Der aktuelle HP Threat Insights Report zeigt eine besorgniserregende Entwicklung: Cyberkriminelle setzen zunehmend auf legitime Software, täuschend echte Social-Engineering-Kampagnen und getarnte Malware, um Kontrolle über Endgeräte zu erlangen. Für Unternehmen wird es dadurch immer schwieriger, bösartige Aktivitäten von normalen Geschäftsprozessen zu unterscheiden.
Foto: HP
Alex Holland, Principal Threat Researcher, HP Security Lab
Cyberkriminelle müssen längst keine Schadsoftware mehr einschleusen, die sofort Alarm auslöst. Stattdessen setzen sie zunehmend auf vertrauenswürdige Fernwartungssoftware, täuschend echte Download-Portale und bekannte Nutzerinteraktionen, um unbemerkt Kontrolle über Endgeräte zu erlangen. Zu diesem Ergebnis kommt der aktuelle Threat Insights Report von HP. Die Untersuchung basiert auf Daten von Millionen Endgeräten, auf denen HP Wolf Security eingesetzt wird, und analysiert reale Cyberangriffe aus dem Zeitraum Januar bis März 2026.
Die Erkenntnisse verdeutlichen eine zentrale Herausforderung für Unternehmen: Angriffe sehen heute oft nicht mehr wie Angriffe aus. Stattdessen tarnen sich Cyberkriminelle hinter legitimen Anwendungen, bekannten Nutzerinteraktionen und glaubwürdigen Szenarien.
Besonders aufmerksam machen die HP-Forscher auf Kampagnen, bei denen legitime Remote-Access-Tools missbraucht werden. Anwendungen wie LogMeIn oder ScreenConnect, die in vielen Unternehmen für den Fernzugriff eingesetzt werden, werden von Angreifern genutzt, um dauerhafte Kontrolle über Systeme zu erlangen.
Der Einstieg erfolgt dabei über sorgfältig vorbereitete Social-Engineering-Kampagnen. Die Angreifer verschicken Phishing-E-Mails rund um den Steuerjahresabschluss oder bieten vermeintliche Desktop-Anwendungen über gefälschte Download-Seiten an. Selbst Dating-Websites werden als Köder eingesetzt, um Nutzer zur Installation der Programme zu bewegen.
Da die verwendeten Anwendungen grundsätzlich legitim sind und in vielen Organisationen zum Alltag gehören, lösen sie häufig keinen unmittelbaren Verdacht aus. Nach erfolgreicher Installation können die Täter die Fernzugriffssoftware übernehmen und sich unauffällig in normale IT-Aktivitäten einfügen. Dadurch erhalten sie vollständige Kontrolle über die betroffenen Geräte.
Patrick Schläpfer, Principal Threat Researcher im HP Security Lab, betont, dass gerade die Kombination aus vertrauenswürdiger Software und gezielt eingesetztem Social Engineering die Unterscheidung zwischen legitimen und bösartigen Aktivitäten erschwere.
Eine weitere von HP identifizierte Angriffsmethode richtet sich an Nutzer, die verlorene Kryptowährungs-Wallets wiederherstellen möchten. Angreifer verbreiten dazu gefälschte Recovery-Tools, die vorgeben, bei der Suche nach Wallets zu helfen. Tatsächlich dienen sie jedoch dem Diebstahl sensibler Informationen.
Die eingesetzten Infostealer-Skripte sammeln Anmeldedaten, Wallet-Informationen sowie Systemdaten und bereiten diese für die Exfiltration vor. Auffällig ist laut HP die Gestaltung vieler dieser Skripte: Sie enthalten zahlreiche Emojis und weisen Merkmale auf, die auf eine Entwicklung mittels sogenanntem „Vibe-Coding“ hindeuten. Damit beschreiben die Forscher den Einsatz KI-gestützter Programmiermethoden bei der Erstellung von Schadcode.
Die Verbreitung erfolgt häufig über Code-Sharing-Plattformen oder Websites für Medien-Downloads. Damit nutzen die Täter gezielt Umgebungen, die von Anwendern grundsätzlich als vertrauenswürdig wahrgenommen werden.
Auch sogenannte ClickFix-Kampagnen spielen laut Report weiterhin eine wichtige Rolle. Dabei tarnen Angreifer Malware als Audiodateien und setzen auf professionell gestaltete gefälschte Websites, um ihre Opfer zu täuschen.
Ein zentrales Element dieser Angriffe sind realistische CAPTCHA-Abfragen. Nutzer werden auf täuschend echt wirkende Webseiten geleitet und dazu gebracht, scheinbar harmlose Aktionen auszuführen. Tatsächlich werden dabei jedoch bösartige Befehle gestartet, die Schadsoftware im Hintergrund herunterladen und ausführen.
Die Tarnung als Audiodatei soll dabei helfen, Sicherheitskontrollen zu umgehen und die Wahrscheinlichkeit einer Entdeckung zu verringern. Gleichzeitig nutzen die Angreifer bekannte Interaktionsmuster, die Anwender aus ihrem täglichen Umgang mit dem Internet gewohnt sind.
Die Auswertung des HP Security Labs zeigt, dass Cyberkriminelle ihre Methoden kontinuierlich weiterentwickeln, um bestehende Schutzmechanismen zu umgehen. So konnten mindestens elf Prozent der von HP Sure Click identifizierten E-Mail-Bedrohungen einen oder mehrere E-Mail-Gateway-Scanner umgehen.
Bei der Verbreitung von Malware dominierten ausführbare Dateien mit einem Anteil von 39 Prozent, gefolgt von Archivdateien mit 38 Prozent und PDF-Dokumenten mit zehn Prozent. Gleichzeitig registrierten die Forscher einen Anstieg PDF-basierter Malware um zwei Prozent. Dabei wurden unter anderem vermeintliche Gerichtsdokumente oder Informationen zu Bonuszahlungen als Köder eingesetzt, um Dringlichkeit zu erzeugen und Nutzer zu Klicks zu verleiten.
„Die Angriffe sehen nicht wie Attacken aus – sie wirken wie ganz normale Geschäftsabläufe. Sie fügen sich in die normalen IT-Aktivitäten ein und vermeiden die mit Malware verbundenen Warnsignale. Um die Zukunft der Arbeit abzusichern und Risiken zu reduzieren, sollten Unternehmen unnötige Berechtigungen einschränken und die Softwareinstallation kontrollieren. Gleichzeitig müssen sie riskante Aktivitäten wie Downloads und unbekannte Links isolieren. Erkennung allein reicht nicht aus, wenn legitime Tools in Hintertüren verwandelt werden.“
Alex Holland, Principal Threat Researcher, HP Security Lab
Die Ergebnisse des HP Threat Reports verdeutlichen, dass moderne Angriffe immer häufiger auf Vertrauen statt auf technische Schwachstellen setzen. Für Unternehmen bedeutet das, Sicherheitsstrategien stärker auf die Kontrolle von Berechtigungen, die Isolation riskanter Aktivitäten und die Überwachung legitimer Werkzeuge auszurichten. Denn wenn vertrauenswürdige Software selbst zum Angriffsvektor wird, reichen klassische Erkennungsmechanismen allein nicht mehr aus.
.jpg&size=390x230&crop=0&trim=1)
