flaw in Microsoft's web server software IIS, a month after Microsoft had published the fix."},"figures":[{"de":"Computer in weniger als 14 Stunden infiziert","en":"computers infected in less than 14 hours","value":"359,104"},{"de":"Tage zwischen Microsofts Patch und dem massenhaften Ausbruch","en":"days between Microsoft's fix and the mass outbreak","value":"31"},{"de":"der infizierten Computer waren Rechner von Privatleuten und kleinen Firmen","en":"of the infected computers were home and small-business machines","value":"21 %"}],"key":"code-red","name":"Code Red","product":"Microsoft IIS","sources":[{"de":"CAIDA: Code-Red, eine Fallstudie zu Ausbreitung und Opfern eines Internet-Wurms (2002, PDF)","title":"CAIDA: Code-Red, a case study on the spread and victims of an Internet worm (2002, PDF)","url":"https://www.caida.org/publications/papers/2002/codered/codered.pdf"},{"de":"CAIDA: die Ausbreitung des Code-Red-Wurms (CRv2)","title":"CAIDA: the spread of the Code-Red worm (CRv2)","url":"https://www.caida.org/archive/code-red/coderedv2_analysis/"},{"de":"CAIDA: Archiv zu Code-Red, mit CodeRedII","title":"CAIDA: Code-Red archive, with CodeRedII","url":"https://www.caida.org/archive/code-red/"},{"de":"Microsoft-Sicherheitsbulletin MS01-033","title":"Microsoft security bulletin MS01-033","url":"https://learn.microsoft.com/en-us/security-updates/securitybulletins/2001/ms01-033"},{"de":"NVD: CVE-2001-0500","title":"NVD: CVE-2001-0500","url":"https://nvd.nist.gov/vuln/detail/CVE-2001-0500"},{"de":"Inside the Slammer Worm, IEEE Security \u0026 Privacy (2003, PDF), mit Code Red zum Vergleich","title":"Inside the Slammer Worm, IEEE Security \u0026 Privacy (2003, PDF), with Code Red for comparison","url":"https://css.csail.mit.edu/6.566/2018/readings/slammer.pdf"}],"vector":"AV:N/AC:L/Au:N/C:C/I:C/A:C","year":2001},{"actions":{"de":["Installiere **SQL Server 2000 Service Pack 3**, das den Fix enthält, oder zumindest den Patch aus dem Microsoft-Bulletin **MS02-039** oder seinem Nachfolger MS02-061.","Such auch nach **MSDE 2000**: Es steckt auch in anderen Produkten, etwa in Visual Studio und der Office Developer Edition, und braucht denselben Fix.","Sperre **UDP-Port 1434** in deiner Firewall, damit der Resolution Service aus dem Internet nicht erreichbar ist."],"en":["Install **SQL Server 2000 Service Pack 3**, which contains the fix, or at least the patch from Microsoft bulletin **MS02-039** or its successor MS02-061.","Look for **MSDE 2000** as well: it also ships inside other products, such as Visual Studio and Office Developer Edition, and needs the same fix.","Block **UDP port 1434** at your firewall, so the Resolution Service cannot be reached from the internet."]},"criteria":{"damage":{"de":"Im Kernkraftwerk Davis-Besse war das Safety Parameter Display System 4 Stunden und 50 Minuten nicht verfügbar; Steuerung und Schutzfunktionen der Anlage waren nicht betroffen (US-NRC).","en":"At the Davis-Besse nuclear plant, the safety parameter display system was unavailable for 4 hours 50 minutes; plant control and protection were not affected (US NRC).","met":true},"exploitation":{"de":"Slammer war ein sich selbst verbreitender Wurm, der in 10 Minuten mehr als 90 % der verwundbaren Computer infizierte (Inside the Slammer Worm, 2003).","en":"Slammer was a self-spreading worm that infected more than 90 % of vulnerable computers within 10 minutes (Inside the Slammer Worm, 2003).","met":true},"reach":{"de":"Gezählt wurden mindestens 75.000 infizierte Computer; die tatsächliche Zahl kann höher liegen, doch keine Messung in den Quellen erreicht 100.000 (Inside the Slammer Worm, 2003).","en":"At least 75,000 infected computers were measured; the true number may be higher, but no measurement in the sources reaches 100,000 (Inside the Slammer Worm, 2003).","met":false},"response":{"de":"Der Patch von Microsoft war seit dem 24. Juli 2002 verfügbar; darüber hinaus belegen die Quellen nur, dass Netzwerke UDP-Port 1434 sperrten (Microsoft, Inside the Slammer Worm).","en":"Microsoft's patch had been out since July 24, 2002; beyond it, the sources document only networks blocking UDP port 1434 (Microsoft, Inside the Slammer Worm).","met":false}},"cves":["CVE-2002-0649"],"cvss":7.5,"cvss_version":"2.0","cwe":"CWE-119","dates":[{"date":"2002-07-24","key":"patched"},{"date":"2002-07-25","de":"Microsoft nimmt MSDE 2000 in sein Bulletin auf","en":"Microsoft adds MSDE 2000 to its bulletin"},{"date":"2003-01-25","key":"outbreak"},{"date":"2003-08-29","de":"Die US-Atomaufsicht NRC meldet den Wurm im Netzwerk des Kraftwerks Davis-Besse","en":"The US nuclear regulator NRC reports the worm in the network of the Davis-Besse plant"}],"de":{"credit":"NGSSoftware (Next Generation Security Software, Großbritannien)","fixed":"Microsoft-Patch MS02-039 (24. Juli 2002); enthalten im SQL Server 2000 Service Pack 3","product":"Datenbankserver Microsoft SQL Server 2000 und MSDE 2000","summary":"Ein nur 376 Byte großer Wurm verbreitete sich hundertmal schneller als Code Red und überflutete Netzwerke mit seinem Datenverkehr."},"disclosed":"2003-01-25","en":{"credit":"NGSSoftware (Next Generation Security Software, UK)","fixed":"Microsoft patch MS02-039 (July 24, 2002); part of SQL Server 2000 Service Pack 3","product":"Microsoft SQL Server 2000 and MSDE 2000 databases","summary":"A worm of just 376 bytes spread a hundred times faster than Code Red and flooded networks with its traffic."},"figures":[{"de":"bis mehr als 90 % der verwundbaren Server infiziert waren","en":"to infect more than 90 % of vulnerable servers","value":"10 min"},{"de":"fiel das Safety Parameter Display System im Kernkraftwerk Davis-Besse aus","en":"outage of the safety parameter display system at the Davis-Besse nuclear plant","value":"4 h 50 min"},{"de":"infizierte Computer mindestens, vielleicht erheblich mehr","en":"infected computers at least, perhaps considerably more","value":"75,000"}],"key":"sql-slammer","name":"SQL Slammer","product":"Microsoft SQL Server 2000","sources":[{"de":"Inside the Slammer Worm, IEEE Security \u0026 Privacy (2003, PDF)","title":"Inside the Slammer Worm, IEEE Security \u0026 Privacy (2003, PDF)","url":"https://css.csail.mit.edu/6.566/2018/readings/slammer.pdf"},{"de":"CAIDA: die Ausbreitung des Sapphire/Slammer-Wurms","title":"CAIDA: the spread of the Sapphire/Slammer worm","url":"https://www-old.caida.org/publications/papers/2003/sapphire/sapphire.html"},{"de":"Microsoft-Sicherheitsbulletin MS02-039","title":"Microsoft security bulletin MS02-039","url":"https://learn.microsoft.com/en-us/security-updates/securitybulletins/2002/ms02-039"},{"de":"NVD: CVE-2002-0649","title":"NVD: CVE-2002-0649","url":"https://nvd.nist.gov/vuln/detail/CVE-2002-0649"},{"de":"US-NRC, Information Notice 2003-14: Slammer im Netzwerk des Kernkraftwerks Davis-Besse (PDF)","title":"US NRC Information Notice 2003-14: Slammer in the network of the Davis-Besse nuclear plant (PDF)","url":"https://www.nrc.gov/docs/ML0324/ML032410430.pdf"}],"vector":"AV:N/AC:L/Au:N/C:P/I:P/A:P","year":2003},{"actions":{"de":["Installiere Microsofts Update **KB958644** (Bulletin MS08-067) auf jedem Windows-Computer, dem es noch fehlt; Windows 2000, XP und Server 2003 lassen sich ohne Anmeldung angreifen.","Verwende starke Passwörter für freigegebene Ordner: Spätere Versionen des Wurms errieten schwache.","Sorge dafür, dass die Windows-Dateifreigabe auf **Port 445** aus dem Internet nicht erreichbar ist.","Behandle USB-Sticks von ungepatchten Windows-Computern als möglicherweise infiziert: Spätere Versionen kopierten sich auf sie."],"en":["Install Microsoft's update **KB958644** (bulletin MS08-067) on every Windows computer that still lacks it; Windows 2000, XP and Server 2003 can be attacked without a login.","Use strong passwords for shared folders: later versions of the worm guessed weak ones.","Do not let Windows file sharing on **port 445** be reached from the internet.","Treat USB sticks from unpatched Windows computers as possibly infected: later versions copied themselves onto them."]},"criteria":{"damage":{"de":"Keine Primärquelle nennt eine Zahl zum Schaden.","en":"No primary source gives a figure for the damage.","met":false},"exploitation":{"de":"Conficker war ein Wurm, der sich selbstständig von Computer zu Computer verbreitete (Conficker Working Group).","en":"Conficker was a self-spreading worm that moved from computer to computer on its own (Conficker Working Group).","met":true},"reach":{"de":"Ein Jahr nach dem Erscheinen des Wurms waren zwischen 5 und 13 Millionen Computer infiziert (Conficker Working Group).","en":"Between 5 and 13 million computers were infected one year after the worm's release (Conficker Working Group).","met":true},"response":{"de":"Die Conficker Working Group stimmte sich mit mehr als 100 Ländern ab, um täglich mehr als 50.000 Domainnamen zu sperren (Conficker Working Group).","en":"The Conficker Working Group coordinated with more than 100 countries to block more than 50,000 domain names a day (Conficker Working Group).","met":true}},"cves":["CVE-2008-4250"],"cvss":10,"cvss_version":"2.0","cwe":"CWE-94","dates":[{"date":"2008-10-23","key":"patched"},{"date":"2008-11-21","key":"outbreak"},{"date":"2008-12-29","de":"Eine zweite Version des Wurms erscheint","en":"A second version of the worm is released"},{"date":"2009-02-12","de":"Microsoft kündigt ein gemeinsames Vorgehen mit der Branche und 250.000 US-Dollar Belohnung an","en":"Microsoft announces joint action with the industry and a USD 250,000 reward"},{"date":"2009-04-01","de":"Eine spätere Version stellt auf 50.000 Domainnamen pro Tag um","en":"A later version switches to 50,000 domain names a day"},{"date":"2026-05-20","key":"kev"}],"de":{"credit":"Nicht genannt; die Lücke wurde Microsoft vertraulich gemeldet","fixed":"Microsoft-Update MS08-067, KB958644 (23. Oktober 2008)","product":"Microsoft Windows, Serverdienst","summary":"Ein Windows-Wurm suchte täglich unter bis zu 50.000 neuen Domainnamen nach Updates; Verteidiger in über 100 Ländern sperrten diese Namen gemeinsam."},"disclosed":"2008-11-21","en":{"credit":"Not named; the flaw was reported privately to Microsoft","fixed":"Microsoft update MS08-067, KB958644 (October 23, 2008)","product":"Microsoft Windows, Server service","summary":"A Windows worm looked for updates at up to 50,000 new domain names a day, which defenders in over 100 countries worked together to block."},"figures":[{"de":"Millionen Computer ein Jahr nach dem Ausbruch infiziert","en":"million computers infected one year after the outbreak","value":"5–13"},{"de":"Länder, mit denen sich die Verteidiger abstimmten, um die Domainnamen des Wurms zu sperren","en":"countries the defenders coordinated with to block the worm's domain names","value":"100+"},{"de":"der Windows-Computer waren im Januar 2009 noch nicht gepatcht (Schätzung von Qualys)","en":"of Windows computers were still unpatched in January 2009 (estimate by Qualys)","value":"30 %"}],"kev":"2026-05-20","key":"conficker","name":"Conficker","product":"Microsoft Windows","sources":[{"de":"Microsoft-Sicherheitsbulletin MS08-067","title":"Microsoft security bulletin MS08-067","url":"https://learn.microsoft.com/en-us/security-updates/securitybulletins/2008/ms08-067"},{"de":"NVD: CVE-2008-4250","title":"NVD: CVE-2008-4250","url":"https://nvd.nist.gov/vuln/detail/CVE-2008-4250"},{"de":"Conficker Working Group: Lessons Learned (2010, PDF, Spiegelkopie)","title":"Conficker Working Group: Lessons Learned (2010, PDF, mirror copy)","url":"https://cyberwar.nl/d/Conficker_Working_Group_Lessons_Learned_17_June_2010_final.pdf"},{"de":"CAIDA: Conficker aus Sicht des UCSD Network Telescope","title":"CAIDA: Conficker as seen from the UCSD Network Telescope","url":"https://www.caida.org/archive/ms08-067/conficker/"},{"de":"Microsoft: Zusammenarbeit der Branche gegen Conficker und 250.000 US-Dollar Belohnung","title":"Microsoft: industry collaboration against Conficker and a USD 250,000 reward","url":"https://news.microsoft.com/2009/02/12/microsoft-collaborates-with-industry-to-disrupt-conficker-worm/"}],"vector":"AV:N/AC:L/Au:N/C:C/I:C/A:C","year":2008},{"actions":{"de":["Aktualisiere OpenSSL von den Versionen 1.0.1 bis 1.0.1f auf **1.0.1g** oder neuer.","Wenn du nicht sofort aktualisieren kannst, kompiliere OpenSSL mit der Option `-DOPENSSL_NO_HEARTBEATS` neu.","Behandle Schlüssel, die mit einer verwundbaren Version erzeugt wurden, als gestohlen: Erzeuge einen **neuen privaten Schlüssel**, besorge ein neues Zertifikat und widerrufe das alte.","Prüfe auch Netzwerkgeräte und eingebettete Geräte: Viele wurden mit einer verwundbaren OpenSSL-Version ausgeliefert."],"en":["Update OpenSSL versions 1.0.1 to 1.0.1f to **1.0.1g** or newer.","If you cannot update at once, rebuild OpenSSL with the option `-DOPENSSL_NO_HEARTBEATS`.","Treat keys made with a vulnerable version as stolen: create a **new private key**, get a new certificate and revoke the old one.","Check appliances and embedded devices too: many shipped with a vulnerable OpenSSL version."]},"criteria":{"damage":{"de":"Eine verlässliche Gesamtzahl gibt es nicht; der Diebstahl von 900 Sozialversicherungsnummern bei der kanadischen Steuerbehörde Canada Revenue Agency ist nur aus der Presse bekannt (CTV News).","en":"No reliable total exists; the theft of 900 social insurance numbers from the Canada Revenue Agency is known only from the press (CTV News).","met":false},"exploitation":{"de":"Forscher zählten 5.948 Angriffsversuche auf 217 Ziele in vier überwachten Netzwerken; die Quellen belegen keine Massenangriffe (The Matter of Heartbleed, 2014).","en":"Researchers counted 5,948 attack attempts against 217 targets at four monitored networks; the sources document no mass attacks (The Matter of Heartbleed, 2014).","met":false},"reach":{"de":"Anfangs waren 24–55 % der HTTPS-Server in der Alexa Top 1 Million verwundbar, zwei Tage nach der Bekanntgabe noch etwa 2 Millionen HTTPS-Server (The Matter of Heartbleed, 2014).","en":"24–55 % of HTTPS servers in the Alexa Top 1 Million were vulnerable at first, and about 2 million HTTPS servers two days after disclosure (The Matter of Heartbleed, 2014).","met":true},"response":{"de":"Schlüssel und Zertifikate mussten als kompromittiert gelten (US-CERT), und 23 % der HTTPS-Websites in der Alexa Top 1 Million ersetzten binnen drei Wochen ihre Zertifikate (The Matter of Heartbleed, 2014).","en":"Keys and certificates had to be treated as compromised (US-CERT), and 23 % of HTTPS sites in the Alexa Top 1 Million replaced their certificates within three weeks (The Matter of Heartbleed, 2014).","met":true}},"cves":["CVE-2014-0160"],"cvss":7.5,"cvss_version":"3.1","cwe":"CWE-125","dates":[{"date":"2011-12-31","key":"introduced"},{"date":"2014-03-21","key":"discovered"},{"date":"2014-04-01","key":"reported"},{"date":"2014-04-07","key":"patched"},{"date":"2014-04-08","key":"exploited"},{"date":"2022-05-04","key":"kev"}],"de":{"credit":"Das Sicherheitsteam von Google und Codenomicon, unabhängig voneinander","fixed":"OpenSSL 1.0.1g (7. April 2014)","product":"OpenSSL, die Verschlüsselungssoftware hinter vielen HTTPS-Servern","summary":"Eine fehlende Prüfung in OpenSSL ließ Angreifer Teile des Serverspeichers auslesen, von Passwörtern bis zu privaten Schlüsseln, ohne Spuren in den normalen Logdateien."},"disclosed":"2014-04-07","en":{"credit":"Google's security team and Codenomicon, independently of each other","fixed":"OpenSSL 1.0.1g (April 7, 2014)","product":"OpenSSL, the encryption software behind many HTTPS servers","summary":"A missing check in OpenSSL let attackers read pieces of server memory, from passwords to private keys, without leaving a trace in normal logs."},"figures":[{"de":"der HTTPS-Server unter den eine Million meistbesuchten Websites waren anfangs verwundbar","en":"of HTTPS servers among the top million websites were vulnerable at first","value":"24–55 %"},{"de":"der eine Million meistbesuchten HTTPS-Websites ersetzten binnen drei Wochen ihre Zertifikate","en":"of the top million HTTPS sites replaced their certificates within three weeks","value":"23 %"},{"de":"Serverspeicher konnten mit jeder Anfrage abfließen","en":"of server memory could leak with each request","value":"64 KB"}],"kev":"2022-05-04","key":"heartbleed","name":"Heartbleed","product":"OpenSSL","sources":[{"de":"OpenSSL-Sicherheitshinweis vom 7. April 2014","title":"OpenSSL security advisory of April 7, 2014","url":"https://openssl-library.org/news/secadv/20140407.txt"},{"de":"Codenomicon: heartbleed.com, die Seite der Entdecker zum Fehler","title":"Codenomicon: heartbleed.com, the finders' page about the bug","url":"https://heartbleed.com/"},{"de":"The Matter of Heartbleed, ACM Internet Measurement Conference (2014, PDF)","title":"The Matter of Heartbleed, ACM Internet Measurement Conference (2014, PDF)","url":"https://nebelwelt.net/files/14IMC.pdf"},{"de":"NVD: CVE-2014-0160","title":"NVD: CVE-2014-0160","url":"https://nvd.nist.gov/vuln/detail/CVE-2014-0160"},{"de":"US-CERT-Warnung TA14-098A","title":"US-CERT alert TA14-098A","url":"https://www.cisa.gov/ncas/alerts/TA14-098A"},{"de":"CTV News (Presse): Laut CRA wurden 900 Sozialversicherungsnummern entwendet","title":"CTV News (press): CRA says 900 social insurance numbers were taken","url":"https://www.ctvnews.ca/canada/cra-says-900-social-insurance-numbers-taken-in-heartbleed-exploit-1.1774708"}],"vector":"CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N","year":2014},{"actions":{"de":["Aktualisiere Bash über die Updates deines Systems: Bash 4.3 braucht die **Patches 025 bis 030**, ältere Versionen die entsprechenden Patches.","Prüfe eingebettete Geräte, etwa Geräte mit eingebautem Linux, die keine Updates mehr bekommen: Auf ihnen kann noch eine ungepatchte Bash laufen.","Schalte CGI-Skripte auf Webservern ab, die du nicht mehr brauchst: Über sie gelangte eine einzige präparierte Webanfrage bis zu Bash."],"en":["Update Bash through your system's updates: Bash 4.3 needs **patches 025 to 030**, older versions the matching patches.","Check embedded devices, such as appliances with built-in Linux, that no longer get updates: they may still run an unpatched Bash.","Switch off CGI scripts on web servers that you no longer need: a single crafted web request reached Bash through them."]