Microsofts Zögern wird zum Problem:
Uralte Windows-Lücke ausgenutzt

Ein bislang ungepatchtes Sicherheitsleck in Windows wird derzeit von einer mutmaßlich chinesischen Hackergruppe ausgenutzt, um europäische Diplomaten ins Visier zu nehmen. Was bisher über den Spionagevorfall bekannt ist.

Hacker spionieren europäische Diplomaten aus

Nach Erkenntnissen der IT-Sicherheitsforscher von Arctic Wolf Labs betrifft der Angriff vor allem Einrichtungen in Ungarn, Belgien und weiteren europäischen Staaten. Die Angriffe beginnen mit gezielten Phishing-Mails, die vorgeben, Einladungen oder Unterlagen zu diplomatischen Veranstaltungen wie NATO-Workshops oder EU-Kommissionssitzungen zu enthalten.

Windows-Sicherheitslücke

In Wirklichkeit verbergen sich darin manipulierte .LNK-Dateien - also Windows-Verknüpfungen -, die eine schwerwiegende Sicherheitslücke mit der Kennung CVE-2025-9491 ausnutzen. Wird eine solche Datei geöffnet, gelangt unbemerkt Schadsoftware auf den Rechner. Das Problem ist dabei schon lang bekannt.


Die Hacker installieren wie das Online-Magazin Bleeping Computer meldet über diesen Weg den PlugX Remote Access Trojan (RAT), ein Spionageprogramm, das sich dauerhaft im System einnistet, Kommunikationsdaten überwacht und sensible Dokumente abgreift. Seit gut acht Jahren gibt es die Schwachstelle.

Laut Arctic Wolf wird die Kampagne der Gruppe UNC6384 zugeschrieben, besser bekannt unter dem Namen Mustang Panda. Diese Gruppierung wurde bereits in der Vergangenheit mit staatlich unterstützten Cyberangriffen im Auftrag chinesischer Interessen in Verbindung gebracht. Inzwischen haben die Attacken laut einer gemeinsamen Analyse von Arctic Wolf Labs und StrikeReady weitere Länder erreicht, darunter Serbien, Italien und die Niederlande.

Das Sicherheitsleck selbst liegt in der Art und Weise, wie Windows mit .LNK-Dateien umgeht. Angreifer können dort versteckte Befehle einschleusen, die beim Öffnen ausgeführt werden und das ganz ohne sichtbare Hinweise für den Nutzer. Bereits im März 2025 hatten Experten von Trend Micro vor der Lücke gewarnt. Infografik Computerkriminalität: Wo Cyberattacken ihren Ursprung haben

Immer noch eine klaffende Sicherheitslücke

Damals wurde sie bereits von mehreren staatlich unterstützten Gruppen und Cybercrime-Banden, darunter Evil Corp, APT43, Bitter, SideWinder und RedHotel, aktiv ausgenutzt.

Ein offizieller Patch von Microsoft steht bislang nicht zur Verfügung. Der Konzern teilte im Frühjahr mit, die Schwachstelle "prüfen zu wollen", hielt sie aber zunächst nicht für dringend genug, um sofort ein Update zu veröffentlichen. Angesichts der aktuellen Spionagekampagnen dürfte sich das jedoch ändern.

Bis dahin empfehlen Sicherheitsexperten, die Ausführung von .LNK-Dateien einzuschränken und Netzwerkverbindungen genau zu kontrollieren.


Siehe auch: