April 2025 Threat Report: Die Konsequenzen sind real

In den Anfängen der digitalen Welt ging es beim Hacken oft um Ruhm oder Streiche. Heute, im Jahr 2025, wird das Hacken in großem Umfang zu illegalen Zwecken eingesetzt. Prognosen zufolge wird die Cyberkriminalität die Weltwirtschaft im Jahr 2025 10,5 Billionen Dollar kosten. Weltweit zwingt der Trend zur zunehmenden Geokriminalität einzelne Länder und ganze Wirtschaftsregionen [1][2] dazu, sich stärker für die Cyberabwehr zu engagieren. Die zunehmende Bedrohungslage unterstreicht die Dringlichkeit proaktiver, gut ausgestatteter Cybersicherheitsstrategien in allen Sektoren und in allen Regionen der Welt.

Die kontinuierliche Flut kritischer Schwachstellen, neuartiger Angriffstechniken, aktiver Ransomware und Spionagekampagnen macht deutlich, dass umfassende Cybersicherheitsmaßnahmen erforderlich sind, um die katastrophalsten Folgen zu verhindern. Im Threat Report dieses Monats gehen wir auf die dringlichsten Bedrohungen in der Cybersicherheitslandschaft ein, die im April 2025 auftraten. Ohne Umschweife. Los geht‘s!

Auswirkungen beachten

Wer auf ausgeklügelte Cyberangriffe nicht vorbereitet ist, dem drohen fatale Konsequenzen. Ransomware wird weithin als die größte existenzielle Cyber-Bedrohung für Unternehmen angesehen, während die Klagen wegen Datenschutzverletzungen dramatisch zunehmen. Die Zahl der Sammelklagen im Zusammenhang mit Datenschutzverletzungen ist innerhalb von sechs Jahren um 1.265 % regelrecht explodiert, wobei die Zahl der Klagen in den USA von 604 im Jahr 2022 auf 1.320 im Jahr 2023 mehr als verdoppelt hat. Zuverlässige Backups können einem Opfer helfen, der Zahlung von Lösegeld zu entgehen, und ein gut ausgeführter Plan zur Reaktion auf einen Vorfall kann die Ausfallzeit minimieren. Jedoch haben die Opfer von Sicherheitsverletzungen kaum eine Möglichkeit, sich vor den Kosten für behördliche oder rechtliche Schritte zu schützen.

Die 2019 von Equifax geleisteten Zahlungen sind die höchsten in der Geschichte für einen Vorfall im Zusammenhang mit Cybersicherheit – die Gesamtkosten werden auf 1,5 Milliarden US-Dollar geschätzt. Das Versäumnis, die Sicherheitslücke CVE-2017-5638 in Apache Struts zu schließen, wurde als Hauptursache für den Sicherheitsverstoß genannt. Im April 2025 erklärte sich das US-Verteidigungsunternehmen Raytheon bereit, einen Vergleich in Höhe von 8,5 Millionen Dollar zu zahlen, weil es bei 29 Verträgen mit dem Verteidigungsministerium (DoD) die erforderlichen Sicherheitsmaßnahmen nicht umgesetzt hatte.

Dienstleister im Healthcare-Bereich sind besonders stark betroffen, da personenbezogene Gesundheitsdaten auf Darkweb-Marktplätzen rund 1.000 Dollar pro Datensatz erzielen, verglichen mit 5 Dollar pro Datensatz für Zahlungskartendaten, da sie effektiv zur Betrugsermittlung genutzt werden. Im Jahr 2023 meldete der US-Gesundheitssektor 725 Datenschutzverletzungen, bei denen über 133 Millionen Datensätze offengelegt wurden. Am 23. April 2025 gab das Office for Civil Rights (OCR) des U.S. Department of Health and Human Services einen Vergleich mit PIH Health Inc. in Höhe von 600.000 Dollar bekannt wegen unzureichender technischer Sicherheitsvorkehrungen. Die rechtlichen Konsequenzen von Cyberverletzungen betreffen jedoch Unternehmen aller Branchen. Bei Sammelklagen im Zusammenhang mit Datenschutzverletzungen wurden ebenfalls erhebliche Vergleiche geschlossen, wobei drei der zehn größten Vergleiche im Jahr 2024 geschlossen wurden und sich auf insgesamt 560 Millionen US-Dollar belaufen.

In Anbetracht der Konsequenzen sollten Unternehmen ihre Haltung zur Cyberhygiene sorgfältig prüfen und dabei besonders auf bewährte IT-Sicherheitspraktiken wie die Implementierung von Multifaktor-Authentifizierung (MFA), Schwachstellenmanagement und Netzwerksegmentierung achten.