},"criteria":{"damage":{"de":"Weder Schadenszahlen noch Ausfälle kritischer Dienste sind belegt; die Angriffszahlen stammen aus Sensoren der Anbieter, nicht aus Schadensmeldungen.","en":"No damage figures and no outages of critical services are documented; the attack counts come from vendors' sensors, not from damage reports.","met":false},"exploitation":{"de":"Innerhalb von vier Tagen trafen Angriffe mehr als 4.115 von Imperva geschützte Websites, und Cloudflare blockierte mehr als 1,1 Millionen Angriffe (Anbieterdaten von Imperva und Cloudflare).","en":"Within four days, attacks hit more than 4,115 websites protected by Imperva, and Cloudflare blocked more than 1.1 million attacks (vendor data from Imperva and Cloudflare).","met":true},"reach":{"de":"Bash gehört bei Linux und macOS zum Grundbestand des Betriebssystems (US-CERT), und auf Linux allein laufen heute 63,2 % aller Websites, deren Betriebssystem bekannt ist (W3Techs, 23. Oktober 2026).","en":"Bash is part of the base operating system of Linux and macOS (US-CERT), and Linux alone runs 63.2 % of all websites whose operating system is known today (W3Techs, October 23, 2026).","met":true},"response":{"de":"In elf Tagen erschienen sechs Bash-Patches, aber keine Maßnahme über das übliche Patchen hinaus ist belegt (Patch-Archiv von GNU Bash, US-CERT).","en":"Six Bash patches came out in eleven days, but no measure beyond routine patching is documented (GNU Bash patch archive, US-CERT).","met":false}},"cves":["CVE-2014-6271","CVE-2014-7169","CVE-2014-7186","CVE-2014-7187","CVE-2014-6277","CVE-2014-6278"],"cvss":9.8,"cvss_version":"3.1","cwe":"CWE-78","dates":[{"date":"2014-09-15","de":"Früheste belegte Meldung, im Bug-Tracker von Red Hat, noch geheim","en":"Earliest documented report, in Red Hat's bug tracker, still kept secret"},{"date":"2014-09-24","key":"disclosed"},{"date":"2014-09-24","key":"patched"},{"date":"2014-09-25","de":"Der erste Fix erweist sich als unvollständig; seine Umgehung erhält eine eigene CVE-Nummer","en":"The first fix proves incomplete; the way around it gets its own CVE"},{"date":"2014-09-26","de":"Die Angriffe erreichen in den Sensordaten von Cisco ihren Höhepunkt","en":"Attacks peak in Cisco's sensor data"},{"date":"2014-10-05","de":"Sechster und letzter Bash-Patch der Reihe","en":"Sixth and last Bash patch of the series"}],"de":{"credit":"Ein unabhängiger Unix- und Linux-Spezialist; die Folgelücken fanden andere Forscher","fixed":"Patches 025 bis 030 für Bash 4.3 (24. September bis 5. Oktober 2014) und entsprechende Patches für ältere Versionen","product":"GNU Bash, die Shell von Linux, Unix und macOS","summary":"Eine Lücke in Bash, der Shell von Linux und macOS, ließ Angreifer mit einer einzigen präparierten Anfrage Befehle auf Webservern ausführen."},"disclosed":"2014-09-24","en":{"credit":"An independent Unix and Linux specialist; follow-up flaws by other researchers","fixed":"Bash 4.3 patches 025 to 030 (September 24 to October 5, 2014) and matching patches for older versions","product":"GNU Bash, the command shell of Linux, Unix and macOS","summary":"A flaw in Bash, the command shell of Linux and macOS, let attackers run commands on web servers with a single crafted request."},"figures":[{"de":"der Websites mit bekanntem Betriebssystem laufen heute auf Linux, bei dem Bash zum System gehört","en":"of websites with a known operating system run on Linux today, where Bash is part of the system","value":"63.2 %"},{"de":"Shellshock-Angriffe pro Sekunde zu Beginn, allein bei Cloudflare (Anbieterdaten)","en":"Shellshock attacks per second at first, at Cloudflare alone (vendor data)","value":"10–15"},{"de":"Bash-Patches in elf Tagen, weil die ersten Fixes unvollständig waren","en":"Bash patches in eleven days, because the first fixes were incomplete","value":"6"}],"kev":"2022-01-28","key":"shellshock","name":"Shellshock","product":"GNU Bash","sources":[{"de":"oss-security: der erste öffentliche Sicherheitshinweis zu CVE-2014-6271","title":"oss-security: the first public advisory on CVE-2014-6271","url":"https://www.openwall.com/lists/oss-security/2014/09/24/10"},{"de":"GNU-Projekt: die offiziellen Patches für Bash 4.3, mit Datum","title":"GNU project: the official Bash 4.3 patches, with their dates","url":"https://ftp.gnu.org/gnu/bash/bash-4.3-patches/"},{"de":"US-CERT-Warnung TA14-268A zu Shellshock","title":"US-CERT alert TA14-268A on Shellshock","url":"https://www.cisa.gov/news-events/alerts/2014/09/25/gnu-bourne-again-shell-bash-shellshock-vulnerability-cve-2014-6271"},{"de":"Red Hat Bugzilla: der Eintrag zu CVE-2014-6271, unter Embargo geführt","title":"Red Hat Bugzilla: the entry for CVE-2014-6271, tracked under embargo","url":"https://bugzilla.redhat.com/show_bug.cgi?id=1141597"},{"de":"NVD: CVE-2014-6271","title":"NVD: CVE-2014-6271","url":"https://nvd.nist.gov/vuln/detail/CVE-2014-6271"},{"de":"Cisco Talos: Shellshock-Angriffe im Netz (Anbieterdaten)","title":"Cisco Talos: Shellshock exploits in the wild (vendor data)","url":"https://blogs.cisco.com/security/talos/shellshock-exploits-in-the-wild"},{"de":"Cloudflare: Shellshock im Detail (Anbieterdaten)","title":"Cloudflare: Inside Shellshock (vendor data)","url":"https://blog.cloudflare.com/inside-shellshock"},{"de":"Imperva: die Folgen von Shellshock (Anbieterdaten)","title":"Imperva: The Shellshock Aftermath (vendor data)","url":"https://www.imperva.com/blog/?p=7791"},{"de":"W3Techs: Nutzungsstatistik von Linux","title":"W3Techs: usage statistics of Linux","url":"https://w3techs.com/technologies/details/os-linux"}],"vector":"CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H","year":2014},{"actions":{"de":["Installiere **MS17-010** oder ein späteres Windows-Update; unter Windows XP, Windows 8 oder Server 2003 installiere den Notfall-Patch vom Mai 2017, denn diese Versionen bekommen keine regulären Updates mehr.","Schalte **SMB Version 1** ab, das alte Protokoll für die Dateifreigabe, das der Wurm nutzte.","Blockiere Port 445 am Übergang deines Netzwerks zum Internet, damit niemand von außen die Windows-Dateifreigabe erreicht."],"en":["Install **MS17-010** or any later Windows update; on Windows XP, Windows 8 or Server 2003, install the emergency patch of May 2017, since these versions no longer get regular updates.","Switch off **SMB version 1**, the old file-sharing protocol the worm used.","Block port 445 at the edge of your network, so that no one can reach Windows file sharing from the internet."]},"criteria":{"damage":{"de":"In England wurden etwa 19.494 Termine abgesagt, und fünf Krankenhaus-Trusts mussten Rettungswagen umleiten; die Kosten für den NHS werden auf etwa 92 Millionen Pfund geschätzt (National Audit Office; britisches Gesundheitsministerium).","en":"In England, about 19,494 appointments were cancelled and five hospital trusts had to divert ambulances; the cost to the NHS is estimated at about GBP 92 million (National Audit Office; Department of Health and Social Care).","met":true},"exploitation":{"de":"WannaCry war ein Wurm: Jeder infizierte Computer suchte in seinem Netzwerk und im Internet nach neuen Opfern und infizierte sie selbstständig (Cisco Talos).","en":"WannaCry was a worm: every infected computer searched its network and the internet for new victims and infected them on its own (Cisco Talos).","met":true},"reach":{"de":"Mehr als 200.000 Computer in mindestens 100 Ländern waren betroffen (britischer Rechnungshof, National Audit Office).","en":"More than 200,000 computers in at least 100 countries were affected (UK National Audit Office).","met":true},"response":{"de":"Microsoft veröffentlichte Notfall-Patches für Windows XP, Windows 8 und Windows Server 2003, die es nicht mehr unterstützte, und NHS England rief eine nationale Großschadenslage aus (Microsoft; National Audit Office).","en":"Microsoft released emergency patches for Windows XP, Windows 8 and Windows Server 2003, which it no longer supported, and NHS England declared a national major incident (Microsoft; National Audit Office).","met":true}},"cves":["CVE-2017-0144"],"cvss":8.8,"cvss_version":"3.1","dates":[{"date":"2017-03-14","key":"patched"},{"date":"2017-04-14","de":"Die Shadow Brokers veröffentlichen EternalBlue, ein der NSA gestohlenes Angriffswerkzeug","en":"The Shadow Brokers publish EternalBlue, an attack tool stolen from the NSA"},{"date":"2017-05-12","key":"outbreak"},{"date":"2017-05-12","de":"Am Abend aktiviert ein britischer Sicherheitsforscher den Kill-Switch","en":"In the evening, a UK security researcher activates the kill switch"},{"date":"2017-05-13","de":"Notfall-Patches für Windows XP, Windows 8 und Windows Server 2003","en":"Emergency patches for Windows XP, Windows 8 and Windows Server 2003"},{"date":"2017-05-19","de":"NHS England erklärt die nationale Großschadenslage für beendet","en":"NHS England stands down the national major incident"}],"de":{"credit":"Von Microsoft nicht genannt; das Angriffswerkzeug EternalBlue wurde dem US-Geheimdienst NSA gestohlen","fixed":"MS17-010 (14. März 2017); Notfall-Patches für Windows XP, Windows 8 und Windows Server 2003 (13. Mai 2017)","product":"Windows-Computer mit dem alten Dateifreigabe-Protokoll SMBv1","summary":"Ein Ransomware-Wurm traf mit einem geleakten NSA-Werkzeug und einer Windows-Lücke mehr als 200.000 Computer und störte Krankenhäuser in England."},"disclosed":"2017-05-12","en":{"credit":"Not named by Microsoft; the attack tool EternalBlue was stolen from the US NSA","fixed":"MS17-010 (March 14, 2017); emergency patches for Windows XP, Windows 8 and Windows Server 2003 (May 13, 2017)","product":"Windows computers with the old file-sharing protocol SMBv1","summary":"A ransomware worm used a leaked NSA tool and a Windows flaw to hit more than 200,000 computers, and it disrupted hospitals in England."},"figures":[{"de":"Computer in mindestens 100 Ländern getroffen","en":"computers hit in at least 100 countries","value":"200,000+"},{"de":"abgesagte NHS-Termine in England, nach Schätzung von NHS England","en":"NHS appointments cancelled in England, by NHS England's estimate","value":"19,494"},{"de":"Millionen Pfund: die geschätzten Kosten für den NHS","en":"million British pounds: the estimated cost to the NHS","value":"92"},{"de":"Lösegeldzahlungen weltweit bis zum 2. Oktober 2017, zusammen rund 86.000 US-Dollar wert","en":"ransom payments worldwide by October 2, 2017, worth about USD 86,000","value":"238"}],"kev":"2022-02-10","key":"wannacry","name":"WannaCry","product":"Microsoft Windows (SMBv1)","sources":[{"de":"Microsoft-Sicherheitsbulletin MS17-010","title":"Microsoft security bulletin MS17-010","url":"https://learn.microsoft.com/en-us/security-updates/securitybulletins/2017/ms17-010"},{"de":"Microsoft: die geleakten Angriffswerkzeuge und das Update, das sie unschädlich macht (April 2017)","title":"Microsoft: the leaked attack tools and the update that fixes them (April 2017)","url":"https://www.microsoft.com/en-us/msrc/blog/2017/04/protecting-customers-and-evaluating-risk"},{"de":"Microsoft: Hinweise für Kunden und Notfall-Patches zu WannaCrypt (Mai 2017)","title":"Microsoft: customer guidance and emergency patches for WannaCrypt (May 2017)","url":"https://www.microsoft.com/en-us/msrc/blog/2017/05/customer-guidance-for-wannacrypt-attacks"},{"de":"Microsoft: Die Exploits wurden der NSA gestohlen (Mai 2017)","title":"Microsoft: the exploits were stolen from the NSA (May 2017)","url":"https://blogs.microsoft.com/on-the-issues/2017/05/14/need-urgent-collective-action-keep-people-safe-online-lessons-last-weeks-cyberattack/"},{"de":"NVD: CVE-2017-0144","title":"NVD: CVE-2017-0144","url":"https://nvd.nist.gov/vuln/detail/CVE-2017-0144"},{"de":"Britischer Rechnungshof: Untersuchung zu WannaCry und dem NHS","title":"UK National Audit Office: investigation into WannaCry and the NHS","url":"https://www.nao.org.uk/reports/investigation-wannacry-cyber-attack-and-the-nhs/"},{"de":"Britischer Rechnungshof: vollständiger Bericht zu WannaCry und dem NHS (PDF)","title":"UK National Audit Office: full report on WannaCry and the NHS (PDF)","url":"https://www.nao.org.uk/wp-content/uploads/2017/10/Investigation-WannaCry-cyber-attack-and-the-NHS.pdf"},{"de":"Britisches Gesundheitsministerium: Fortschrittsbericht zur Cyber-Resilienz, mit der Kostenschätzung (PDF)","title":"UK Department of Health and Social Care: progress update on cyber resilience, with the cost estimate (PDF)","url":"https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/747464/securing-cyber-resilience-in-health-and-care-september-2018-update.pdf"},{"de":"Bitcoin-Analyse der Lösegeldzahlungen an WannaCry und NotPetya (Computers \u0026 Security, 2018)","title":"Bitcoin analysis of WannaCry and NotPetya ransom payments (Computers \u0026 Security, 2018)","url":"https://arxiv.org/pdf/1804.01341"},{"de":"Cisco Talos: Analyse von WannaCry (Anbieterdaten)","title":"Cisco Talos: WannaCry analysis (vendor data)","url":"https://blog.talosintelligence.com/2017/05/wannacry.html"}],"vector":"CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H","year":2017},{"actions":{"de":["Installiere **MS17-010** oder ein späteres Windows-Update auf jedem Computer und schalte **SMB Version 1** ab.","Verwende nicht dasselbe Administratorpasswort auf vielen Computern: NotPetya verbreitete sich mit gestohlenen Passwörtern, und das verhindert kein Patch.","Falls noch eine alte M.E.Doc-Installation vorhanden ist, entferne die Versionen 10.01.175–10.01.176, 10.01.180–10.01.181 und 10.01.188–10.01.189: Diese Versionen enthielten die Hintertür."],"en":["Install **MS17-010** or any later Windows update on every computer, and switch off **SMB version 1**.","Do not use the same administrator password on many computers: NotPetya spread with stolen passwords, which no patch prevents.","If an old M.E.Doc installation is still around, remove versions 10.01.175–10.01.176, 10.01.180–10.01.181 and 10.01.188–10.01.189: they carried the backdoor."]},"criteria":{"damage":{"de":"Die US-Regierung beziffert den Schaden in Europa, Asien und Amerika auf Milliarden US-Dollar; allein Maersk rechnete mit 200–300 Millionen US-Dollar (Weißes Haus; Reuters, Pressebericht).","en":"The US government puts the damage at billions of dollars across Europe, Asia and the Americas; Maersk alone expected USD 200–300 million (White House; Reuters, press report).","met":true},"exploitation":{"de":"NotPetya verbreitete sich selbstständig durch Netzwerke und traf allein in der Ukraine über 2.000 Unternehmen (ukrainische Cyberpolizei über Cisco Talos).","en":"NotPetya spread through networks on its own and hit over 2,000 companies in Ukraine alone (Ukraine's Cyber Police via Cisco Talos).","met":true},"reach":{"de":"Die gemessenen Zahlen bleiben unter der Schwelle: mehr als 12.500 Rechner in der Ukraine und Infektionen in 64 weiteren Ländern in den Daten von Microsoft sowie über 2.000 Unternehmen in der Ukraine (Microsoft; ukrainische Cyberpolizei über Cisco Talos).","en":"Measured counts stay below the threshold: more than 12,500 machines in Ukraine and infections in 64 more countries in Microsoft's data, and over 2,000 companies in Ukraine (Microsoft; Ukraine's Cyber Police via Cisco Talos).","met":false},"response":{"de":"Die Regierungen Großbritanniens und der USA machten das russische Militär verantwortlich, doch einen Angreifer zu benennen schützt niemanden, und keine Maßnahme über den vorhandenen Patch hinaus ist belegt (britisches Außenministerium; Weißes Haus).","en":"The UK and US governments named the Russian military as responsible, but naming an attacker does not protect anyone, and no measure beyond the existing patch is documented (UK Foreign Office; White House).","met":false}},"cves":["CVE-2017-0144","CVE-2017-0145"],"cvss":8.8,"cvss_version":"3.1","dates":[{"date":"2017-03-14","key":"patched"},{"date":"2017-04-14","de":"Erstes M.E.Doc-Update mit einer versteckten Hintertür","en":"First M.E.Doc update with a hidden backdoor"},{"date":"2017-06-22","de":"Drittes und letztes M.E.Doc-Update mit der Hintertür","en":"Third and last M.E.Doc update with the backdoor"},{"date":"2017-06-27","key":"outbreak"},{"date":"2018-02-15","de":"Die Regierungen Großbritanniens und der USA machen das russische Militär verantwortlich","en":"The UK and US governments name the Russian military as responsible"}],"de":{"credit":"Analysiert von ESET, Cisco Talos und Microsoft","fixed":"MS17-010 (14. März 2017) für die SMB-Lücken; kein Patch verhindert die Ausbreitung mit gestohlenen Passwörtern, und die Daten ließen sich nicht wiederherstellen","product":"Windows-Netzwerke, erreicht über die ukrainische Buchhaltungssoftware M.E.Doc","summary":"Ein als Ransomware getarnter Wurm kam über ein gekapertes Software-Update, zerstörte Daten in der Ukraine und 64 weiteren Ländern und kostete Milliarden US-Dollar."},"disclosed":"2017-06-27","en":{"credit":"Analyzed by ESET, Cisco Talos and Microsoft","fixed":"MS17-010 (March 14, 2017) for the SMB flaws; no patch stops the spread with stolen passwords, and the data could not be recovered","product":"Windows networks, reached through the Ukrainian accounting software M.E.Doc","summary":"A worm posing as ransomware came through a hijacked software update, destroyed data in Ukraine and 64 more countries, and cost billions of dollars."