Thought Leadership
Eine chinesische Hackergruppe namens Salt Typhoon (auch bekannt als RedMike) greift gezielt Telekommunikationsunternehmen weltweit an. Wie Sicherheitsforscher der Insikt Group von Recorded Future berichten, nutzen die Angreifer ungepatchte Sicherheitslücken in Cisco IOS XE-Netzwerkgeräten aus.
Besonders betroffen sind Unternehmen in den USA, Großbritannien, Südafrika, Italien und Thailand.
Zugriff durch kompromittierte Cisco-Geräte
Die Hacker verschaffen sich über kompromittierte Cisco-Geräte Zugang zu den Netzwerken der Opfer. Diese Geräte wurden umkonfiguriert und kommunizieren über sogenannte GRE-Tunnel (Generic Routing Encapsulation) mit Servern, die von Salt Typhoon kontrolliert werden. Ziel ist es, einen dauerhaften Zugriff auf die Netzwerke zu erhalten. Laut den Forschern hatte Salt Typhoon zwischen Dezember 2024 und Januar 2025 mehr als 1.000 Cisco-Netzwerkgeräte im Visier, wobei über die Hälfte der Angriffe auf die USA, Südamerika und Indien entfielen.
Tausende verwundbare Geräte weltweit
Doch das Bedrohungspotenzial ist noch größer: Ein Internet-Scan der Sicherheitsforscher ergab, dass mehr als 12.000 Cisco-Netzwerkgeräte ungeschützt mit dem Internet verbunden sind und somit potenzielle Angriffsziele darstellen. Dennoch gehen die Experten davon aus, dass Salt Typhoon gezielt vorgeht. „Die Zahl der angegriffenen Geräte macht nur 8 Prozent der exponierten Router aus“, so die Insikt Group. Zudem führen die Hacker offenbar regelmäßig Aufklärungsmaßnahmen durch, um lohnenswerte Ziele zu identifizieren.
Wiederkehrende Sicherheitslücken bleiben gefährlich
Besonders brisant: Bereits vor zwei Jahren wurden dieselben Sicherheitslücken genutzt, um über 50.000 Cisco IOS XE-Geräte zu kompromittieren. Zahlen der Geheimdienstallianz Five Eyes zufolge gehörten diese Lücken zu den fünf am häufigsten ausgenutzten Schwachstellen im Jahr 2023. Dennoch sind auch zwei Jahre später noch tausende Geräte ohne die notwendigen Sicherheitspatches im Einsatz. Ein Versäumnis, das nun erneut ausgenutzt wird.
Experten raten zu sofortigen Updates
Angesichts dieser Bedrohung raten Experten dringend dazu, vorhandene Sicherheitsupdates sofort einzuspielen. Zudem sollte vermieden werden, Admin-Nutzerprofile direkt mit dem Internet zu verbinden. Wer bisher versäumt hat, seine Systeme zu aktualisieren, sollte keine Zeit mehr verlieren – die Gefahr ist real und akut.
(vp/8com GmbH & Co. KG)