Verizon: Mehr Schwachstellen für den ersten Zugriff

Der 2025 Data Breach Investigations Report (DBIR) von Verizon, der im April veröffentlicht wurde, meldete einen 34-prozentigen Anstieg von ausgenutzten Schwachstellen (CVEs) als Ursache für Cyberverletzungen, die zwischen Oktober 2023 und Dezember 2024 begangen wurden. Ausgenutzte Schwachstellen dienten bei 20 % der untersuchten Datenschutzverletzungen als erster Zugangsvektor. Der Bericht zeigt zwar, dass die Lösegeldzahlungen zurückgegangen sind – 64 % der Opferunternehmen haben kein Lösegeld gezahlt, verglichen mit 50 % vor zwei Jahren –, aber die Zahl der Ransomware-Angriffe ist um 37 % gestiegen.

Edge-Geräte und VPNs waren für 22 % der Angriffe verantwortlich – ein deutlicher Anstieg von nur 3 % im Vorjahr. Trotz der wachsenden Bedrohung haben Unternehmen nur 54 % dieser Schwachstellen vollständig behoben, wobei die durchschnittliche Zeit bis zur Behebung 32 Tage betrug. Darüber hinaus erreichte die Ausnutzung von Edge-Geräten für den Erstzugriff bei spionagemotivierten Sicherheitsverletzungen 70 %. Es gibt keine Anzeichen dafür, dass dieser Trend zur Ausnutzung von Edge-Geräten nachlässt. Ein proaktives Schwachstellenmanagement ist wichtiger denn je, um die Gefährdung zu verringern und die Auswirkungen von Sicherheitsverletzungen zu begrenzen.

Neue Bedrohungen an der Netzwerk-Edge

Die Botschaft aus den Berichten über die Cyberlandschaft ist eindeutig: Unternehmen müssen sich ihrer öffentlich zugänglichen Vermögenswerte genau bewusst sein. Erkennung und Behebung von Schwachstellen sind entscheidend. Nachfolgend finden Sie die Höhepunkte der aufkommenden Bedrohungen, die im April 2025 Netzwerk-Edge-Geräte betreffen. Greenbone ist in der Lage, alle unten genannten Bedrohungen und mehr zu erkennen.

• SonicWall SMA100-Geräte: CVE-2023-44221 (CVSS 7.2) und CVE-2021-20035 (CVSS 6.5), beides OS Command Injection-Schwachstellen [CWE-78], wurden zu den Known Exploited Vulnerabilities (KEV) der Cybersecurity and Infrastructure Security Agency (CISA) hinzugefügt. Im April meldete SonicWall außerdem, dass PoC-Exploits (Proof of Concept) für eine weitere Schwachstelle jetzt öffentlich verfügbar sind: CVE-2024-53704 (CVSS 9.8).
• Ivanti Connect Secure, Policy Secure und ZTA Gateways: CVE-2025-22457 (CVSS 9.8) ist eine Stack-basierte Buffer-Overflow-Schwachstelle [CWE-121], die derzeit aktiv ausgenutzt wird. Das Threat-Research-Team Mandiant von Google führt die Angriffe zurück auf UNC5221, einen chinesischen (staatlich geförderten) Bedrohungsakteur. Das Sicherheitsunternehmen GreyNoise beobachtete einen 9-fachen Anstieg der Bots, die nach ungeschützten Connect Secure-Endpunkten scannen.
• Fortinet FortiOS und FortiProxy: CVE-2025-24472 (CVSS 9.8) ist ein Authentication Bypass [CWE-288], der es einem entfernten Angreifer ermöglichen könnte, über manipulierte CSF-Proxy-Anfragen Super-Admin-Rechte zu erlangen. Die CVE wird als aktiv ausgenutzt betrachtet. Fortinet hat außerdem neue Aktivitäten zur Ausnutzung älterer kritischer Schwachstellen in FortiGate-Geräten beschrieben, darunter CVE-2022-42475, CVE-2023-27997 und CVE-2024-21762 (alle CVSS 9.8).
• Juniper Junos OS: CVE-2025-21590 (CVSS 6.7) ist eine aktiv ausgenutzte Schwachstelle, die es einem lokalen Angreifer mit privilegierten Rechten ermöglicht, die Integrität des Geräts zu beeinträchtigen. Ein lokaler Angreifer mit Zugriff auf die Juniper-CLI-Shell kann beliebigen Code einspeisen, um ein betroffenes Gerät zu kompromittieren. Die Schwachstelle wird als „Improper Isolation or Compartmentalization“ [CWE-653] eingestuft.
• Mehrere Cisco-Schwachstellen werden ausgenutzt: Analysten bestätigen gezielte Angriffe auf ungepatchte Cisco-Infrastrukturen, insbesondere in TK-umgebungen [1][2]. Die vom chinesischen Staat gesponserte Gruppe Salt Typhoon nutzt weiterhin die Schwachstellen CVE-2018-0171 (CVSS 9.8) bei Smart Install RCE und CVE-2023-20198 (CVSS 10) bei Web UI Privilege Escalation aus.
• DrayTek-Router: Drei CVEs wurden in bösartigen Kampagnen beobachtet, darunter CVE-2020-8515 (CVSS 9.8), CVE-2021-20123 (CVSS 7.5) und CVE-2021-20124 (CVSS 7.5).
• Microsoft Remote Desktop Gateway-Dienst: CVE-2025-27480 ist eine „Use After Free“-Schwachstelle [CWE-416], die es einem nicht autorisierten Angreifer ermöglicht, Code über ein Netzwerk auszuführen. Obwohl noch keine aktiven Bedrohungen beobachtet wurden, verfolgt Microsoft die Schwachstelle mit dem Status „Exploitation More Likely“.
• Erlang/OTP SSH hat öffentlichen PoC Exploit: Mehrere PoC-Exploits [1][2][3] sind jetzt öffentlich verfügbar für CVE-2025-32433 (CVSS 10), eine neue Schwachstelle mit maximalem Schweregrad im Erlang/OTP SSH-Server. Erlang/OTP ist eine weit verbreitete Plattform für den Aufbau skalierbarer und fehlertoleranter verteilter Systeme und wird unter anderem genutzt von großen Technologieunternehmen wie Ericsson, Cisco, Broadcom, EMQ Technologies und der Apache Software Foundation.
• Broadcom Brocade Fabric OS (FOS): CVE-2025-1976 (CVSS 6.7) ist eine Code-Injection-Schwachstelle [CWE-94], die im April offengelegt und aktiv ausgenutzt wurde. FOS ist eine spezielle Firmware, die für die Verwaltung von Fibre-Channel-Switches in Storage Area Networks (SANs) entwickelt wurde. Die Schwachstelle erlaubt einem lokalen Benutzer mit administrativen Rechten die Ausführung von beliebigem Code mit vollen Root-Rechten.

Neue Sicherheitslücke im Windows Common Log File System

Eine neue, schwere Sicherheitslücke CVE-2025-29824 (CVSS 7.8) im Treiber des Microsoft Windows Common Log File System (CLFS) ermöglicht lokalen, authentifizierten Angreifern die Ausweitung ihrer Rechte und damit den Zugriff auf die SYSTEM-Ebene. Darüber hinaus wird die Schwachstelle weltweit bei Ransomware-Angriffen [1][2], insbesondere durch Storm-2460, ausgenutzt, um PipeMagic-Malware zu verteilen.

Der Windows CLFS-Treiber weist eine Reihe kritischer Schwachstellen für die Ausweitung von Berechtigungen auf, die sich über mehrere Jahre und Versionen erstrecken und ihn zu einem dauerhaften, hochwertigen Ziel für Angreifer machen. Acht CVEs aus den Jahren 2019 bis 2025 wurden in der KEV-Liste der CISA katalogisiert. Mindestens vier davon, CVE-2023-28252, CVE-2023-23376, CVE-2022-24521 und CVE-2025-29824, werden bekanntermaßen in Ransomware-Kampagnen ausgenutzt.

Aufgrund der aktiven Ausnutzung kritischer Schwachstellen in Microsoft-Produkten ist es für Unternehmen unerlässlich, zu überprüfen, ob die neuesten Microsoft-Sicherheitsupdates in ihrer IT-Infrastruktur installiert wurden, und die Systeme auf Anhaltspunkte für eine Gefährdung (Indicators of Compromise, IoC) zu überwachen. Greenbone kann Schwachstellen für alle oben genannten CLFS CVEs und fehlende Patch-Levels für Microsoft Windows 10 (32-bit & x64), Windows 11 (x64) und Windows Server 2012-2025 Endpunkte über authentifizierte Local Security Checks (LSC) erkennen.