},"figures":[{"de":"Millionen US-Dollar Kosten erwartete allein die Reederei Maersk (Pressebericht)","en":"million US dollars in costs expected by the shipping group Maersk alone (press report)","value":"200–300"},{"de":"Unternehmen allein in der Ukraine getroffen, bestätigt von der ukrainischen Cyberpolizei","en":"companies hit in Ukraine alone, as confirmed by Ukraine's Cyber Police","value":"2,000+"},{"de":"weitere Länder neben der Ukraine mit Infektionen in den Daten von Microsoft","en":"countries besides Ukraine with infections in Microsoft's data","value":"64"},{"de":"Lösegeldzahlungen bis zum 3. August 2017, zusammen 9.835,86 US-Dollar wert","en":"ransom payments by August 3, 2017, worth USD 9,835.86","value":"33"}],"kev":"2022-02-10","key":"notpetya","name":"NotPetya","product":"Microsoft Windows (SMBv1), M.E.Doc","sources":[{"de":"Microsoft: Neue Ransomware, alte Techniken – Petya kann sich jetzt als Wurm verbreiten","title":"Microsoft: New ransomware, old techniques: Petya adds worm capabilities","url":"https://www.microsoft.com/en-us/security/blog/2017/06/27/new-ransomware-old-techniques-petya-adds-worm-capabilities/"},{"de":"ESET: Analyse der Hintertür in den M.E.Doc-Updates","title":"ESET: analysis of the backdoor in M.E.Doc updates","url":"https://www.welivesecurity.com/2017/07/04/analysis-of-telebots-cunning-backdoor/"},{"de":"Cisco Talos: The MeDoc Connection, die Untersuchung des Update-Servers","title":"Cisco Talos: The MeDoc Connection, forensics of the update server","url":"https://blog.talosintelligence.com/2017/07/the-medoc-connection.html"},{"de":"NVD: CVE-2017-0144","title":"NVD: CVE-2017-0144","url":"https://nvd.nist.gov/vuln/detail/CVE-2017-0144"},{"de":"Weißes Haus: Erklärung zu NotPetya (Februar 2018)","title":"White House: statement on NotPetya (February 2018)","url":"https://trumpwhitehouse.archives.gov/briefings-statements/statement-press-secretary-25/"},{"de":"Britisches Außenministerium: Erklärung zu NotPetya (Februar 2018)","title":"UK Foreign Office: statement on NotPetya (February 2018)","url":"https://www.gov.uk/government/news/foreign-office-minister-condemns-russia-for-notpetya-attacks"},{"de":"Bitcoin-Analyse der Lösegeldzahlungen an WannaCry und NotPetya (Computers \u0026 Security, 2018)","title":"Bitcoin analysis of WannaCry and NotPetya ransom payments (Computers \u0026 Security, 2018)","url":"https://arxiv.org/pdf/1804.01341"},{"de":"Reuters über Business Insurance: die erwarteten Kosten von Maersk (Presse)","title":"Reuters via Business Insurance: Maersk's expected cost (press)","url":"https://www.businessinsurance.com/article/20170816/NEWS06/912315214/Maersk-upbeat-on-shipping-outlook-faces-hefty-cyber-attack-bill"}],"vector":"CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H","year":2017},{"actions":{"de":["Installiere die Updates deines Betriebssystems: Windows, Linux, macOS und iOS erhielten den Fix rund um Januar 2018.","Führe auf einem alten Computer, dessen System keine Updates mehr bekommt, keine Programme aus, denen du nicht vertraust: Jedes Programm kann den Speicher des Systems lesen.","Wenn du Server mietest oder Container betreibst, frag deinen Anbieter, ob der Host den Fix hat: Container und manche virtuellen Maschinen konnten den Speicher des Hosts lesen."],"en":["Install your operating system's updates: Windows, Linux, macOS and iOS received the fix around January 2018.","On an old computer whose system no longer gets updates, do not run programs you do not trust: any program can read the memory of the system.","If you rent servers or run containers, ask your provider whether the host has the fix: containers and some virtual machines could read the host's memory."]},"criteria":{"damage":{"de":"Es ist kein Schaden dokumentiert.","en":"No damage has been documented.","met":false},"exploitation":{"de":"Es sind keine Angriffe in der Praxis bekannt, und die Lücke steht nicht auf der Liste ausgenutzter Schwachstellen der CISA (Apple; NVD, Oktober 2026).","en":"No attacks in the wild are known, and the flaw is not on CISA's list of exploited vulnerabilities (Apple; NVD, October 2026).","met":false},"reach":{"de":"Potenziell ist jeder Intel-Prozessor mit Out-of-Order-Ausführung seit 1995 betroffen, außer Itanium und Atom vor 2013; der Fachartikel zeigt den Angriff auf Intel-Generationen seit 2010 (Website der Forscher; USENIX-Fachartikel).","en":"Potentially every Intel processor with out-of-order execution since 1995 is affected, except Itanium and Atom before 2013; the paper shows the attack on Intel generations since 2010 (researchers' site; USENIX paper).","met":true},"response":{"de":"Windows, Linux und macOS trennten den Kernel-Speicher mit Updates rund um die Veröffentlichung ab, vorbereitet in 216 Tagen Geheimhaltung (Microsoft; Apple; Google Project Zero).","en":"Windows, Linux and macOS isolated kernel memory with updates around the disclosure, prepared during 216 days of secrecy (Microsoft; Apple; Google Project Zero).","met":true}},"cves":["CVE-2017-5754"],"cvss":5.6,"cvss_version":"3.0","cwe":"CWE-200","dates":[{"date":"2017-06-01","key":"reported"},{"date":"2018-01-03","key":"disclosed"},{"date":"2018-01-03","de":"Windows-Update mit dem Fix; Apple hatte seinen bereits ausgeliefert","en":"Windows update with the fix; Apple had already shipped its own"},{"date":"2018-08-15","de":"Die Forscher stellen den vollständigen Fachartikel auf der USENIX Security 2018 vor","en":"The researchers present the full paper at USENIX Security 2018"}],"de":{"credit":"Google Project Zero, die Technische Universität Graz und Cyberus Technology, unabhängig voneinander","fixed":"Betriebssystem-Updates rund um die Veröffentlichung: KPTI in Linux, Windows KB4056892 (3. Januar 2018), macOS 10.13.2 und iOS 11.2; neuere Prozessoren beheben die Lücke in der Hardware","product":"Die meisten Intel-Prozessoren und einige ARM-basierte Designs","summary":"Ein Designfehler der meisten Intel-Prozessoren ließ jedes Programm den geschützten Speicher des Betriebssystems lesen; Updates der Betriebssysteme schlossen die Lücke."},"disclosed":"2018-01-03","en":{"credit":"Google Project Zero, Graz University of Technology and Cyberus Technology, independently of each other","fixed":"Operating-system updates around the disclosure: KPTI in Linux, Windows KB4056892 (January 3, 2018), macOS 10.13.2 and iOS 11.2; newer processors fix it in hardware","product":"Most Intel processors, and a few ARM-based designs","summary":"A design flaw in most Intel processors let any program read the operating system's protected memory; operating-system updates closed the hole."},"figures":[{"de":"Kilobyte pro Sekunde: so schnell las ein gewöhnliches Programm Kernel-Speicher, je nach Rechner","en":"kilobytes per second: how fast an ordinary program read kernel memory, depending on the machine","value":"3.2–503"},{"de":"Tage blieb die Lücke geheim, während Fixes vorbereitet wurden","en":"days the flaw was kept secret while fixes were prepared","value":"216"},{"de":"ist das Jahr, seit dem potenziell jeder Intel-Prozessor mit Out-of-Order-Ausführung betroffen ist, sagen die Forscher","en":"is the year since which potentially every Intel processor with out-of-order execution is affected, say the researchers","value":"1995"}],"key":"meltdown","name":"Meltdown","product":"Intel processors","sources":[{"de":"Google Project Zero: privilegierten Speicher über einen Seitenkanal lesen","title":"Google Project Zero: Reading privileged memory with a side-channel","url":"https://projectzero.google/2018/01/reading-privileged-memory-with-side.html"},{"de":"Website der Forscher zu Meltdown und Spectre","title":"The researchers' site on Meltdown and Spectre","url":"https://meltdownattack.com/"},{"de":"Meltdown: Kernel-Speicher aus dem Benutzerbereich lesen (USENIX Security 2018)","title":"Meltdown: Reading Kernel Memory from User Space (USENIX Security 2018)","url":"https://www.usenix.org/system/files/conference/usenixsecurity18/sec18-lipp.pdf"},{"de":"NVD: CVE-2017-5754","title":"NVD: CVE-2017-5754","url":"https://nvd.nist.gov/vuln/detail/CVE-2017-5754"},{"de":"Intel-Sicherheitshinweis INTEL-SA-00088","title":"Intel security advisory INTEL-SA-00088","url":"https://www.intel.com/content/www/us/en/security-center/advisory/intel-sa-00088.html"},{"de":"Microsoft: Windows-Update KB4056892 vom 3. Januar 2018","title":"Microsoft: Windows update KB4056892 of January 3, 2018","url":"https://support.microsoft.com/en-us/help/4056892"},{"de":"Microsoft: Leistungseinbußen durch die Fixes für Spectre und Meltdown unter Windows","title":"Microsoft: performance impact of the Spectre and Meltdown fixes on Windows","url":"https://www.microsoft.com/en-us/security/blog/2018/01/09/understanding-the-performance-impact-of-spectre-and-meltdown-mitigations-on-windows-systems/"},{"de":"Apple: zu den Fixes für Meltdown und Spectre","title":"Apple: about the Meltdown and Spectre fixes","url":"https://support.apple.com/en-us/HT208394"},{"de":"Red Hat: Leistungseinbußen durch die Fixes für alle drei Varianten","title":"Red Hat: performance impact of the fixes for all three variants","url":"https://access.redhat.com/articles/3307751"}],"vector":"CVSS:3.0/AV:L/AC:H/PR:L/UI:N/S:C/C:H/I:N/A:N","year":2018},{"actions":{"de":["Installiere alle Updates für dein Betriebssystem und deinen Browser: Sie enthalten den Schutz gegen Spectre.","Installiere Prozessor-Updates (Mikrocode), sobald dein Betriebssystem oder der Hersteller deines Geräts sie anbietet.","Lass die Schutzmaßnahmen eingeschaltet; Linux aktiviert sie auf anfälligen Prozessoren standardmäßig."],"en":["Install all updates for your operating system and browser: they include the protections against Spectre.","Install processor updates (microcode) when your operating system or device maker offers them.","Leave the protections switched on; Linux turns them on by default on vulnerable processors."]},"criteria":{"damage":{"de":"Schäden durch Angriffe sind nicht dokumentiert; die Kosten lagen in den Fixes, die manche Systeme langsamer machten.","en":"No damage from attacks has been documented; the cost lay in the fixes, which made some systems slower.","met":false},"exploitation":{"de":"Kein echter Angriff ist bestätigt, und keine der beiden Spectre-CVEs steht auf der CISA-Liste ausgenutzter Schwachstellen (NVD, Oktober 2026).","en":"No attack in the wild has been confirmed, and neither Spectre CVE is on CISA's list of exploited vulnerabilities (NVD, October 2026).","met":false},"reach":{"de":"Die Lücke steckt in Prozessoren von Intel, AMD und Arm, die in Milliarden von Geräten arbeiten, vom Smartphone bis zum Cloud-Server (Spectre-Studie und Website der Forscher, 2018).","en":"The flaw sits in processors from Intel, AMD and Arm that are used in billions of devices, from smartphones to cloud servers (Spectre paper and researchers' site, 2018).","met":true},"response":{"de":"Fixes von Prozessorherstellern, für Betriebssysteme, Compiler und Browser zugleich, mit Windows-Patches für 41 von 45 Editionen binnen sechs Tagen (Microsoft, 9. Januar 2018).","en":"Fixes from processor makers, operating systems, compilers and browsers at once, with Windows patches for 41 of 45 editions within six days (Microsoft, January 9, 2018).","met":true}},"cves":["CVE-2017-5753","CVE-2017-5715"],"cvss":5.6,"cvss_version":"3.1","cwe":"CWE-203","dates":[{"date":"2017-06-01","key":"reported"},{"date":"2018-01-03","de":"Sechs Tage früher als geplant veröffentlicht, zusammen mit den ersten Updates","en":"Made public six days early, together with the first updates"},{"date":"2018-01-09","de":"Der ursprünglich geplante Termin; Windows-Patches für 41 von 45 Editionen verfügbar","en":"The originally planned date; Windows patches out for 41 of 45 editions"}],"de":{"credit":"Google Project Zero und, unabhängig davon, Forscher von Universitäten und Unternehmen","fixed":"Kein einzelner Fix: Updates für Betriebssysteme, Browser, Compiler und Prozessor-Mikrocode, ab dem 3. Januar 2018","product":"Prozessoren von Intel, AMD und Arm, in Milliarden von Geräten","summary":"Ein Designfehler in fast allen modernen Prozessoren ließ Programme Speicher lesen, den sie nicht sehen dürften, auf Desktop-PCs, Laptops, Servern und Smartphones."},"disclosed":"2018-01-03","en":{"credit":"Google Project Zero and, independently, researchers from universities and companies","fixed":"No single fix: updates for operating systems, browsers, compilers and processor microcode, from January 3, 2018","product":"Processors from Intel, AMD and Arm, in billions of devices","summary":"A design flaw in almost all modern processors let programs read memory they should not see, on desktops, laptops, servers and smartphones."},"figures":[{"de":"Windows-Editionen brauchten Patches; für 41 gab es sie sechs Tage nach der Veröffentlichung","en":"Windows editions needed patches; 41 had them six days after disclosure","value":"45"},{"de":"Leistungsverlust mit allen Meltdown- und Spectre-Fixes in den von Red Hat getesteten Anwendungen, mit Retpoline","en":"slowdown with all Meltdown and Spectre fixes on Red Hat's tested workloads, with retpoline","value":"1–8 %"},{"de":"Tage vergingen von der Meldung an Intel, AMD und Arm bis zur Veröffentlichung","en":"days from the report to Intel, AMD and Arm until the flaw went public","value":"216"}],"key":"spectre","name":"Spectre","product":"Intel, AMD and Arm processors","sources":[{"de":"Google Project Zero: Auslesen von geschütztem Speicher über einen Seitenkanal","title":"Google Project Zero: reading privileged memory with a side channel","url":"https://projectzero.google/2018/01/reading-privileged-memory-with-side.html"},{"de":"Google Security Blog: die Prozessor-Schwachstelle und was du wissen musst","title":"Google Security Blog: today's CPU vulnerability and what you need to know","url":"https://security.googleblog.com/2018/01/todays-cpu-vulnerability-what-you-need.html"},{"de":"Google Cloud: Schutz vor den neuen Schwachstellen ohne Leistungseinbußen","title":"Google Cloud: protecting customers from the new vulnerabilities without hurting performance","url":"https://cloud.google.com/blog/topics/inside-google-cloud/protecting-our-google-cloud-customers-new-vulnerabilities-without-impacting-performance"},{"de":"Website der Forscher zu Meltdown und Spectre, mit FAQ","title":"The researchers' site on Meltdown and Spectre, with FAQ","url":"https://spectreattack.com/"},{"de":"Die Spectre-Studie (arXiv, Januar 2018)","title":"The Spectre paper (arXiv, January 2018)","url":"https://arxiv.org/abs/1801.01203"},{"de":"NVD: CVE-2017-5753","title":"NVD: CVE-2017-5753","url":"https://nvd.nist.gov/vuln/detail/CVE-2017-5753"},{"de":"Microsoft: Leistungseinbußen durch die Spectre- und Meltdown-Fixes unter Windows","title":"Microsoft: performance impact of the Spectre and Meltdown fixes on Windows","url":"https://www.microsoft.com/en-us/security/blog/2018/01/09/understanding-the-performance-impact-of-spectre-and-meltdown-mitigations-on-windows-systems/"},{"de":"Red Hat: Leistungseinbußen durch die Meltdown- und Spectre-Fixes","title":"Red Hat: performance impact of the Meltdown and Spectre fixes","url":"https://access.redhat.com/articles/3307751"},{"de":"Dokumentation des Linux-Kernels zu Spectre","title":"Linux kernel documentation on Spectre","url":"https://docs.kernel.org/admin-guide/hw-vuln/spectre.html"},{"de":"Ein Sicherheitsforscher über einen funktionierenden Spectre-Exploit auf VirusTotal (2021)","title":"A security researcher on a working Spectre exploit found on VirusTotal (2021)","url":"https://dustri.org/b/spectre-exploits-in-the-wild.html"}],"vector":"CVSS:3.1/AV:L/AC:H/PR:L/UI:N/S:C/C:H/I:N/A:N","year":2018},{"actions":{"de":["Installiere die aktuellen Sicherheitsupdates für deinen Exchange Server; ein Server ohne die Updates vom März 2021 ist für diese Angriffe offen.","Prüfe den Server auch nach dem Update auf Webshells und andere Spuren eines Angriffs: Die Angriffe begannen im Januar 2021, zwei Monate vor dem Fix.","Wenn du den Server nicht binnen Tagen patchen kannst, zieh einen gehosteten Maildienst in Betracht; Microsofts Exchange Online war nicht betroffen."],"en":["Install the current security updates for your Exchange Server; a server without the March 2021 updates is open to these attacks.","Check the server for web shells and other signs of attack, even after updating: the attacks began in January 2021, two months before the fix.","If you cannot keep the server patched within days, consider a hosted mail service; Microsoft's Exchange Online was not affected."]},"criteria":{"damage":{"de":"Eine Gesamtsumme des Schadens oder der gestohlenen Postfächer ist nicht dokumentiert.","en":"No total of the damage or of the stolen mailboxes is documented.","met":false},"exploitation":{"de":"Angreifer legten Webshells auf mehr als 5.000 Mailservern in über 115 Ländern ab, und das ist nur, was ein einziges Sicherheitsunternehmen sah (ESET, 10. März 2021).","en":"Attackers planted web shells on more than 5,000 email servers in over 115 countries, and that is only what one security company saw (ESET, March 10, 2021).","met":true},"reach":{"de":"Fast 400.000 Exchange-Server waren am Tag vor dem Fix online: gefährdete Systeme, nicht gehackte (RiskIQ-Daten über Microsoft, 12. März 2021).","en":"Nearly 400,000 Exchange servers were online the day before the fix: systems at risk, not hacked ones (RiskIQ data via Microsoft, March 12, 2021).","met":true},"response":{"de":"Die US-Behörde CISA erließ einen Tag nach dem Fix die Notfallanweisung 21-02 für Bundesbehörden (CISA, 3. März 2021).","en":"The US agency CISA issued Emergency Directive 21-02 to federal agencies one day after the fix (CISA, March 3, 2021).","met":true}},"cves":["CVE-2021-26855","CVE-2021-26857","CVE-2021-26858","CVE-2021-27065"],"cvss":9.8,"cvss_version":"3.1","cwe":"CWE-918, CWE-502, CWE-22","dates":[{"date":"2020-12-10","key":"discovered"},{"date":"2021-01-03","key":"exploited"},{"date":"2021-01-05","key":"reported"},{"date":"2021-03-02","key":"patched"},{"date":"2021-03-03","de":"Die CISA erlässt die Notfallanweisung 21-02 für US-Bundesbehörden","en":"CISA issues Emergency Directive 21-02 to US federal agencies"}],"de":{"credit":"DEVCORE; Volexity und Dubex meldeten Teile der Angriffskette, die sie bei Angriffen beobachtet hatten","fixed":"Sicherheitsupdates vom 2. März 2021 für Exchange Server 2013, 2016 und 2019","product":"Microsoft Exchange Server 2013, 2016 und 2019, auf eigenen Servern einer Organisation betrieben","summary":"Vier Lücken in Microsoft Exchange ließen Angreifer ohne Passwort Postfächer lesen und Mailserver übernehmen, zwei Monate bevor es einen Fix gab."},"disclosed":"2021-03-02","en":{"credit":"DEVCORE; Volexity and Dubex reported parts of the attack chain seen in attacks","fixed":"Security updates of March 2, 2021 for Exchange Server 2013, 2016 and 2019","product":"Microsoft Exchange Server 2013, 2016 and 2019, run on an organization's own servers","summary":"Four flaws in Microsoft Exchange let attackers read mailboxes and take over mail servers without a password, two months before a fix existed."},"figures":[{"de":"Exchange-Server waren am Tag vor dem Fix gefährdet (knapp so viele; gehackt wurden nicht alle)","en":"Exchange servers at risk the day before the fix (nearly that many; not all were hacked)","value":"400,000"},{"de":"Tage lang liefen Angriffe, bevor es einen Fix gab","en":"days of attacks before a fix existed","value":"58"},{"de":"Server mit Webshells in über 115 Ländern (mehr als; ESET, 10. März 2021)","en":"servers with web shells in over 115 countries (more than; ESET, March 10, 2021)","value":"5,000"}],"kev":"2021-11-03","key":"proxylogon","name":"ProxyLogon","product":"Microsoft Exchange Server","sources":[{"de":"DEVCORE: ProxyLogon, mit vollständiger Zeitleiste","title":"DEVCORE: ProxyLogon, with the full timeline","url":"https://proxylogon.com/"},{"de":"Microsoft: HAFNIUM greift Exchange-Server an (2. März 2021)","title":"Microsoft: HAFNIUM targeting Exchange servers (March 2, 2021)","url":"https://www.microsoft.com/en-us/security/blog/2021/03/02/hafnium-targeting-exchange-servers/"},{"de":"Microsoft Security Response Center: Sicherheitsupdates für Exchange Server","title":"Microsoft Security Response Center: security updates for Exchange Server","url":"https://www.microsoft.com/en-us/msrc/blog/2021/03/multiple-security-updates-released-for-exchange-server"},{"de":"Microsoft: Schutz für selbst betriebene Exchange-Server (12. März 2021)","title":"Microsoft: protecting on-premises Exchange servers (March 12, 2021)","url":"https://www.microsoft.com/en-us/security/blog/2021/03/12/protecting-on-premises-exchange-servers-against-recent-attacks/"},{"de":"Microsoft: Angriffe über die Exchange-Lücken (25. März 2021)","title":"Microsoft: attacks taking advantage of the Exchange flaws (March 25, 2021)","url":"https://www.microsoft.com/en-us/security/blog/2021/03/25/analyzing-attacks-taking-advantage-of-the-exchange-server-vulnerabilities/"},{"de":"Volexity: aktive Ausnutzung der Exchange-Zero-Days","title":"Volexity: active exploitation of the Exchange zero-days","url":"https://www.volexity.com/blog/2021/03/02/active-exploitation-of-microsoft-exchange-zero-day-vulnerabilities/"},{"de":"ESET: Exchange-Server unter Beschuss von mehr als zehn Angreifergruppen","title":"ESET: Exchange servers under siege from more than ten attacker groups","url":"https://www.welivesecurity.com/2021/03/10/exchange-servers-under-siege-10-apt-groups/"},{"de":"CISA-Notfallanweisung 21-02 (abgeschlossen)","title":"CISA Emergency Directive 21-02 (closed)","url":"https://www.cisa.gov/news-events/directives/ed-21-02-mitigate-microsoft-exchange-premises-product-vulnerabilities-closed"},{"de":"DIVD: Scan und Warnungen an Betreiber verwundbarer Exchange-Server","title":"DIVD: scan and warnings to owners of vulnerable Exchange servers","url":"https://csirt.divd.nl/cases/DIVD-2021-00001/"},{"de":"NVD: CVE-2021-26855, mit der Bewertung von Microsoft","title":"NVD: CVE-2021-26855, with Microsoft's score","url":"https://nvd.nist.gov/vuln/detail/CVE-2021-26855"}],"vector":"CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H","year":2021},{"actions":{"de":["Aktualisiere Log4j auf **2.17.1** oder neuer; unter Java 7 nimm **2.12.4**, unter Java 6 **2.3.2**.","Such Log4j auch in anderen Produkten: Die meisten Pakete binden es über andere Pakete ein. Frag deshalb deine Softwarehersteller, ob ihre Versionen behoben sind.","War eine alte Version jemals aus dem Internet erreichbar, prüfe Logs und Systeme auf Spuren eines Angriffs: Die ersten Versuche gab es am 1. Dezember 2021, bevor die Lücke öffentlich war."],"en":["Update Log4j to **2.17.1** or newer; on Java 7 use **2.12.4**, on Java 6 **2.3.2**.","Look for Log4j inside other products too: most packages include it through other packages, so ask your software vendors whether their versions are fixed.","If an old version was ever reachable from the internet, check logs and systems for signs of attack: the first attempts came on December 1, 2021, before the flaw was public."]},"criteria":{"damage":{"de":"Ein Gesamtschaden ist nicht dokumentiert, und das US-amerikanische Cyber Safety Review Board fand, dass die Lücke weniger ausgenutzt wurde, als viele Fachleute vorhergesagt hatten (CSRB, Juli 2022).","en":"No total damage is documented, and the US Cyber Safety Review Board found exploitation lower than many experts had predicted (CSRB, July 2022).","met":false},"exploitation":{"de":"Angriffsversuche erreichten bis zum 20. Dezember 2021 mehr als 48 % der Unternehmensnetze weltweit (Herstellerdaten von Check Point).","en":"Attack attempts reached more than 48 % of corporate networks worldwide by December 20, 2021 (Check Point vendor data).","met":true},"reach":{"de":"35.863 Java-Pakete auf Maven Central, mehr als 8 % aller, nutzten den fehlerhaften Code: weniger als ein Zehntel, und eine Zahl betroffener Systeme ist nicht dokumentiert (Google, 16. Dezember 2021).","en":"35,863 Java packages on Maven Central, more than 8 % of all, used the flawed code: short of a tenth, and no count of affected systems is documented (Google, December 16, 2021).","met":false},"response":{"de":"Das BSI stufte seine Warnung am 11. Dezember 2021 auf die Warnstufe Rot hoch, und die CISA erließ am 17. Dezember die Notfallanweisung 22-02 (BSI; CSRB-Bericht).","en":"Germany's BSI raised its warning to level red on December 11, 2021, and CISA issued Emergency Directive 22-02 on December 17 (BSI; CSRB report).","met":true}},"cves":["CVE-2021-44228","CVE-2021-45046","CVE-2021-45105","CVE-2021-44832"],"cvss":10,"cvss_version":"3.1","cwe":"CWE-917, CWE-20, CWE-674","dates":[{"date":"2021-11-24","key":"reported"},{"date":"2021-12-01","key":"exploited"},{"date":"2021-12-09","key":"disclosed"},{"date":"2021-12-10","key":"patched"},{"date":"2021-12-11","de":"Das BSI stuft seine Warnung auf die Warnstufe Rot hoch","en":"Germany's BSI raises its warning to level red"},{"date":"2021-12-17","de":"Die CISA erlässt die Notfallanweisung 22-02 für US-Bundesbehörden","en":"CISA issues Emergency Directive 22-02 to US federal agencies"}],"de":{"credit":"Alibaba Cloud Security Team","fixed":"Log4j 2.17.1, 2.12.4 (Java 7) und 2.3.2 (Java 6); erster Fix 2.15.0 am 10. Dezember 2021","product":"Apache Log4j 2, eine Logging-Bibliothek für Java-Programme","summary":"Eine Zeile Text in einem Log genügte, damit Server den Code von Angreifern ausführten, über eine Java-Bibliothek, von der 35.863 Pakete abhingen."},"disclosed":"2021-12-09","en":{"credit":"Alibaba Cloud Security Team","fixed":"Log4j 2.17.1, 2.12.4 (Java 7) and 2.3.2 (Java 6); first fix 2.15.0 on December 10, 2021","product":"Apache Log4j 2, a logging library for Java programs","summary":"One line of text in a log was enough to make servers run attackers' code, through a Java library that 35,863 packages depended on."},"figures":[{"de":"Java-Pakete auf Maven Central nutzten den fehlerhaften Code, mehr als 8 % aller (Google)","en":"Java packages on Maven Central used the flawed code, more than 8 % of all (Google)","value":"35,863"},{"de":"der Unternehmensnetze weltweit sahen bis zum 20. Dezember 2021 Angriffsversuche (mehr als; Daten von Check Point)","en":"of corporate networks worldwide saw attack attempts by December 20, 2021 (more than; Check Point data)","value":"48 %"},{"de":"Minuten nach der Veröffentlichung sah Cloudflare den ersten Angriffsversuch","en":"minutes after the flaw went public, Cloudflare saw the first attack attempt","value":"9"},{"de":"Stunden wendete ein einziges US-Bundesministerium für seine Reaktion auf","en":"hours one US federal department spent on its response","value":"33,000"}],"kev":"2021-12-10","key":"log4shell","name":"Log4Shell","product":"Apache Log4j 2","sources":[{"de":"Apache Logging Services: Sicherheitsseite zu Log4j, mit Bewertungen und korrigierten Versionen","title":"Apache Logging Services: Log4j security page, with scores and fixed versions","url":"https://logging.apache.org/security.html"},{"de":"Versionshinweise zu Log4j","title":"Log4j release notes","url":"https://logging.apache.org/log4j/2.x/release-notes.html"},{"de":"NVD: CVE-2021-44228","title":"NVD: CVE-2021-44228","url":"https://nvd.nist.gov/vuln/detail/CVE-2021-44228"},{"de":"CVE-Eintrag CVE-2021-44832, mit den korrigierten Versionen","title":"CVE record CVE-2021-44832, with the fixed versions","url":"https://www.cve.org/CVERecord?id=CVE-2021-44832"},{"de":"US Cyber Safety Review Board: Untersuchung des Log4j-Vorfalls (Juli 2022, PDF)","title":"US Cyber Safety Review Board: review of the Log4j event (July 2022, PDF)","url":"https://www.cisa.gov/sites/default/files/publications/CSRB-Report-on-Log4-July-11-2022_508.pdf"},{"de":"Google: das Ausmaß der Log4j-Lücke","title":"Google: understanding the impact of the Log4j flaw","url":"https://security.googleblog.com/2021/12/understanding-impact-of-apache-log4j.html"},{"de":"Cloudflare: Ausnutzung von Log4Shell vor der Veröffentlichung","title":"Cloudflare: exploitation of Log4Shell before its disclosure","url":"https://blog.cloudflare.com/exploitation-of-cve-2021-44228-before-public-disclosure-and-evolution-of-waf-evasion-patterns/"},{"de":"Check Point: die Zahlen hinter den Log4j-Angriffen (Herstellerdaten)","title":"Check Point: the numbers behind the Log4j attacks (vendor data)","url":"https://blog.checkpoint.com/security/the-numbers-behind-a-cyber-pandemic-detailed-dive/"},{"de":"BSI: Warnstufe Rot wegen Log4Shell (11. Dezember 2021)","title":"BSI: warning level red for Log4Shell (December 11, 2021, in German)","url":"https://www.bsi.bund.de/DE/Service-Navi/Presse/Pressemitteilungen/Presse2021/211211_log4Shell_WarnstufeRot.html"},{"de":"Sonatype: verwundbare Log4j-Downloads im Jahr 2025","title":"Sonatype: vulnerable Log4j downloads in 2025","url":"https://www.sonatype.com/blog/unnecessary-risk-the-persistence-of-open-source-vulnerabilities"}],"vector":"CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H","year":2021},{"actions":{"de":["Aktualisiere MOVEit Transfer auf eine aktuelle, unterstützte Version; alle Versionen vor den Fixes von Mai bis Juli 2023 haben bekannte kritische Lücken.","Lief auf dem Server 2023 eine ältere Version, prüfe ihn auf Spuren eines Angriffs: eine Datei namens **human2.aspx**, Benutzerkonten, die du nicht angelegt hast, und große Downloads.","Frag deine Dienstleister, ob sie MOVEit Transfer nutzen: Manche Opfer wurden über den Server eines Dienstleisters getroffen."],"en":["Update MOVEit Transfer to a current, supported version; all releases before the fixes of May to July 2023 contain known critical flaws.","If the server ran an older version in 2023, check it for signs of attack: a file named **human2.aspx**, user accounts you did not create, and large downloads.","Ask your service providers whether they use MOVEit Transfer: some victims were hit through a provider's server."]},"criteria":{"damage":{"de":"Meldungen von Datenpannen betreffen die Daten von 95.788.491 Menschen; manche sind womöglich doppelt gezählt (Emsisoft, 28. Juni 2024).","en":"Breach notices cover the data of 95,788,491 people; some may be counted twice (Emsisoft, June 28, 2024).","met":true},"exploitation":{"de":"Die Angriffe trafen 2.773 Organisationen, direkt oder über einen Dienstleister, der MOVEit nutzte (Emsisoft, 28. Juni 2024).","en":"The attacks hit 2,773 organizations, directly or through a service provider that used MOVEit (Emsisoft, June 28, 2024).","met":true},"reach":{"de":"Rund 2.500 MOVEit-Transfer-Server waren aus dem Internet erreichbar, weit unter 100.000 (Rapid7, 31. Mai 2023).","en":"Roughly 2,500 MOVEit Transfer servers were reachable from the internet, far below 100,000 (Rapid7, May 31, 2023).","met":false},"response":{"de":"Eine gemeinsame Warnung von CISA und FBI und ein Eintrag in der CISA-Liste ausgenutzter Schwachstellen, aber weder eine Notfallanweisung noch die höchste nationale Warnstufe sind dokumentiert (CISA, Juni 2023).","en":"A joint warning from CISA and the FBI and an entry on CISA's list of exploited vulnerabilities, but no emergency directive or highest national warning level is documented (CISA, June 2023).","met":false}},"cves":["CVE-2023-34362","CVE-2023-35036","CVE-2023-35708"],"cvss":9.8,"cvss_version":"3.1","cwe":"CWE-89","dates":[{"date":"2023-05-27","key":"exploited"},{"date":"2023-05-31","de":"Progress warnt seine Kunden und veröffentlicht korrigierte Versionen","en":"Progress warns its customers and releases fixed versions"},{"date":"2023-06-06","de":"Cl0p bekennt sich auf seiner Leak-Seite zu den Angriffen","en":"Cl0p claims the attacks on its leak site"},{"date":"2023-06-07","de":"CISA und FBI veröffentlichen eine gemeinsame Warnung","en":"CISA and the FBI publish a joint warning"},{"date":"2023-06-09","de":"Fix für eine zweite Lücke, gefunden bei einer Code-Prüfung","en":"Fix for a second flaw, found in a code review"},{"date":"2023-07-06","de":"Ein Service Pack schließt drei weitere Lücken","en":"A service pack closes three more flaws"}],"de":{"credit":"Kein Entdecker genannt: Die Lücke kam durch die Angriffe ans Licht","fixed":"MOVEit Transfer 2021.0.6, 2021.1.4, 2022.0.4, 2022.1.5 und 2023.0.1 (31. Mai 2023); weitere Fixes im Juni und Juli 2023","product":"Progress MOVEit Transfer, ein Server für den Dateiaustausch mit Partnern","summary":"Die Bande Cl0p nutzte eine unbekannte Lücke im Dateiserver MOVEit Transfer, um Daten von 2.773 Organisationen zu stehlen."},"disclosed":"2023-05-31","en":{"credit":"No finder named: the flaw came to light through the attacks","fixed":"MOVEit Transfer 2021.0.6, 2021.1.4, 2022.0.4, 2022.1.5 and 2023.0.1 (May 31, 2023); more fixes in June and July 2023","product":"Progress MOVEit Transfer, a server for exchanging files with partners","summary":"The Cl0p gang used an unknown flaw in the MOVEit Transfer file server to steal data from 2,773 organizations."},"figures":[{"de":"Millionen Menschen, deren Daten betroffen waren, laut Meldungen von Datenpannen (Emsisoft)","en":"million people whose data was affected, according to breach notices (Emsisoft)","value":"95.8"},{"de":"Organisationen getroffen, direkt oder über einen Dienstleister (Emsisoft)","en":"organizations hit, directly or through a service provider (Emsisoft)","value":"2,773"},{"de":"Tage lang liefen Angriffe, bevor es einen Fix gab","en":"days of attacks before a fix was out","value":"4"},{"de":"MOVEit-Transfer-Server waren aus dem Internet erreichbar (ungefähr; Rapid7, 31. Mai 2023)","en":"MOVEit Transfer servers reachable from the internet (roughly; Rapid7, May 31, 2023)","value":"2,500"}],"kev":"2023-06-02","key":"moveit","name":"MOVEit Transfer","product":"Progress MOVEit Transfer","sources":[{"de":"CVE-Eintrag CVE-2023-34362, mit den betroffenen Versionen","title":"CVE record CVE-2023-34362, with the affected versions","url":"https://www.cve.org/CVERecord?id=CVE-2023-34362"},{"de":"NVD: CVE-2023-34362","title":"NVD: CVE-2023-34362","url":"https://nvd.nist.gov/vuln/detail/CVE-2023-34362"},{"de":"CISA und FBI: gemeinsame Warnung zu Cl0p und MOVEit (7. Juni 2023)","title":"CISA and FBI: joint advisory on Cl0p and MOVEit (June 7, 2023)","url":"https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-158a"},{"de":"Mandiant: Zero-Day in MOVEit Transfer für Datendiebstahl genutzt","title":"Mandiant: zero-day in MOVEit Transfer used for data theft","url":"https://cloud.google.com/blog/topics/threat-intelligence/zero-day-moveit-data-theft"},{"de":"Rapid7: Ausnutzung der Lücke in MOVEit Transfer, mit Nachträgen bis August 2023","title":"Rapid7: exploitation of the MOVEit Transfer flaw, updated to August 2023","url":"https://www.rapid7.com/blog/post/2023/06/01/rapid7-observed-exploitation-of-critical-moveit-transfer-vulnerability/"},{"de":"Emsisoft: Statistik zum MOVEit-Datenleck, letzter Stand 28. Juni 2024","title":"Emsisoft: MOVEit breach statistics, last count June 28, 2024","url":"https://emsisoft.com/en/blog/44123/unpacking-the-moveit-breach-statistics-and-analysis/"},{"de":"SecurityWeek (Presse): Emsisofts Zählung vom 24. August 2023","title":"SecurityWeek (press): Emsisoft's count of August 24, 2023","url":"https://www.securityweek.com/nearly-1000-organizations-60-million-individuals-impacted-by-moveit-hack/"},{"de":"Help Net Security (Presse): mehr als 2.000 betroffene Organisationen, September 2023","title":"Help Net Security (press): more than 2,000 victim organizations, September 2023","url":"https://www.helpnetsecurity.com/2023/09/26/moveit-victim-number/"},{"de":"BleepingComputer (Presse): Krolls Hinweise auf Tests seit 2021","title":"BleepingComputer (press): Kroll's finding of tests since 2021","url":"https://www.bleepingcomputer.com/news/security/clop-ransomware-likely-testing-moveit-zero-day-since-2021/"}],"vector":"CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H","year":2023},{"actions":{"de":["Aktualisiere PHP auf **8.5.12, 8.4.27, 8.3.36 oder 8.2.35** oder neuer, je nach Zweig.","Starte Apache, PHP-FPM und alle dauerhaft laufenden PHP-Prozesse neu, damit die alte Version nicht mehr im Speicher ist.","Mit PHP 8.1 oder älter: Wechsle auf einen unterstützten Zweig, für diese Versionen gibt es keine offizielle Version mit dem Fix.","Mit einem Hosting-Paket: Frag deinen Hoster, ob das Update installiert ist, und vergleiche deine PHP-Version mit der Tabelle auf dieser Seite."],"en":["Update PHP to **8.5.12, 8.4.27, 8.3.36 or 8.2.35**, or newer, depending on your branch.","Restart Apache, PHP-FPM and every long-running PHP worker, so that the old version is no longer in memory.","On PHP 8.1 or older, move to a supported branch: there is no official release for these versions.","With a hosting plan, ask your host whether the update is installed, and compare your PHP version with the table on this page."]