RCE-Schwachstelle in Craft CMS

CVE-2025-32432 (CVSS 10) ist eine schwere Sicherheitslücke in Craft CMS (Content Management System), die sich leicht ausnutzen lässt und Remote Code Execution (RCE) ermöglicht. Craft CMS ist ein Framework zur Erstellung von Websites, das auf dem PHP-Framework Yii aufbaut. Die Sicherheitslücke wurde vom CSIRT von Orange Cyberdefense gemeldet, das sie während einer Reaktion auf einen Vorfall entdeckte. Die Schwachstelle wurde bereits in freier Wildbahn ausgenutzt. Außerdem sind technische Details und PoC-Exploits [1][2] einschließlich eines Metasploit-Moduls öffentlich verfügbar, was die Bedrohung erheblich erhöht. Craft CMS wird von namhaften Unternehmen verwendet wie der New York Times, Amazon, Intel, Tesla, NBC, Bloomberg und JPMorgan Chase für die Erstellung individueller E-Commerce- und inhaltsgesteuerter Websites.

Greenbone ist in der Lage, Webanwendungen, die für CVE-2025-32432 anfällig sind, mit einer aktiven Prüfung zu erkennen, bei der eine speziell gestaltete POST-Anfrage gesendet und die Antwort analysiert wird. Betroffen sind die Craft CMS-Versionen 3.x bis 3.9.14, 4.x bis 4.14.14 und 5.x bis 5.6.16. Benutzer sollten so bald wie möglich auf eine gepatchte Version aktualisieren. Wenn ein Upgrade nicht möglich ist, schlägt der Hersteller vor, Firewall-Regeln zu implementieren, um POST-Anfragen am Endpunkt „actions/assets/generate-transform“ zu blockieren oder die Craft CMS Security Patches Library zu installieren.

Dualing CVEs in CrushFTP werden von Ransomware ausgenutzt

CVE-2025-31161 (CVSS 9.8) stellt eine ernsthafte Bedrohung für CrushFTP-Benutzer dar. Bei dem Fehler handelt es sich um eine „Authentication Bypass”-Schwachstelle [CWE-287] im HTTP-Autorisierungs-Header, die es entfernten, nicht authentifizierten Angreifern ermöglicht, sich als ein beliebiges bestehendes Benutzerkonto (z. B. Crushadmin) zu authentifizieren. Die Schwachstelle wird unter anderem von den Akteuren der Kill-Gruppe in laufenden Ransomware-Angriffen ausgenutzt.

CVE-2025-31161 betrifft CrushFTP Versionen 10.0.0 bis 10.8.3 und 11.0.0 bis 11.3.0. Der Hersteller hat einen Hinweis mit aktualisierten Anweisungen veröffentlicht. Greenbone ist in der Lage, CVE-2025-31161 sowohl mit einer aktiven Prüfung als auch mit einem Versionserkennungstest zu erkennen.

Ursprünglich wurde diese Schwachstelle unter einer anderen Kennung (CVE-2025-2825) verfolgt. Als sie von einem Drittanbieter (CNA) veröffentlicht wurde, hatte CrushFTP die Gelegenheit, die Details zu bewerten. Die verfrühte Veröffentlichung zwang CrushFTP, öffentlich zu reagieren, bevor es einen Patch entwickelt hatte. Dieser Vorfall macht ein erhebliches Risiko deutlich: Da CrushFTP keine CVE Numbering Authority (CNA) war, fehlte dem Anbieter die Befugnis, seinen eigenen Produkten CVE-Kennungen zuzuweisen. Stattdessen musste sich CrushFTP auf die externen Forscher verlassen, die den Fehler entdeckt hatten, um die CVE-Veröffentlichung zu verwalten.

Im CVE-Programm kann eine CNA ihren Geltungsbereich so definieren, dass sie CVE-IDs den Schwachstellen zuweisen kann, die ihre eigenen Produkte betreffen, während sie dies anderen Parteien verwehrt. Wenn der Anbieter einer Anwendung eine registrierte CNA ist, müssen Security-Forscher von Drittanbietern ihre Erkenntnisse direkt dem Anbieter mitteilen, was eine bessere Kontrolle über den zeitlichen Ablauf und eine bessere strategische Offenlegung ermöglicht. In Anbetracht der Risiken sollten Software-Anbieter in Erwägung ziehen, sich als CNA beim CVE-Programm von MITRE registrieren zu lassen.

Zusammenfassung

Im April 2025 wurde auf aktuelle Bedrohungen durch Schwachstellen in Edge-Geräten, Ransomware-Aktivitäten und neu ausgenutzte Schwachstellen in weit verbreiteter Software wie Craft CMS, Microsoft CLFS und CrushFTP hingewiesen. Diese Entwicklungen unterstreichen die Notwendigkeit für Unternehmen, den Überblick über gefährdete Ressourcen zu behalten, rechtzeitig Patches zu installieren und wachsam gegenüber neuen Bedrohungen zu sein, die vom ersten Zugriff bis zur vollständigen Kompromittierung schnell eskalieren können.