},"affected_from":"5.4","backports":["7.4","8.0","8.1"],"criteria":{"damage":{"de":"Bisher ist kein Schaden gemeldet.","en":"No damage has been reported so far.","met":false},"exploitation":{"de":"Am 23. Oktober 2026 waren keine Angriffe bekannt; die CISA stufte die Ausnutzung als „keine“ ein.","en":"No attacks in the wild were known on October 23, 2026; CISA rated exploitation as “none”.","met":false},"reach":{"de":"PHP läuft auf 69,3 % aller Websites, deren Serversprache bekannt ist (W3Techs, 23. Oktober 2026).","en":"PHP runs on 69.3 % of all websites whose server language is known (W3Techs, October 23, 2026).","met":true},"response":{"de":"Updates für vier PHP-Zweige zugleich, Quellcode-Patches für drei nicht mehr unterstützte Zweige und Schutzregeln, vorbereitet mit Google, AWS, Microsoft, Cloudflare und weiteren.","en":"Fixed releases for four PHP branches at once, source patches for three branches that are no longer supported, and protection rules prepared with Google, AWS, Microsoft, Cloudflare, and others.","met":true}},"cves":["CVE-2026-109618","CVE-2026-109619"],"cvss":9.8,"cvss_version":"3.1","cwe":"CWE-416, CWE-755, CWE-824, CWE-1325","dates":[{"date":"2026-08-11","key":"reported"},{"date":"2026-08-24","de":"Wiz Research meldet unabhängig davon weitere Fehler","en":"Wiz Research reports further bugs, independently"},{"date":"2026-09-18","de":"OpenAI meldet weitere Angriffswege","en":"OpenAI reports further attack paths"},{"date":"2026-10-20","de":"Die CVE-Nummern werden vorab bekannt, mit falschem Wert 10,0","en":"The CVE numbers leak online, with a wrong score of 10.0"},{"date":"2026-10-21","key":"patched"}],"de":{"credit":"Calif, Wiz Research und OpenAI, unabhängig voneinander","fixed":"PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 (21. Oktober 2026)","product":"PHP, die Sprache hinter den meisten Websites","summary":"Zwei Fehler in PHP selbst erlauben Angreifern, Webserver ohne Passwort zu übernehmen, bei WordPress, Drupal, Joomla und vielen anderen Anwendungen."},"disclosed":"2026-10-21","en":{"credit":"Calif, Wiz Research and OpenAI, independently of each other","fixed":"PHP 8.5.12, 8.4.27, 8.3.36 and 8.2.35 (October 21, 2026)","product":"PHP, the language behind most websites","summary":"Two flaws in PHP itself let attackers take over web servers without a password, on WordPress, Drupal, Joomla and many other applications."},"figures":[{"de":"der Websites mit bekannter Serversprache laufen mit PHP","en":"of websites with a known server language run on PHP","value":"69.3 %"},{"de":"Anwendungen übernahmen die Entdecker, darunter WordPress","en":"applications taken over by the finders, WordPress among them","value":"11"}],"fixed_versions":[{"branch":"8.5","version":"8.5.12"},{"branch":"8.4","version":"8.4.27"},{"branch":"8.3","version":"8.3.36"},{"branch":"8.2","version":"8.2.35"}],"key":"php2shell","name":"PHP2Shell","product":"PHP","sources":[{"de":"PHP-Projekt: Sicherheits-Updates vom 21. Oktober 2026","title":"PHP project: security releases of October 21, 2026","url":"https://www.php.net/archive/2026.php"},{"de":"PHP Foundation: das Sicherheits-Update von heute","title":"PHP Foundation: today's PHP security release","url":"https://thephp.foundation/blog/2026/10/21/todays-php-security-release-and-how-were-strengthening-php-security/"},{"de":"Calif: Analyse und Zeitleiste zu PHP2Shell","title":"Calif: PHP2Shell research and timeline","url":"https://calif.io/php2shell/"},{"de":"Wiz Research: PHP2Shell","title":"Wiz Research: PHP2Shell","url":"https://www.wiz.io/blog/php2shell-php-rce"},{"de":"Gemeinsame Seite der Entdecker, mit Demo-Videos","title":"The finders' joint page, with demonstration videos","url":"https://www.php2shell.com/"},{"de":"Sicherheitshinweis des PHP-Projekts zu CVE-2026-109618","title":"PHP security advisory for CVE-2026-109618","url":"https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w"},{"de":"Sicherheitshinweis des PHP-Projekts zu CVE-2026-109619","title":"PHP security advisory for CVE-2026-109619","url":"https://github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rp"},{"de":"NVD: CVE-2026-109618","title":"NVD: CVE-2026-109618","url":"https://nvd.nist.gov/vuln/detail/CVE-2026-109618"},{"de":"CVE-Eintrag CVE-2026-109619, mit Einschätzung der CISA","title":"CVE record CVE-2026-109619, with CISA's assessment","url":"https://www.cve.org/CVERecord?id=CVE-2026-109619"},{"de":"W3Techs: Nutzungsstatistik von PHP","title":"W3Techs: usage statistics of PHP","url":"https://w3techs.com/technologies/details/pl-php"},{"de":"OpenAI: Patch the Planet, das Programm, in dem Calif PHP prüfte","title":"OpenAI: Patch the Planet, the program under which Calif audited PHP","url":"https://openai.com/index/patch-the-planet/"}],"vector":"CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H","year":2026}],"excluded":[{"cve":"CVE-2024-3094","de":"Entdeckt, bevor die Hintertür in stabile Versionen der großen Linux-Distributionen gelangte; keine bekannten Angriffe, kein Schaden. Erfüllt nur das Kriterium Reaktion: ein Beinahe-Fall.","en":"Found before it reached stable releases of the major Linux distributions; no known attacks, no damage. It meets only the response criterion: a near miss.","name":"xz Utils backdoor","year":2024},{"cve":"CVE-2024-3661","de":"Erlaubt einem Angreifer im selben lokalen Netz, Datenverkehr am VPN vorbeizuleiten; keine Massenangriffe, kein gemeldeter Schaden, keine außergewöhnliche Reaktion.","en":"Lets an attacker in the same local network route traffic around a VPN; no mass attacks, no reported damage, no extraordinary response.","name":"TunnelVision","year":2024}],"industrial_attacks":[{"access":["usb"],"actor":"Not officially attributed","category":"destruction","dates":[{"date":"2010-06-17","key":"disclosed"},{"date":"2010-07-19","de":"Siemens untersucht Infektionen seiner Steuerungssoftware","en":"Siemens investigates infections of its control software"},{"date":"2010-09-30","de":"Symantec veröffentlicht seine vollständige Analyse des Wurms","en":"Symantec publishes its full analysis of the worm"},{"date":"2010-11-12","de":"Forscher identifizieren die Frequenzumrichter als das eigentliche Ziel","en":"Researchers identify the frequency-converter drives as the real target"},{"date":"2010-12-22","de":"Ein Institut schätzt, dass in Natanz etwa 1.000 Zentrifugen außer Betrieb genommen wurden","en":"An institute estimates that about 1,000 centrifuges were lost at Natanz"},{"date":"2012-06-01","de":"Presseberichte beschreiben eine gemeinsame Operation der USA und Israels","en":"Press reports describe a joint US-Israeli operation"}],"de":{"actor":"Nicht offiziell zugeordnet","actor_note":"Keine Regierung hat dies bestätigt; die Zuordnung stützt sich auf Presseberichte","story":"Stuxnet, das im Juni 2010 entdeckt wurde, ist die erste bekannte Malware, die physische Maschinen beschädigt hat. Es verbreitete sich auf etwa 100.000 Computer in mehr als 150 Ländern, war jedoch darauf ausgelegt, einem einzigen Ziel Schaden zuzufügen: einer iranischen Urananreicherungsanlage, die Forscher mit Natanz in Verbindung brachten. Da das Steuerungsnetzwerk dieser Anlage keine Internetverbindung hatte, wurde der Wurm höchstwahrscheinlich auf einem Wechseldatenträger eingeschleust und verbreitete sich dann eigenständig mithilfe von vier unbekannten Windows-Sicherheitslücken sowie den Projektdateien der Siemens-Engineering-Software Step 7.\n\nAuf den Steuerungen lud er versteckten Code auf Siemens-S7-300-SPSen und trieb die Motoren der Zentrifugen weit über ihre normale Drehzahl hinaus an, während er normale Messwerte vortäuschte, sodass die Bediener nichts Ungewöhnliches bemerkten. Ein Institut schätzte, dass etwa 1.000 der 8.692 installierten Zentrifugen außer Betrieb gesetzt wurden, obwohl der Zusammenhang mit Stuxnet nicht bewiesen ist. Keine Regierung hat bestätigt, wer den Wurm entwickelt hat; Presseberichte beschreiben eine gemeinsame Operation der USA und Israels, doch diese Zuschreibung ist nicht offiziell.\n","summary":"Ein Wurm, der sich weltweit verbreitete, aber darauf ausgelegt war, eine iranische Urananlage zu sabotieren, indem er Zentrifugen zerstörte, während die Bediener normale Messwerte ablasen.","systems":"Siemens-S7-300-Steuerungen und deren Frequenzumrichter, über die Software Step 7 und WinCC","target":"Eine Urananreicherungsanlage im Iran, die von Forschern mit Natanz in Verbindung gebracht wird"},"disclosed":"2010-06-17","en":{"actor_note":"No government has confirmed it; the attribution rests on press reports","story":"Stuxnet, found in June 2010, is the first malware known to have damaged physical machines. It spread to about 100,000 computers in more than 150 countries, but it was built to harm one target: an Iranian uranium-enrichment plant that researchers linked to Natanz. Because that plant's control network had no internet connection, the worm was most likely carried in on a removable drive, then spread on its own using four unknown Windows flaws and the project files of Siemens Step 7 engineering software.\n\nOn the controllers, it loaded hidden code onto Siemens S7-300 PLCs and drove centrifuge motors far outside their normal speed, while replaying normal readings so operators saw nothing wrong. An institute estimated that about 1,000 of 8,692 installed centrifuges were taken out of service, though the link to Stuxnet is unproven. No government has confirmed who built it; press reports describe a joint US-Israeli operation, but that attribution is not official.\n","summary":"A worm that spread worldwide but was built to sabotage one Iranian uranium plant, wrecking centrifuges while operators saw normal readings.","systems":"Siemens S7-300 controllers and their frequency-converter drives, via Step 7 and WinCC software","target":"A uranium-enrichment plant in Iran, linked by researchers to Natanz"},"figures":[{"de":"in Natanz außer Betrieb genommene Zentrifugen (Schätzung von ISIS)","en":"centrifuges taken out of service at Natanz (ISIS estimate)","value":"~1,000"},{"de":"weltweit infizierte Computer bis September 2010","en":"computers infected worldwide by September 2010","value":"100,000"},{"de":"der infizierten Computer befanden sich im Iran","en":"of the infected computers were in Iran","value":"60 %"},{"de":"bis dahin unbekannte Windows-Sicherheitslücken für die Verbreitung","en":"previously unknown Windows flaws used to spread","value":"4"}],"key":"stuxnet","name":"Stuxnet","protocols":["Profibus","Siemens S7"],"sources":[{"de":"Symantec: W32.Stuxnet Dossier (technische Analyse)","title":"Symantec: W32.Stuxnet Dossier (technical analysis)","url":"https://docs.broadcom.com/doc/security-response-w32-stuxnet-dossier-11-en"},{"de":"Symantec: Stuxnet 0.5, das fehlende Glied","title":"Symantec: Stuxnet 0.5, the missing link","url":"https://community.broadcom.com/symantecenterprise/viewdocument/stuxnet-05-the-missing-link?CommunityKey=1ecf5f55-9545-44d6-b0f4-4e4a7f5f5e68\u0026tab=librarydocuments"},{"de":"CISA ICS-CERT: Stuxnet-Warnmeldung","title":"CISA ICS-CERT: Stuxnet advisory","url":"https://www.cisa.gov/news-events/ics-advisories/icsa-10-272-01"},{"de":"CISA ICS-CERT: USB-Malware, die auf Steuerungssoftware von Siemens abzielt","title":"CISA ICS-CERT: USB malware targeting Siemens control software","url":"https://www.cisa.gov/news-events/ics-advisories/icsa-10-201-01c"},{"de":"ISIS: Hat Stuxnet 1.000 Zentrifugen in Natanz außer Betrieb gesetzt?","title":"ISIS: did Stuxnet take out 1,000 centrifuges at Natanz?","url":"https://isis-online.org/isis-reports/did-stuxnet-take-out-1000-centrifuges-at-the-natanz-enrichment-plant/"},{"de":"ISIS: Stuxnet zielt auf Frequenzumrichter ab","title":"ISIS: Stuxnet targets frequency-converter drives","url":"https://isis-online.org/isis-reports/stuxnet-worm-targets-automated-systems-for-frequency-converters-is-irans-ce"},{"de":"Control Global: Wie der Stuxnet-Code einen Controller gekapert hat","title":"Control Global: how the Stuxnet code hijacked a controller","url":"https://www.controlglobal.com/control/plcs-pacs/article/11381080/industrial-controller-how-to-hijack-a-controller-control-global"},{"de":"RFE/RL: Bericht über die Operation „Olympic Games“","title":"RFE/RL: report on the 'Olympic Games' operation","url":"https://www.rferl.org/a/obama-stepped-up-iran-cyberattacks/24601136.html"}],"stages":["weaponize","target","deliver","exploit","install","develop","deliver2","install2","execute"],"year":2010},{"access":["phishing","watering","supplychain"],"actor":"FSB (Russia)","category":"espionage","dates":[{"date":"2014-06-24","de":"Ein Sicherheitsunternehmen berichtet, dass Havex es auf Steuerungssysteme abgesehen hat","en":"A security firm reports that Havex is targeting control systems"},{"date":"2014-06-25","key":"disclosed"},{"date":"2014-06-30","de":"Symantec veröffentlicht seinen Dragonfly-Bericht","en":"Symantec publishes its Dragonfly report"},{"date":"2014-07-31","de":"Kaspersky meldet weltweit mehr als 2.800 Opfer","en":"Kaspersky reports more than 2,800 victims worldwide"},{"date":"2014-10-27","de":"Forscher listen die mit Trojanern verseuchten Installationsprogramme der Anbieter auf","en":"Researchers list the trojanized vendor installers"},{"date":"2022-03-24","de":"Die US-Regierung macht den russischen FSB für die Kampagne verantwortlich","en":"The US government attributes the campaign to Russia's FSB"}],"de":{"actor":"FSB (Russland)","actor_note":"Im Jahr 2014 vermuteten Sicherheitsfirmen einen staatlichen Akteur; die USA nannten 2022 den russischen FSB als Verantwortlichen","story":"Havex, das im Juni 2014 bekannt wurde und auch unter den Bezeichnungen Dragonfly oder Energetic Bear verfolgt wurde, war eine Spionagekampagne gegen den Energiesektor. Die Opfer wurden auf drei Wegen infiziert: über Phishing-E-Mails mit manipulierten PDF-Dateien, über Websites, die so manipuliert waren, dass sie Besucher infizierten, und vor allem über gehackte Download-Seiten von mindestens drei kleinen Herstellern von Industriesoftware, deren Installationsprogramme durch Versionen ersetzt wurden, die ebenfalls Havex enthielten. Kaspersky zählte weltweit mehr als 2.800 Opfer.\n\nHavex war eine Hintertür, die eine Verbindung zum Server herstellte und zusätzliche Module herunterlud. Ein Modul durchsuchte das Netzwerk nach OPC-Servern – der Windows-Middleware, die es Software ermöglicht, Live-Daten von vielen Steuerungen auszulesen – und kopierte deren Details an die Angreifer zurück; allein das Scannen führte bei einigen Servern zum Absturz. Es stahl Informationen, verfügte jedoch über keine Sabotage-Funktion. Im Jahr 2014 waren sich die Analysten über die Herkunft uneinig; im Jahr 2022 schrieb die US-Regierung die Kampagne dem russischen FSB zu.\n","summary":"Spione versahen die Downloads kleiner ICS-Softwarehersteller mit Schadcode und nutzten anschließend die Hintertür, um industrielle Netzwerke im gesamten Energiesektor zu kartieren.","systems":"OPC-Server, die Windows-Middleware, die Live-Anlagendaten für andere Software bereitstellt","target":"Energieunternehmen und Hersteller von Industrieanlagen, vor allem in den USA und Europa"},"disclosed":"2014-06-25","en":{"actor_note":"In 2014 vendors saw a likely state actor; the US named Russia's FSB in 2022","story":"Havex, made public in June 2014 and also tracked as Dragonfly or Energetic Bear, was a spying campaign against the energy sector. It reached victims three ways: phishing emails with booby-trapped PDF files, websites rigged to infect visitors, and, most notably, the hacked download pages of at least three small makers of industrial software, whose installers were swapped for versions that also carried Havex. Kaspersky counted more than 2,800 victims worldwide.\n\nHavex was a backdoor that called home and downloaded extra modules. One module searched the network for OPC servers, the Windows middleware that lets software read live data from many controllers, and copied their details back to the attackers; the scanning alone crashed some servers. It stole information but had no sabotage payload. In 2014 analysts disagreed on the source; in 2022 the US government attributed the campaign to Russia's FSB.\n","summary":"Spies poisoned the downloads of small ICS software makers, then used the backdoor to map industrial networks across the energy sector.","systems":"OPC servers, the Windows middleware that exposes live plant data to other software","target":"Energy companies and makers of industrial equipment, mostly in the US and Europe"},"figures":[{"de":"bekannte Opfer weltweit (Kaspersky)","en":"known victims worldwide (Kaspersky)","value":"2,800+"},{"de":"namentlich genannte Opferorganisationen","en":"victim organizations identified by name","value":"101"},{"de":"Downloads eines mit einem Trojaner infizierten ICS-Installationsprogramms vor dessen Entdeckung","en":"downloads of one trojanized ICS installer before discovery","value":"250"},{"de":"Hersteller von Industriesoftware, deren Installationsprogramme mit Trojanern versehen waren","en":"makers of industrial software whose installers were trojanized","value":"3"}],"key":"havex","name":"Havex","protocols":["OPC"],"sources":[{"de":"CISA ICS-CERT-Warnung: Auf ICS ausgerichtete Malware (Havex)","title":"CISA ICS-CERT alert: ICS-focused malware (Havex)","url":"https://www.cisa.gov/news-events/ics-alerts/ics-alert-14-176-02a"},{"de":"CISA: Vorgehensweisen der angeklagten russischen FSB-Akteure","title":"CISA: tactics of indicted Russian FSB actors","url":"https://www.cisa.gov/news-events/cybersecurity-advisories/aa22-083a"},{"de":"Symantec: Dragonfly – westliche Energieunternehmen in Gefahr","title":"Symantec: Dragonfly, Western energy companies under threat","url":"https://www.security.com/threat-intelligence/dragonfly-energy-companies-sabotage"},{"de":"Kaspersky: Energetic Bear – eher ein Crouching Yeti","title":"Kaspersky: Energetic Bear, more like a Crouching Yeti","url":"https://securelist.com/energetic-bear-more-like-a-crouching-yeti/65240/"},{"de":"Kaspersky: Spionagekampagne Crouching Yeti mit 2.800 Zielen","title":"Kaspersky: Crouching Yeti spying campaign with 2,800 targets","url":"https://www.kaspersky.com/about/press-releases/crouching-yeti-an-ongoing-spying-campaign-with-2-800-highly-valuable-targets-worldwide"},{"de":"SecurityWeek: Angreifer setzen die Havex-RAT gegen Steuerungssysteme ein","title":"SecurityWeek: attackers using the Havex RAT against control systems","url":"https://www.securityweek.com/attackers-using-havex-rat-against-industrial-control-systems/"},{"de":"Netresec: Vollständige Offenlegung der Havex-Trojaner","title":"Netresec: full disclosure of the Havex trojans","url":"https://netresec.com/?b=14ABDA4"}],"stages":["weaponize","target","deliver","exploit","install","c2","act"],"year":2014},{"access":["phishing"],"actor":"Not attributed","category":"destruction","dates":[],"de":{"actor":"Nicht zugeordnet","actor_note":"Das BSI bezeichnet die Angreifer als sehr versiert, nennt jedoch keine Namen","name":"Stahlwerk in Deutschland","story":"In seinem Jahresbericht 2014 beschrieb das Bundesamt für Sicherheit in der Informationstechnik (BSI) einen gezielten Angriff auf ein Stahlwerk, der erheblichen Sachschaden verursachte. Die Behörde nannte weder den Namen des Unternehmens noch den Standort, das Datum oder den Angreifer. Die Angreifer nutzten Spear-Phishing und Social Engineering, um in das Büronetzwerk einzudringen, und drangen dann Schritt für Schritt in die Produktionsnetzwerke vor, über die das Werk gesteuert wird.\n\nDanach fielen einzelne Steuerungskomponenten und ganze Anlagen immer häufiger aus, bis ein Hochofen nicht mehr kontrolliert abgeschaltet werden konnte und in einem undefinierten Zustand zurückblieb, was laut BSI massive Schäden verursachte. Die Behörde nannte weder Produkte noch Protokolle oder Malware, und es wurden keine Kostenangaben veröffentlicht. Sie stufte die Angreifer als sehr versiert ein, mit detaillierten Kenntnissen der Steuerungssysteme, gab jedoch keinerlei Hinweise auf die Identität der Angreifer.\n","summary":"Die deutsche Behörde für Cybersicherheit meldete einen Angriff, bei dem es durch Phishing zu einem Einbruch in ein Stahlwerk kam und massiver Schaden entstand, ohne dabei ein Unternehmen, ein Datum oder den Angreifer zu nennen.","systems":"Keine Angaben; das BSI teilt lediglich mit, dass der Angriff industrielle Komponenten betraf","target":"Ein Stahlwerk in Deutschland; das BSI nennt weder den Namen des Unternehmens noch dessen Standort"},"disclosed":"2014-11","en":{"actor_note":"The BSI calls the attackers very advanced but names no one","story":"In its 2014 annual report, Germany's Federal Office for Information Security (the BSI) described a targeted attack on a steel mill that caused heavy physical damage. The agency named no company, location, date, or attacker. The attackers used spear phishing and social engineering to reach the office network, then worked their way step by step into the production networks that run the plant.\n\nAfter that, individual control components and whole installations failed more and more often, until a blast furnace could not be shut down in a controlled way and was left in an undefined state, causing what the BSI called massive damage. The agency named no products, protocols, or malware, and no cost figure is public. It rated the attackers as very advanced, with detailed knowledge of the control systems, but offered no attribution of any kind.\n","summary":"Germany's cyber-security agency reported an attack that phished into a steel mill and caused massive damage, naming no company, date, or attacker.","systems":"Not disclosed; the BSI says only that the attack reached industrial components","target":"A steel mill in Germany; the BSI does not name the company or its location"},"figures":[{"de":"Hochofen blieb in einem undefinierten Zustand","en":"blast furnace left in an undefined state","value":"1"}],"key":"steel-mill","name":"German steel mill","protocols":[],"sources":[{"de":"BSI: Die Lage der IT-Sicherheit in Deutschland 2014","title":"BSI: The State of IT Security in Germany 2014 (German edition)","url":"https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Publikationen/Lageberichte/Lagebericht2014.pdf?__blob=publicationFile"},{"de":"BSI: The State of IT Security in Germany 2014 (englische Ausgabe)","title":"BSI: The State of IT Security in Germany 2014 (English edition)","url":"https://www.bsi.bund.de/SharedDocs/Downloads/EN/BSI/Publications/Securitysituation/IT-Security-Situation-in-Germany-2014.pdf?__blob=publicationFile\u0026v=1"}],"stages":["deliver","act","deliver2","install2","execute"],"year":2014},{"access":["phishing","credentials","vpn"],"actor":"Sandworm (GRU)","category":"disruption","dates":[{"date":"2014-05-12","de":"Eine Phishing-E-Mail erreicht eines der späteren Opfer","en":"A phishing email reaches one of the later victims"},{"date":"2015-12-23","key":"outbreak"},{"date":"2016-01-04","de":"Ein Sicherheitsunternehmen bringt BlackEnergy und den KillDisk-Wiper mit dem Ausfall in Verbindung","en":"A security firm links BlackEnergy and the KillDisk wiper to the outage"},{"date":"2016-02-25","de":"US-Ermittler veröffentlichen ihren Bericht über den Angriff","en":"US investigators publish their report on the attack"},{"date":"2022-04-20","de":"Die US-Regierung schreibt den Angriff Sandworm (GRU) zu","en":"The US government attributes the attack to Sandworm (GRU)"}],"de":{"actor_note":"Zuschreibung durch die US-Regierung; Anfang 2016 konnten Analysten die Verantwortlichen noch nicht benennen","story":"Am 23. Dezember 2015 verloren drei ukrainische regionale Energieversorger innerhalb von etwa einer halben Stunde nacheinander die Kontrolle über ihre Stromnetze, wodurch rund 225.000 Kunden ohne Strom waren (ESET bezifferte die Zahl auf etwa 230.000 Menschen). Es handelt sich um den ersten Stromausfall, bei dem nachweislich ein Cyberangriff die Ursache war. Monate zuvor hatten Spear-Phishing-E-Mails mit makrohaltigen Office-Dateien die BlackEnergy-Malware in den Büronetzwerken eingeschleust.\n\nDie Angreifer erlangten Zugangsdaten und nutzten anschließend die VPN- und Fernsteuerungstools der Energieversorger selbst, um Zugriff auf die SCADA-Systeme zu erhalten. Dort öffneten sie von Hand Leistungsschalter in mehr als 50 Umspannwerken. Sie deaktivierten Seriell-zu-Ethernet-Konverter, löschten PCs mit KillDisk und überlasteten ein Callcenter, sodass die Stromversorgung erst nach etwa sechs Stunden vor Ort wiederhergestellt werden konnte. Die US-Regierung schrieb den Angriff später Sandworm zu, einer Einheit des russischen GRU.\n","summary":"Angreifer drangen mittels Phishing in ukrainische Energieversorger ein und nutzten anschließend die eigenen Fernsteuerungssysteme der Betreiber, um Umspannwerke abzuschalten, wodurch rund 225.000 Kunden von der Stromversorgung abgeschnitten wurden.","systems":"SCADA-Steuerungssysteme, erreicht über Fernzugriffstools; Seriell-zu-Ethernet-Konverter in Umspannwerken","target":"Drei regionale Stromverteilungsunternehmen in der Ukraine"},"disclosed":"2016-01-04","en":{"actor_note":"US government attribution; in early 2016 analysts could not yet name the operators","story":"On December 23, 2015, three Ukrainian regional power companies lost control of their grids within about half an hour of each other, and about 225,000 customers lost power (ESET counted around 230,000 people). It is the first blackout confirmed to have been caused by a cyberattack. Months earlier, spear-phishing emails with macro-laden Office files had planted the BlackEnergy malware on the office networks.\n\nThe attackers harvested credentials, then used the utilities' own VPN and remote-control tools to reach the SCADA systems, where they opened breakers at more than 50 substations by hand. They disabled serial-to-Ethernet converters, wiped PCs with KillDisk, and flooded a call center, so power had to be restored on site in about six hours. The US government later attributed the attack to Sandworm, a unit of Russia's GRU.\n","summary":"Attackers phished into Ukrainian power companies, then used the operators' own remote controls to switch off substations, cutting power to about 225,000 customers.","systems":"SCADA control systems reached by remote-access tools; substation serial-to-Ethernet converters","target":"Three regional power distribution companies in Ukraine"},"figures":[{"de":"Kunden ohne Strom (US-Heimatschutzministerium)","en":"customers lost power (US DHS)","value":"225,000"},{"de":"bis zur manuellen Wiederherstellung der Stromversorgung (INL)","en":"to restore power by hand (INL)","value":"~6 h"},{"de":"Umspannwerke, deren Leistungsschalter geöffnet wurden (INL)","en":"substations where breakers were opened (INL)","value":"50+"},{"de":"Stromversorger, innerhalb von rund 30 Minuten getroffen","en":"power companies hit within about 30 minutes","value":"3"}],"key":"blackenergy","name":"BlackEnergy","protocols":[],"sources":[{"de":"DHS ICS-CERT: Cyberangriff auf kritische Infrastruktur in der Ukraine","title":"DHS ICS-CERT: cyberattack against Ukrainian critical infrastructure","url":"https://www.cisa.gov/news-events/ics-alerts/ir-alert-h-16-056-01"},{"de":"CISA ICS-CERT-Warnung: BlackEnergy in Mensch-Maschine-Schnittstellen","title":"CISA ICS-CERT alert: BlackEnergy in human-machine interfaces","url":"https://www.cisa.gov/news-events/ics-alerts/ics-alert-14-281-01e"},{"de":"CISA: Bedrohungsprofil Sandworm (GRU)","title":"CISA: Sandworm (GRU) threat profile","url":"https://www.cisa.gov/news-events/cybersecurity-advisories/aa22-110a"},{"de":"Idaho National Laboratory: Fallstudie zur Ukraine 2015","title":"Idaho National Laboratory: Ukraine 2015 case study","url":"https://cyote.inl.gov/content/uploads/24/2025/12/CyOTE-Case-Study_Ukraine-2015.pdf"},{"de":"ESET: BlackEnergy und die Backdoor SSHBearDoor","title":"ESET: BlackEnergy and the SSHBearDoor backdoor","url":"https://www.welivesecurity.com/2016/01/03/blackenergy-sshbeardoor-details-2015-attacks-ukrainian-news-media-electric-industry/"},{"de":"ESET: Der Trojaner BlackEnergy schlägt erneut zu","title":"ESET: BlackEnergy trojan strikes again","url":"https://www.welivesecurity.com/2016/01/04/blackenergy-trojan-strikes-again-attacks-ukrainian-electric-power-industry/"},{"de":"ESET: Was wir wirklich über den Stromausfall in der Ukraine wissen","title":"ESET: what we really know about the Ukrainian power outage","url":"https://www.welivesecurity.com/2016/01/11/blackenergy-and-the-ukrainian-power-outage-what-we-really-know/"},{"de":"ESET: Sandworm – eine Geschichte von Störungen, neu erzählt","title":"ESET: Sandworm, a tale of disruption told anew","url":"https://www.welivesecurity.com/2022/03/21/sandworm-tale-disruption-told-anew/"}],"stages":["deliver","install","c2","act","develop","deliver2","install2","execute"],"year":2015},{"access":["unknown"],"actor":"Sandworm (GRU)","category":"disruption","dates":[{"date":"2016-12-17","key":"outbreak"},{"date":"2016-12-20","de":"In einigen Samples findet sich ein zweites Aktivierungsdatum","en":"A second activation date is found in some samples"},{"date":"2017-06-12","key":"disclosed"},{"date":"2022-04-20","de":"Die US-Regierung schreibt den Angriff Sandworm (GRU) zu","en":"The US government attributes the attack to Sandworm (GRU)"}],"de":{"actor_note":"Zuschreibung durch die US-Regierung; ESET nahm 2017 keine Zuordnung vor","story":"Am 17. Dezember 2016 fiel in Teilen von Kiew für etwa eine Stunde der Strom aus. Die dahinter stehende Malware, die 2017 analysiert wurde, wurde von ESET als Industroyer und von Dragos als CRASHOVERRIDE bezeichnet. Es handelte sich um die erste Malware, die darauf ausgelegt war, Netzausrüstung direkt zu steuern: Anstatt dass eine Person sich durch Fernsteuerungstools klicken musste, kommunizierten ihre eigenen Module über die Standardprotokolle des Netzes (IEC 60870-5-101, IEC 60870-5-104, IEC 61850 und OPC DA), um Leistungsschalter automatisch zu öffnen. Wie sich die Angreifer ursprünglich Zugang verschafft hatten, konnte nie geklärt werden.\n\nEin Launcher löste die Schadlast zu einem festgelegten Zeitpunkt aus; ein bis zwei Stunden später zerstörte ein Wiper Dateien und Einstellungen, um die Wiederherstellung zu verlangsamen, und ein separates Tool konnte Siemens-SIPROTEC-Schutzrelais deaktivieren. Die US-Regierung schreibt den Angriff Sandworm (dem russischen GRU) zu; Dragos identifiziert die Betreiber als ELECTRUM. Im Jahr 2017 stellte ESET keine Code-Überschneidungen mit BlackEnergy fest und nahm keine Zuordnung vor.\n","summary":"Die erste Malware, die entwickelt wurde, um Netzkomponenten direkt über deren eigene Protokolle zu steuern, wurde eingesetzt, um die Stromversorgung in einem Teil von Kiew für etwa eine Stunde zu unterbrechen.","systems":"Leistungsschalter und Relais in Umspannwerken, über die Netzprotokolle IEC 60870-5-101/104, IEC 61850 und OPC DA","target":"Ein ukrainischer Stromübertragungsbetreiber; Teile von Kiew waren ohne Strom"},"disclosed":"2017-06-12","en":{"actor_note":"US government attribution; ESET did not attribute it in 2017","story":"On December 17, 2016, part of Kyiv lost power for about an hour. The malware behind it, analyzed in 2017, was named Industroyer by ESET and CRASHOVERRIDE by Dragos. It was the first malware built to control grid equipment directly: instead of a person clicking through remote-control tools, its own modules spoke the grid's standard protocols (IEC 60870-5-101, IEC 60870-5-104, IEC 61850 and OPC DA) to open circuit breakers automatically. How the attackers first got in was never established.\n\nA launcher set off the payload at a chosen time; one to two hours later a wiper destroyed files and settings to slow recovery, and a separate tool could disable Siemens SIPROTEC protection relays. The US government attributes the attack to Sandworm (Russia's GRU); Dragos tracks the operators as ELECTRUM. In 2017, ESET found no code overlap with BlackEnergy and did not attribute it.\n","summary":"The first malware built to control grid equipment directly in its own protocols, used to cut power to part of Kyiv for about an hour.","systems":"Substation breakers and relays, via the grid protocols IEC 60870-5-101/104, IEC 61850 and OPC DA","target":"A Ukrainian electrical transmission company; part of Kyiv lost power"},"figures":[{"de":"Stromausfall in Teilen von Kiew (ESET)","en":"power cut to part of Kyiv (ESET)","value":"~1 h"},{"de":"Netzprotokolle, die die Schadsoftware beherrschte","en":"grid protocols the malware could speak","value":"4"}],"key":"industroyer","name":"Industroyer / CRASHOVERRIDE","protocols":["IEC 60870-5-101","IEC 60870-5-104","IEC 61850","OPC DA"],"sources":[{"de":"ESET: Technische Analyse von Win32/Industroyer","title":"ESET: Win32/Industroyer technical analysis","url":"https://web-assets.esetstatic.com/wls/2017/06/Win32_Industroyer.pdf"},{"de":"ESET: Industroyer – die größte Bedrohung für Steuerungssysteme seit Stuxnet","title":"ESET: Industroyer, biggest threat to control systems since Stuxnet","url":"https://www.welivesecurity.com/2017/06/12/industroyer-biggest-threat-industrial-control-systems-since-stuxnet/"},{"de":"US-CERT: Warnung vor der Malware CrashOverride (TA17-163A)","title":"US-CERT: CrashOverride malware alert (TA17-163A)","url":"https://www.cisa.gov/news-events/alerts/2017/06/12/crashoverride-malware"},{"de":"Dragos: Die Bedrohungsgruppe ELECTRUM","title":"Dragos: the ELECTRUM threat group","url":"https://www.dragos.com/threat/electrum/"},{"de":"CISA: Bedrohungsprofil Sandworm (GRU)","title":"CISA: Sandworm (GRU) threat profile","url":"https://www.cisa.gov/news-events/cybersecurity-advisories/aa22-110a"},{"de":"ESET: Industroyer2, Industroyer neu aufgelegt","title":"ESET: Industroyer2, Industroyer reloaded","url":"https://www.welivesecurity.com/2022/04/12/industroyer2-industroyer-reloaded/"}],"stages":["install","c2","develop","deliver2","install2","execute"],"year":2016},{"access":["unknown"],"actor":"TsNIIKhM (Russian state institute)","category":"destruction","dates":[{"date":"2017-12-14","key":"disclosed"},{"date":"2018-10-23","de":"FireEye bringt den Angriff mit einer staatlichen russischen Einrichtung in Verbindung","en":"FireEye ties the attack to a Russian state institute"},{"date":"2020-10-23","de":"Die USA verhängen Sanktionen gegen dieses Institut (TsNIIKhM)","en":"The US sanctions that institute (TsNIIKhM)"},{"date":"2022-03-24","de":"US-Behörden veröffentlichen die Techniken des Angriffs im Detail","en":"US agencies publish the attack's techniques in detail"}],"de":{"actor":"TsNIIKhM (russisches staatliches Institut)","actor_note":"In den US-Sanktionen wird dieses Institut namentlich genannt; Dragos identifiziert den Betreiber als XENOTIME; FireEye kam mit hoher Sicherheit zu diesem Schluss","story":"Im Jahr 2017 gelangten Angreifer in das Sicherheitssystem einer petrochemischen Anlage im Nahen Osten – zu den unabhängigen Steuerungen, die einen Prozess in einen sicheren Zustand versetzen sollen, bevor er gefährlich wird. Die Malware, bekannt als TRISIS oder TRITON, war eigens für die Triconex-Steuerungen von Schneider Electric gebaut. Sie kommunizierte über TriStation, das undokumentierte Protokoll der Steuerungen, das die Angreifer rückentwickelt hatten, und schrieb eine versteckte Hintertür in den Speicher einer Steuerung, um deren Sicherheitslogik zu verändern.\n\nWie die Angreifer zunächst eindrangen, ist nicht bekannt; sie gelangten an den Arbeitsplatzrechner, von dem aus die Steuerungen programmiert werden, und führten dort ein Tool aus, das als Software des Herstellers getarnt war. Während der Aktion lösten einige Steuerungen eine Sicherheitsabschaltung aus und legten die Anlage für mehrere Tage lahm, wodurch die Malware entdeckt wurde. 2018 brachte FireEye den Angriff mit hoher Sicherheit mit dem russischen Staatsinstitut TsNIIKhM in Verbindung; die USA verhängten 2020 Sanktionen gegen diese Einrichtung. Dragos identifiziert den Betreiber als XENOTIME.\n","summary":"Malware, die darauf ausgelegt war, die Sicherheitssteuerungen einer Anlage im Nahen Osten außer Betrieb zu setzen; ein Fehler führte dazu, dass die Anlage tagelang stillstand.","systems":"Sicherheitssteuerungen von Schneider Electric Triconex (ein sicherheitsgerichtetes System, kurz SIS) über das undokumentierte TriStation-Protokoll","target":"Ein petrochemisches Werk im Nahen Osten (US-Behörden sprechen lediglich von „einer ausländischen Ölraffinerie“)"},"disclosed":"2017-12-14","en":{"actor_note":"US sanctions name this institute; Dragos tracks the operator as XENOTIME; FireEye assessed it with high confidence","story":"In 2017, attackers reached the safety system of a petrochemical plant in the Middle East — the independent controllers meant to force a process into a safe state before it turns dangerous. The malware, known as TRISIS or TRITON, was built for the plant's Schneider Electric Triconex controllers. It spoke TriStation, their undocumented protocol, which the attackers had reverse-engineered, and wrote a hidden backdoor into a controller's memory to alter its safety logic.\n\nUS agencies have not said how the attackers first broke in; they reached the engineering workstation that programs the controllers and ran a tool disguised as the vendor's own software. During the operation some controllers tripped and shut the plant down for several days, which is how the malware was found. In 2018 FireEye tied the intrusion to a Russian state institute, TsNIIKhM, with high confidence; the US sanctioned it in 2020. Dragos tracks the operator as XENOTIME.\n","summary":"Malware built to disable the safety controllers of a Middle East plant; a mistake tripped the plant into a days-long shutdown.","systems":"Schneider Electric Triconex safety controllers (a safety instrumented system, or SIS), via the undocumented TriStation protocol","target":"A petrochemical plant in the Middle East (US agencies say only 'a foreign oil refinery')"},"figures":[{"de":"dass die angegriffene Raffinerie stillgelegt wurde (CISA)","en":"that the targeted refinery was shut down (CISA)","value":"several days","value_de":"mehrere Tage"},{"de":"US-Stromversorger, die dieselben Angreifer 2019 auskundschafteten (US-Finanzministerium)","en":"US electric utilities the same actors probed in 2019 (Treasury)","value":"20"}],"key":"trisis","name":"TRISIS / TRITON","protocols":["TriStation"],"sources":[{"de":"Mandiant: Angreifer setzen neues ICS-Angriffs-Framework namens TRITON ein","title":"Mandiant: Attackers Deploy New ICS Attack Framework TRITON","url":"https://cloud.google.com/blog/topics/threat-intelligence/attackers-deploy-new-ics-attack-framework-triton/"},{"de":"FireEye: TRITON wird einer russischen staatlichen Einrichtung zugeschrieben","title":"FireEye: TRITON attribution to a Russian state institute","url":"https://cloud.google.com/blog/topics/threat-intelligence/triton-attribution-russian-government-owned-lab-most-likely-built-tools/"},{"de":"US-Finanzministerium: Sanktionen gegen TsNIIKhM wegen des Triton-Angriffs","title":"US Treasury: sanctions on TsNIIKhM over the Triton attack","url":"https://home.treasury.gov/news/press-releases/sm1162"},{"de":"CISA-Warnmeldung AA22-083A: TRITON-Techniken und die Stilllegung der Raffinerie","title":"CISA advisory AA22-083A: TRITON techniques and the refinery shutdown","url":"https://www.cisa.gov/news-events/cybersecurity-advisories/aa22-083a"},{"de":"CISA-ICS-Warnmeldung: Schneider Electric Triconex Tricon","title":"CISA ICS advisory: Schneider Electric Triconex Tricon","url":"https://www.cisa.gov/news-events/ics-advisories/icsa-18-107-02"},{"de":"Dragos: die Hackergruppe XENOTIME (TRISIS)","title":"Dragos: the XENOTIME threat group (TRISIS)","url":"https://www.dragos.com/threat/xenotime/"}],"stages":["act","develop","deliver2","install2","execute"],"year":2017},{"access":["unknown"],"actor":"Not attributed","category":"ransomware","dates":[{"date":"2020-02-03","de":"Dragos veröffentlicht die erste Analyse und prägt den Namen EKANS","en":"Dragos publishes the first analysis and names EKANS"},{"date":"2020-02-24","de":"FireEye veröffentlicht eine eigene Analyse (SNAKEHOSE)","en":"FireEye publishes its own analysis (SNAKEHOSE)"},{"date":"2020-06-26","de":"Die Unit 42 von Palo Alto Networks veröffentlicht eine Bedrohungsanalyse","en":"Palo Alto Networks Unit 42 publishes a threat assessment"},{"date":"2020-07-01","de":"Fortinet analysiert Varianten, die nur innerhalb des Zielnetzwerks laufen","en":"Fortinet analyses variants that run only inside the target network"}],"de":{"actor":"Nicht zugeordnet","actor_note":"Kriminelle Ransomware; weder eine Regierung noch ein Sicherheitsunternehmen hat einen Betreiber benannt","story":"EKANS (das Wort „snake“ rückwärts gelesen) ist eine Ransomware, die 2020 auftauchte. Sie läuft auf gewöhnlichen Windows-Computern und kann daher die Steuerungen, die Maschinen antreiben, nicht umprogrammieren. Stattdessen zielt sie auf die Windows-PCs ab, die Bediener zur Überwachung und Steuerung einer Anlage nutzen: die als HMIs bezeichneten Bildschirme, die sogenannten Historian-Datenbanken und die Lizenzserver. Bevor sie deren Dateien verschlüsselt, beendet sie eine fest einprogrammierte Liste von Programmen, sodass die Dateien nicht mehr gesperrt sind.\n\nDas Sicherheitsunternehmen FireEye stellte fest, dass diese Liste über 1.000 Prozesse ins Visier nimmt, darunter auch Industriesoftware von Herstellern wie General Electric und Honeywell. EKANS löscht zudem die von Windows gespeicherten Sicherungskopien. Wie die Angreifer ursprünglich eindrangen, wurde nie öffentlich bekannt; EKANS ist die Schadsoftware, die am Ende abgelegt wird. Weder eine Gruppe noch ein Staat wurde benannt. MITREs ATT\u0026CK bringt unter Berufung auf Presseberichte eine EKANS-Infektion mit einem vorübergehenden Produktionsausfall in einem Honda-Werk im Juni 2020 in Verbindung.\n","summary":"Ransomware, die industrielle Software lahmlegt, bevor sie die Windows-PCs verschlüsselt, auf denen eine Anlage läuft; sie kann die Steuerungen nicht verändern, aber die Produktion zum Erliegen bringen.","systems":"Windows-PCs der Leitwarte – Bedienoberflächen (HMIs), Verlaufsdatenbanken (Historians) und Lizenzserver –, nicht die Steuerungen selbst","target":"Industrieunternehmen in verschiedenen Branchen, von der Energiewirtschaft bis zur verarbeitenden Industrie (Unit 42)"},"disclosed":"2020-02-03","en":{"actor_note":"Criminal ransomware; no government or security firm has named an operator","story":"EKANS (the word 'snake' backwards) is ransomware that appeared in 2020. It runs on ordinary Windows computers, so it cannot reprogram the controllers that run machinery. Instead it goes after the Windows PCs operators use to watch and command a plant: the screens known as HMIs, the databases called historians, and licence servers. Before encrypting their files, it stops a hard-coded list of programs so the files are no longer locked.\n\nThe security firm FireEye found that list targets over 1,000 processes, some of them industrial software from vendors such as General Electric and Honeywell. EKANS also deletes the backup copies Windows keeps. How operators were first breached was never made public; EKANS is the payload dropped at the end. No group or state has been named. MITRE's ATT\u0026CK, citing press reports, links an EKANS infection to a temporary production loss at a Honda plant in June 2020.\n","summary":"Ransomware that stops industrial software before encrypting the Windows PCs that run a plant; it cannot touch controllers, but it can halt production.","systems":"Windows PCs that run the control room — HMIs, historians and licence servers — not the controllers themselves","target":"Industrial organizations in several sectors, from energy to manufacturing (Unit 42)"},"figures":[{"de":"Windows-Prozesse auf der Kill-Liste, darunter auch einige industrielle (FireEye)","en":"Windows processes on the kill list, some of them industrial (FireEye)","value":"1,000+"},{"de":"Branchen, die Unit 42 nennt – von Energie bis Gesundheitswesen","en":"sectors Unit 42 named, from energy to healthcare","value":"5"}],"key":"ekans","name":"EKANS","protocols":[],"sources":[{"de":"MITRE ATT\u0026CK: EKANS (S0605)","title":"MITRE ATT\u0026CK: EKANS (S0605)","url":"https://attack.mitre.org/software/S0605/"},{"de":"Palo Alto Networks Unit 42: Bedrohungsanalyse zur EKANS-Ransomware","title":"Palo Alto Networks Unit 42: EKANS ransomware threat assessment","url":"https://unit42.paloaltonetworks.com/threat-assessment-ekans-ransomware/"},{"de":"Fortinet: Die EKANS-Ransomware zielt auf OT-/ICS-Systeme ab","title":"Fortinet: EKANS ransomware targeting OT/ICS systems","url":"https://www.fortinet.com/blog/threat-research/ekans-ransomware-targeting-ot-ics-systems"},{"de":"FireEye/Mandiant: Ransomware Against the Machine","title":"FireEye/Mandiant: Ransomware Against the Machine","url":"https://cloud.google.com/blog/topics/threat-intelligence/ransomware-against-machine-learning-to-disrupt-industrial-production/"}],"stages":["develop","execute"],"year":2020},{"access":["unknown"],"actor":"Sandworm","category":"disruption","dates":[{"date":"2022-03-23","de":"Die Angreifer kompilieren Industroyer2 für genau diesen einen Energieversorger","en":"The attackers compile Industroyer2 for this one utility"},{"date":"2022-04-08","de":"Sie spielen es aus und planen den Stromausfall; Einsatzkräfte stoppen es","en":"They deploy it and schedule the power cut; responders stop it"},{"date":"2022-04-12","de":"ESET und CERT-UA veröffentlichen den Fall","en":"ESET and CERT-UA publish the case"}],"de":{"actor_note":"CERT-UA führt dies auf Sandworm (UAC-0082) zurück; ESET kommt mit hoher Sicherheit zum selben Schluss","story":"Am 8. April 2022 versuchte die Gruppe Sandworm, einen Teil des ukrainischen Stromnetzes abzuschalten. Ihr Tool, von der Sicherheitsfirma ESET Industroyer2 getauft, war ein abgespeckter Nachfolger der Malware Industroyer aus dem Jahr 2016. Es nutzte nur ein einziges Industrieprotokoll, IEC 104, und enthielt die Adressen der Ziel-Umspannwerke sowie die Schaltbefehle direkt im Programm selbst, sodass es für einen bestimmten Energieversorger entwickelt worden war. Eine separate „Wiper“-Malware sollte gleichzeitig die Windows-, Linux- und Solaris-Server des Energieversorgers zerstören.\n\nWie die Angreifer zunächst eindrangen, ist nicht öffentlich bekannt, doch sie verfügten bereits über Administratorrechte: Sie verteilten die Malware über die Windows-Gruppenrichtlinien und richteten eine geplante Aufgabe ein, um sie noch am selben Abend auszuführen. CERT-UA, Ukraines Team für Cybervorfälle, gibt an, dass das Netzwerk bereits seit mindestens Februar 2022 kompromittiert war und dass der Angriff rechtzeitig gestoppt werden konnte – es kam zu keinem Ausfall. CERT-UA führt den Angriff auf Sandworm (UAC-0082) zurück; ESET kommt mit hoher Sicherheit zum selben Schluss.\n","summary":"Sandworms Tool, um den Strom einer ukrainischen Region abzuschalten, zeitlich abgestimmt mit Festplatten löschender Malware; die Einsatzkräfte entfernten es, bevor es lief.","systems":"Anlagen in Hochspannungs-Umspannwerken, gesteuert über das IEC-104-Protokoll","target":"Ein ukrainischer Stromversorger; dessen Hochspannungs-Umspannwerke"},"disclosed":"2022-04-12","en":{"actor_note":"CERT-UA attributes it to Sandworm (UAC-0082); ESET assesses this with high confidence","story":"On April 8, 2022, the group Sandworm tried to switch off part of Ukraine's power grid. Its tool, named Industroyer2 by the security firm ESET, was a stripped-down successor to the Industroyer malware from 2016. It spoke only one industrial protocol, IEC 104, and carried the target substations' addresses and switching commands inside the program itself, so it was built for one specific utility. Separate 'wiper' malware was lined up to destroy the utility's Windows, Linux and Solaris servers at the same time.\n\nHow the attackers first entered is not public, but they already held administrator access: they pushed the malware out through Windows Group Policy and set a scheduled task to run it that evening. CERT-UA, Ukraine's incident team, says the network had been compromised since at least February 2022, and that the plan was stopped in time — no outage occurred. CERT-UA attributes the attack to Sandworm (UAC-0082); ESET assesses this with high confidence.\n","summary":"Sandworm's tool to switch off a Ukrainian region's power, timed with disk-wiping malware; responders removed it before it ran.","systems":"High-voltage substation equipment, commanded over the IEC 104 protocol","target":"A Ukrainian electricity utility; its high-voltage substations"},"figures":[{"de":"Stromausfälle – der Angriff wurde rechtzeitig gestoppt (CERT-UA)","en":"power outages — the attack was stopped in time (CERT-UA)","value":"0"},{"de":"verwendetes Industrieprotokoll – in der Version von 2016 waren es noch vier (ESET)","en":"industrial protocol it used, down from four in the 2016 version (ESET)","value":"1"},{"de":"Betriebssysteme, auf die die begleitenden Wiper abzielten: Windows, Linux, Solaris (ESET)","en":"operating systems the paired wipers targeted: Windows, Linux, Solaris (ESET)","value":"3"}],"key":"industroyer2","name":"Industroyer2","protocols":["IEC 104"],"sources":[{"de":"ESET: Industroyer2 – Industroyer neu aufgelegt","title":"ESET: Industroyer2, Industroyer reloaded","url":"https://www.welivesecurity.com/2022/04/12/industroyer2-industroyer-reloaded/"},{"de":"CERT-UA#4435: der Angriff auf eine ukrainische Energieanlage","title":"CERT-UA#4435: the attack on a Ukrainian energy facility","url":"https://cert.gov.ua/article/39518"}],"stages":["act","develop","deliver2"],"year":2022},{"access":["unknown"],"actor":"CHERNOVITE (state-sponsored)","category":"disruption","dates":[{"date":"2022-04-13","de":"Vier US-Behörden und Mandiant machen das Toolkit öffentlich (AA22-103A)","en":"Four US agencies and Mandiant make the toolkit public (AA22-103A)"},{"date":"2022-04-28","de":"Dragos veröffentlicht seine detaillierte PIPEDREAM-Analyse","en":"Dragos publishes its detailed PIPEDREAM analysis"}],"de":{"actor":"CHERNOVITE (staatlich unterstützt)","actor_note":"So nennt Dragos den Entwickler; ein Land wurde nicht genannt; Mandiant bezeichnete die Verbindungen zu Russland als Indizien","story":"PIPEDREAM ist ein Fall ohne Opfer. Anfang 2022 analysierten Dragos und Mandiant ein komplettes Angriffs-Toolkit – Dragos nannte es PIPEDREAM, Mandiant INCONTROLLER –, das eine staatlich unterstützte Gruppe gebaut hatte, um industrielle Steuerungen aufzuspüren und zu übernehmen. Es wurde entdeckt, bevor es je zum Einsatz kam. Am 13. April 2022 veröffentlichten vier US-Behörden eine gemeinsame Warnmeldung, AA22-103A. Nach Dragos' Zählung ist es die siebte bekannte ICS-spezifische Schadsoftware und die erste, die vor einem Angriff entdeckt wurde.\n\nDas Toolkit ist modular: Einige Teile fassen unter Windows Fuß und erhalten über einen signierten, aber fehlerhaften Treiber tiefen Zugriff, während andere die Industrieprotokolle CODESYS, Modbus, OPC UA und Omron FINS nutzen, um Steuerungen zu scannen, sich anzumelden, sie neu zu programmieren oder zum Absturz zu bringen. Es brachte Module für Geräte von Schneider Electric und Omron mit. Dragos geht mit hoher Sicherheit von einem staatlichen Entwickler aus und nennt ihn CHERNOVITE; ein Land wurde nicht genannt, und Mandiant bezeichnete die Verbindungen zu Russland als Indizien.\n","summary":"Ein staatlich entwickeltes Toolkit, um industrielle Steuerungen verschiedener Hersteller aufzuspüren, zu übernehmen und zum Absturz zu bringen – entdeckt, bevor es je zum Einsatz kam.","systems":"SPS und Servoantriebe von Schneider Electric und Omron sowie beliebige OPC-UA-Server; über CODESYS, Modbus, OPC UA und Omron FINS","target":"Kein reales Opfer; Dragos hält Anlagen für Flüssigerdgas (LNG) und Strom für die wahrscheinlichen Ziele"},"disclosed":"2022-04-13","en":{"actor_note":"Dragos's name for the developer; no country has been named; Mandiant called links to Russia circumstantial","story":"PIPEDREAM is a case with no victim. In early 2022 the security firms Dragos and Mandiant analysed a complete attack toolkit — Dragos called it PIPEDREAM, Mandiant INCONTROLLER — built by a state-backed group to find and take over industrial controllers. It was caught before it was ever used. On April 13, 2022, four US agencies published a joint advisory, AA22-103A. By Dragos's count it is the seventh known piece of ICS-specific malware, and the first found before an attack.\n\nThe toolkit is modular: some parts get a foothold on Windows and gain deep access through a signed-but-flawed driver, while others speak the industrial protocols CODESYS, Modbus, OPC UA and Omron FINS to scan, log into, reprogram or crash controllers. It came with modules for Schneider Electric and Omron equipment. Dragos assesses with high confidence that a state built it and tracks the developer as CHERNOVITE; no country was named, and Mandiant called its links to Russia circumstantial.\n","summary":"A state-built toolkit to find, hijack and crash industrial controllers from several makers, caught before it was ever used.","systems":"Schneider Electric and Omron PLCs and servo drives, and any OPC UA server; via CODESYS, Modbus, OPC UA and Omron FINS","target":"No real victim; Dragos assessed likely targets as liquefied-natural-gas and electricity sites"},"figures":[{"de":"Einsätze – das Toolkit wurde vor jedem Angriff entdeckt (Dragos)","en":"times it was used — the toolkit was found before any attack (Dragos)","value":"0"},{"de":"die siebte bekannte ICS-spezifische Schadsoftware, laut Dragos","en":"the seventh known piece of ICS-specific malware, by Dragos's count","value":"7"},{"de":"Industrieprotokolle, die seine Module beherrschten: CODESYS, Modbus, OPC UA, Omron FINS","en":"industrial protocols its modules spoke: CODESYS, Modbus, OPC UA, Omron FINS","value":"4"}],"key":"pipedream","name":"PIPEDREAM / INCONTROLLER","protocols":["CODESYS","Modbus","OPC UA","Omron FINS"],"sources":[{"de":"Gemeinsame Warnmeldung von US-Behörden (AA22-103A): APT-Tools gegen ICS-/SCADA-Geräte","title":"Joint US advisory AA22-103A: APT tools targeting ICS/SCADA devices","url":"https://www.cisa.gov/news-events/cybersecurity-advisories/aa22-103a"},{"de":"Dragos-Whitepaper: PIPEDREAM, die ICS-Malware von CHERNOVITE","title":"Dragos whitepaper: PIPEDREAM, CHERNOVITE's ICS malware","url":"https://hub.dragos.com/hubfs/116-Whitepapers/Dragos_ChernoviteWP_v2b.pdf?hsLang=en"},{"de":"Dragos-Blog: CHERNOVITEs PIPEDREAM","title":"Dragos blog: CHERNOVITE's PIPEDREAM","url":"https://www.dragos.com/blog/industry-news/chernovite-pipedream-malware-targeting-industrial-control-systems/"},{"de":"Dragos: die Hackergruppe CHERNOVITE","title":"Dragos: the CHERNOVITE threat group","url":"https://www.dragos.com/threat/chernovite/"},{"de":"Mandiant: INCONTROLLER, staatlich geförderte ICS-Angriffstools","title":"Mandiant: INCONTROLLER state-sponsored ICS attack tools","url":"https://cloud.google.com/blog/topics/threat-intelligence/incontroller-state-sponsored-ics-tool/"},{"de":"MITRE ATT\u0026CK: INCONTROLLER (S1045)","title":"MITRE ATT\u0026CK: INCONTROLLER (S1045)","url":"https://attack.mitre.org/software/S1045/"}],"stages":["develop"],"year":2022},{"access":["unknown"],"actor":"Blackjack","category":"destruction","dates":[{"date":"2024-04-09","de":"Blackjack veröffentlicht seine Behauptungen zum Angriff auf Moscollector","en":"Blackjack publishes its claims against Moscollector"},{"date":"2024-04-12","de":"Claroty Team82 veröffentlicht eine unabhängige Analyse","en":"Claroty Team82 publishes an independent analysis"},{"date":"2024-04-15","de":"Claroty aktualisiert die Analyse mit den überarbeiteten Gateway-Zahlen der Angreifer","en":"Claroty updates it with the attackers' revised gateway figures"}],"de":{"actor_note":"Claroty berichtet, Blackjack stehe vermutlich dem ukrainischen Geheimdienst nahe; keine Regierung hat dies bestätigt","story":"Im April 2024 gab eine Gruppe namens Blackjack bekannt, sie habe Moscollector lahmgelegt, ein Moskauer Unternehmen, das das unterirdische Wasser- und Abwassernetz der Stadt überwacht. Die Malware, die die Angreifer Fuxnet nannten, lief auf den Sensor-Gateways des Netzwerks – kleinen Linux-Computern, die über einen seriellen Standard namens M-Bus Messwerte von Tausenden unterirdischen Sensoren erfassen. Auf jedem Gateway unterbrach sie den Fernzugriff, löschte Teile des Dateisystems und überschrieb den Flash-Speicher so lange, bis dieser ausfiel.\n\nAußerdem überflutete sie die M-Bus-Verkabelung mit Datenmüll, in der Hoffnung, auch die Sensoren zu beschädigen. Wie Blackjack ursprünglich eindringen konnte, ist nicht dokumentiert; die Gruppe gab an, seit Juni 2023 Zugriff zu haben. Die Angreifer behaupteten, 87.000 Sensoren zerstört und 30 Terabyte Daten gelöscht zu haben; das Sicherheitsunternehmen Claroty, das die Malware und die durchgesickerten Daten analysierte, schätzt, dass nur etwas mehr als 500 Gateways unbrauchbar gemacht wurden und die Sensoren wahrscheinlich intakt blieben. Claroty berichtet, Blackjack stehe vermutlich dem ukrainischen Geheimdienst nahe, was jedoch keine Regierung bestätigt hat.\n","summary":"Malware, die die Gateways lahmlegte, über die ein Moskauer Versorger seine unterirdischen Sensoren ausliest; die Angreifer gaben weit größeren Schaden an, als Analysten bestätigen konnten.","systems":"Linux-Sensor-Gateways (MPSB und TMSB) sowie ein 3G-Router, über das serielle M-Bus-Protokoll mit den Sensoren verbunden","target":"Moscollector, ein Moskauer Unternehmen, das die unterirdische Wasser- und Abwasserinfrastruktur überwacht"},"disclosed":"2024-04-12","en":{"actor_note":"Claroty reports Blackjack as believed linked to Ukrainian intelligence; no government has confirmed this","story":"In April 2024 a group calling itself Blackjack said it had wrecked Moscollector, a Moscow company that monitors the city's underground water and sewage network. The malware, which the attackers called Fuxnet, ran on the network's sensor gateways — small Linux computers that gather readings from thousands of underground sensors over a serial standard called M-Bus. On each gateway it cut off remote access, deleted parts of the file system, and rewrote the flash memory until it failed.\n\nIt also flooded the M-Bus wiring with junk, hoping to damage the sensors too. How Blackjack first got in is not documented; the group claimed access since June 2023. The attackers claimed 87,000 destroyed sensors and 30 terabytes wiped; the security firm Claroty, analysing the malware and the leaked data, estimates only a little over 500 gateways were bricked and the sensors likely survived. Claroty reports Blackjack as believed linked to Ukrainian intelligence, unconfirmed by any government.\n","summary":"Malware that bricked the gateways relaying a Moscow utility's underground sensors; the attackers claimed far more damage than analysts could confirm.","systems":"Linux sensor gateways (MPSB and TMSB) and a 3G router, linked to sensors over the M-Bus serial protocol","target":"Moscollector, a Moscow company that monitors underground water and sewage infrastructure"},"figures":[{"de":"unbrauchbar gemachte Sensor-Gateways – Schätzung von Claroty (Angreifer gaben etwa 1.700 an)","en":"sensor gateways bricked — Claroty's estimate (attackers claimed about 1,700)","value":"500+"},{"de":"Sensoren, die die Angreifer zerstört haben wollen; Claroty hält sie für wahrscheinlich intakt","en":"sensors the attackers claimed destroyed; Claroty believes they likely survived","value":"87,000"},{"de":"Daten, die die Angreifer angeblich löschten, einschließlich Backups (unbestätigt)","en":"data the attackers claimed to wipe, including backups (unverified)","value":"30 TB"}],"key":"fuxnet","name":"Fuxnet","protocols":["M-Bus"],"sources":[{"de":"Claroty Team82: eine Analyse der Fuxnet-Malware der Blackjack-Gruppe","title":"Claroty Team82: Unpacking the Blackjack group's Fuxnet malware","url":"https://claroty.com/team82/research/unpacking-the-blackjack-groups-fuxnet-malware"}],"stages":["act","develop","deliver2","install2","execute"],"year":2024},{"access":["router","credentials"],"actor":"Not attributed","category":"disruption","dates":[{"date":"2024-07-23","de":"Dragos macht den Angriff öffentlich bekannt","en":"Dragos discloses the attack publicly"}],"de":{"actor":"Nicht zugeordnet","actor_note":"Dragos stellte Verbindungen zu Adressen in Moskau fest, führt den Angriff jedoch nicht darauf zurück","story":"Im Januar 2024, während eines Winters mit Minusgraden, fiel in einer ukrainischen Stadt – Lviv, laut Dragos – in mehr als 600 Wohngebäuden fast zwei Tage lang die Heizung aus. Die Malware dahinter, später FrostyGoop genannt, ist ein kleines Programm, das über Modbus TCP mit den Heizungsreglern kommuniziert – ein einfaches, weit verbreitetes Protokoll, das Befehle über Port 502 sendet, meist ohne Passwort. Es las und änderte die Halteregister der Regler, also die Speicher für deren Einstellungen, und führte ein Downgrade ihrer Software durch, sodass sie ihren Status nicht mehr meldeten.\n\nDadurch hatten die Betreiber keinen klaren Überblick, während die Steuerungen mit falschen Werten arbeiteten. Dragos rekonstruiert den wahrscheinlichen Weg: Monate zuvor nutzten die Angreifer eine Schwachstelle in einem mit dem Internet verbundenen Router aus, richteten einen über Tor erreichbaren Webtunnel ein und stahlen Windows-Anmeldedaten; weil das Netzwerk flach war, waren die Steuerungen direkt erreichbar. Dragos schreibt den Angriff niemandem zu und verweist nur auf Verbindungen zu Adressen in Moskau während des Vorfalls.\n","summary":"Malware, die die Heizungssteuerungen einer ukrainischen Stadt falsche Werte melden ließ und mehr als 600 Gebäude im Winter fast zwei Tage lang ohne Heizung ließ.","systems":"ENCO-Heizungsregler, erreichbar über Modbus TCP auf Port 502","target":"Ein Fernwärmeunternehmen in Lviv, Ukraine"},"disclosed":"2024-07-23","en":{"actor_note":"Dragos saw connections to Moscow-based addresses but does not attribute the attack","story":"In January 2024, during a sub-zero winter, heating went off for more than 600 apartment buildings in a Ukrainian city — Lviv, according to Dragos — for almost two days. The malware behind it, later named FrostyGoop, is a small program that talks to heating controllers over Modbus TCP — a plain, widely used protocol that sends commands on port 502, usually without a password. It read and changed the controllers' holding registers, the memory slots that hold their settings, and downgraded their software so they could no longer report their status.\n\nThat left operators without a clear view while the controllers ran on wrong information. Dragos reconstructs the likely entry: months earlier the attackers exploited a flaw in an internet-facing router, planted a web tunnel reached over Tor, and stole Windows credentials; because the network was flat, nothing separated the controllers, so they could be reached directly. Dragos does not attribute the attack, noting only — without drawing a conclusion — connections to Moscow-based addresses during the incident.\n","summary":"Malware that made a Ukrainian city's heating controllers misreport and cut heat to over 600 buildings in winter, for nearly two days.","systems":"ENCO heating controllers, reached over Modbus TCP on port 502","target":"A district heating company in Lviv, Ukraine"},"figures":[{"de":"Wohngebäude ohne Heizung (Dragos)","en":"apartment buildings left without heating (Dragos)","value":"600+"},{"de":"dass die Heizung bei Minusgraden aus blieb (Dragos)","en":"that the heating stayed off, in sub-zero cold (Dragos)","value":"~2 days","value_de":"~2 Tage"},{"de":"die neunte bekannte ICS-spezifische Schadsoftware, laut Dragos","en":"the ninth known piece of ICS-specific malware, by Dragos's count","value":"9"}],"key":"frostygoop","name":"FrostyGoop","protocols":["Modbus TCP"],"sources":[{"de":"Dragos-Lagebericht: die ICS-Malware FrostyGoop","title":"Dragos intelligence brief: FrostyGoop ICS malware","url":"https://hub.dragos.com/hubfs/Reports/Dragos-FrostyGoop-ICS-Malware-Intel-Brief-0724_r2.pdf"},{"de":"Dragos-Blog: FrostyGoop nimmt Betriebstechnik (OT) ins Visier","title":"Dragos blog: FrostyGoop targeting operational technology","url":"https://www.dragos.com/blog/protect-against-frostygoop-ics-malware-targeting-operational-technology/"}],"stages":["exploit","install","c2","act","develop","deliver2","execute"],"year":2024}],"pages":[{"description":"Im Juli 2001 infizierte der Wurm Code Red in weniger als 14 Stunden mehr als 359.000 Computer mit Microsofts Webserver – einen Monat, nachdem der Patch erschienen war.","title":"Code Red: Der Wurm, der in 14 Stunden 359.000 Server infizierte","url":"https://crackthe.net/de/schwachstellen/code-red/"},{"description":"Im Januar 2003 infizierte ein nur 376 Byte großer Wurm in 10 Minuten mehr als 90 % der verwundbaren Microsoft-SQL-Server. Wie er sich verbreitete und was er traf.","title":"SQL Slammer: Der Wurm, der in 10 Minuten 90 % seiner Ziele infizierte","url":"https://crackthe.net/de/schwachstellen/sql-slammer/"},{"description":"Binnen eines Jahres ab November 2008 infizierte Conficker 5 bis 13 Millionen Windows-Computer. Wie sich der Wurm verbreitete und wie sich über 100 Länder an der Abwehr beteiligten.","title":"Conficker: Der Wurm, der Millionen Computer mit Windows befiel","url":"https://crackthe.net/de/schwachstellen/conficker/"},{"description":"Im April 2014 erlaubte eine Sicherheitslücke in OpenSSL Angreifern, den Speicher von 24–55 % der HTTPS-Server beliebter Websites auszulesen. Wie das funktionierte und warum ein Patch allein nicht reichte.","title":"Heartbleed: Die Lücke, durch die Angreifer Serverspeicher lasen","url":"https://crackthe.net/de/schwachstellen/heartbleed/"},{"description":"Eine Lücke in Bash, der Shell von Linux und macOS, ließ Angreifer mit einer Anfrage Befehle auf Webservern ausführen. Wie sie wirkte, die Angriffe, der Fix.","title":"Shellshock: Wie eine Webanfrage über Bash Befehle ausführte","url":"https://crackthe.net/de/schwachstellen/shellshock/"},{"description":"Ein Wurm sperrte mit einem geleakten NSA-Werkzeug und einer Windows-Lücke über 200.000 Computer. Wie er sich verbreitete, was er den NHS kostete, der Fix.","title":"WannaCry: Der Ransomware-Wurm, der den NHS traf","url":"https://crackthe.net/de/schwachstellen/wannacry/"},{"description":"Ein gekapertes Update einer ukrainischen Buchhaltungssoftware brachte einen Wurm, der sich als Ransomware tarnte, Daten zerstörte und Milliarden kostete.","title":"NotPetya: Der zerstörerische Wurm aus einem Software-Update","url":"https://crackthe.net/de/schwachstellen/notpetya/"},{"description":"Ein Designfehler der meisten Intel-Prozessoren ließ jedes Programm geschützten Systemspeicher lesen. Warum er nur 5,6 erreicht und wie der Fix wirkt.","title":"Meltdown: Wie Prozessoren geschützten Speicher preisgaben","url":"https://crackthe.net/de/schwachstellen/meltdown/"},{"description":"Ein Designfehler in Prozessoren von Intel, AMD und Arm ließ Programme fremden Speicher lesen. Wie er wirkt, was die Fixes kosten und was jetzt zu tun ist.","title":"Spectre: Wenn Prozessoren beim Raten Geheimnisse verraten","url":"https://crackthe.net/de/schwachstellen/spectre/"},{"description":"Vier Lücken in Microsoft Exchange ließen Angreifer ohne Passwort Postfächer lesen und Server übernehmen. Wie das ging, wen es traf, was jetzt zu tun ist.","title":"ProxyLogon: Die Exchange-Lücken, die Mailserver öffneten","url":"https://crackthe.net/de/schwachstellen/proxylogon/"},{"description":"Eine Lücke in der Java-Bibliothek Log4j ließ Angreifer mit einer Textzeile Server übernehmen. Wie das ging, wie weit es reichte, was jetzt zu tun ist.","title":"Log4Shell: Wenn eine Log-Zeile den Code des Angreifers startet","url":"https://crackthe.net/de/schwachstellen/log4shell/"},{"description":"Über eine Lücke im Dateitransfer-Server MOVEit Transfer stahl Cl0p Daten von 2.773 Organisationen. Wie das ablief, wen es traf und was jetzt zu tun ist.","title":"MOVEit: Die Lücke im Dateitransfer, über die Cl0p Daten stahl","url":"https://crackthe.net/de/schwachstellen/moveit/"},{"description":"Zwei Sicherheitslücken in PHP selbst ermöglichen es Angreifern, Webserver ohne Passwort zu übernehmen. Die korrigierten PHP-Versionen, die betroffenen Anwendungen und was jetzt zu tun ist.","title":"PHP2Shell: Die Sicherheitslücken in PHP, die die meisten Websites gefährden","url":"https://crackthe.net/de/schwachstellen/php2shell/"}]},"description":"Die Sicherheitslücken, die die IT-Sicherheit verändert haben, von Code Red bis PHP2Shell: der offizielle Eintrag, der Schweregrad, der Ablauf von der Meldung über den Patch bis zum Angriff und die Zahlen hinter jedem Fall.","language":"de","latest_measurement":"2026-10-23","method":"latency-v3","method_page":"https://crackthe.net/de/methode/","source":"https://crackthe.net/","text":"So liest du die Fälle Jeder Artikel beginnt mit dem Steckbrief der Schwachstelle: ihrer CVE-Nummer, der Bewertung in der US-amerikanischen National Vulnerability Database und den Daten von der ersten Meldung bis zum Patch und zu den ersten Angriffen. Darunter erklärt der Artikel, wie die Lücke funktionierte und wie es weiterging, mit Diagrammen der Zahlen aus öffentlichen Berichten.\nDer CVSS-Wert gibt an, wie schwerwiegend eine Sicherheitslücke ist, auf einer Skala von 0 bis 10. Er sagt nichts darüber aus, wie oft sie bei Angriffen ausgenutzt wurde. Einige der Fälle mit den größten Schäden haben hier nur mittlere Werte.\nWie eine Schwachstelle auf diese Liste kommt Dies ist keine Datenbank aller Sicherheitslücken: Jedes Jahr erhalten Zehntausende eine CVE-Nummer. Wie eine Liste der größten Finanzkrisen enthält sie nur die Fälle, die das ganze System erschüttert haben. Eine Schwachstelle kommt nur auf die Liste, wenn sie alle drei Grundbedingungen und mindestens zwei der vier Ausmaß-Kriterien erfüllt.\nGrundbedingungen\nEin konkreter Fehler in einem weit verbreiteten Produkt oder einer Komponente, öffentlich dokumentiert: mit CVE-Nummer oder Sicherheitshinweis des Herstellers. Schadsoftware zählt über die Lücke, die sie ausgenutzt hat. Viele unabhängige Betreiber betroffen, in vielen Ländern, nicht nur die Kunden eines einzelnen Unternehmens. Durch Primärquellen belegt: Herstellerhinweise, Behörden oder Messstudien. Ausmaß-Kriterien (mindestens zwei)\nKriteriumErfüllt, wenn ReichweiteMessungen mindestens 100.000 betroffene Systeme fanden, oder die Lücke in einer Komponente steckt, die auf mindestens einem Zehntel aller Systeme ihrer Art läuft, etwa Prozessoren, Webservern oder Websites MassenausnutzungAngriffe mindestens 1.000 Organisationen oder 100.000 Systeme trafen, oder sich ein Wurm selbst verbreitete Schadenein Schaden von mindestens einer Milliarde US-Dollar belegt ist, kritische Dienste wie Krankenhäuser, Stromversorgung oder Verkehr ausfielen, oder Daten von mindestens zehn Millionen Menschen betroffen sind Außergewöhnliche ReaktionMaßnahmen über das übliche Patchen hinausgingen: die höchste Warnstufe einer nationalen Cyberbehörde, eine Notfallanordnung einer Regierung, Fixes in allen großen Betriebssystemen zugleich, oder eine Koordination über Branchen und Länder hinweg Ein hoher Schweregrad allein reicht nicht. Meltdown hat einen CVSS-Wert von 5,6 und steht auf der Liste, viele Lücken mit dem Wert 10 nicht. Ein Fall kommt hinzu, wenn er die Kriterien erfüllt und seine Zahlen belegt sind; jede Fallseite zeigt, welche Kriterien er erfüllt und warum.","title":"Die größten Sicherheitslücken seit 1995","url":"https://crackthe.net/de/schwachstellen/"}