Forscher des Sicherheitsunternehmens Akamai haben Ende März 2025 eine besorgniserregende Entwicklung beobachtet: Die Sicherheitslücke CVE-2025-24016 in der Open-Source-Sicherheitsplattform Wazuh wird aktiv ausgenutzt – und das von gleich zwei Botnetzen. Nur wenige Wochen nach der öffentlichen Bekanntmachung der Schwachstelle registrierte Akamai erste Angriffe. Die Lücke ermöglicht es Angreifern, aus der Ferne Schadcode auszuführen – ein Einfallstor, das besonders attraktiv für Betreiber von Mirai-basierten Botnetzen ist.
Obwohl die Schwachstelle bereits seit Monaten bekannt ist, wurde sie noch nicht in den KEV-Katalog (Known Exploited Vulnerability) der CISA aufgenommen. Auch eine aktive Ausnutzung wurde bisher nicht gemeldet.
Die Schwachstelle nutzt dezentralisierte API-Anfragen (DAPI) aus. Sie ermöglicht Angreifern, über den Upload eines unsanierten Wörterbuchs Code aus der Ferne auszuführen. Akamai hat zwei Kampagnen von Mirai-Varianten beobachtet, die diese Schwachstelle ausnutzen. Die Variante „Resbot“, hat beispielsweise eine italienische Nomenklatur in ihren Domains, die möglicherweise auf die Zielregion oder die Sprache des betroffenen Gerätebesitzers anspielt.
Forscher haben erstmals im März 2025 Aktivitäten in Akamais globalem Netzwerk von Honeypots festgestellt. Dies ist die erste gemeldete aktive Ausnutzung dieser Schwachstelle seit der ersten Offenlegung im Februar 2025. Die Botnets haben mehrere bekannte Schwachstellen ausgenutzt, darunter CVE-2023-1389, CVE-2017-17215, CVE-2017-18368 und andere.
Mirai bleibt eine Gefahr
Die Ausbreitung von Mirai geht relativ unvermindert weiter: Nach wie vor ist es recht einfach, alten Quellcode für die Einrichtung oder den Aufbau neuer Botnets wiederzuverwenden. Die Betreiber von Botnetzen sind erfolgreich, indem sie einfach neu veröffentlichte Schwachstellen ausnutzen.
Obwohl das CVE-Programm insgesamt ein Gewinn für die Branche ist, kann es ein zweischneidiges Schwert sein: Es deckt Schwachstellen auf, die von böswilligen Akteuren sonst übersehen worden wären.
Im Gegensatz zu einigen anderen Schwachstellen, über die Akamai in letzter Zeit berichtet hat und die oft nur stillgelegte Geräte betreffen, betrifft CVE-2025-24016 aktive Wazuh-Server, auf denen veraltete Versionen laufen. Es wird dringend empfohlen, auf die neueste Version zu patchen, die einen Fix enthält – in diesem Fall die Wazuh-Version 4.9.1 oder höher.
Bild/Quelle: https://depositphotos.com/de/home.html
Fachartikel
Unsicherer Systemstart: Sicherheitslücke in initramfs erlaubt Umgehung von Linux-Bootschutz
SAP Patch Day: Juli 2025
Zweifelhafte Datensätze im Dark Web: Warum Combolists und ULP-Dateien oft keine verlässlichen Hinweise auf Sicherheitsvorfälle liefern
Ransomware-Gruppe BERT attackiert Unternehmen in Asien und Europa auf breiter Front
Streamen Sie Red Sift-Telemetriedaten an Sentinel, Splunk und mehr mit Event Hub
Studien
WatchGuard Internet Security Report: Einzigartige Malware steigt um 171 Prozent – KI-Boom treibt Bedrohungen voran
Zwei Drittel der EU-Institutionen erfüllen grundlegende Cybersicherheitsstandards nicht
Splunk-Studie: Datenflut bedroht Sicherheit und bremst KI – Deutsche Unternehmen im Spannungsfeld von Informationsexplosion und Compliance
Neue CSC-Umfrage: Überwältigende Mehrheit der CISOs rechnet in den nächsten drei Jahren mit einem Anstieg der Cyberangriffe
Accenture-Studie: Unternehmen weltweit kaum gegen KI-basierte Cyberangriffe gewappnet
Whitepaper
ISACA veröffentlicht Leitfaden zu NIS2 und DORA: Orientierungshilfe für Europas Unternehmen
CISA und US-Partner warnen kritische Infrastrukturen vor möglichen Cyberangriffen aus dem Iran
Dating-Apps: Intime Einblicke mit Folgen
Europol-Bericht warnt vor KI-Vorurteilen in der Strafverfolgung – Leitfaden für verantwortungsvollen Technologieeinsatz veröffentlicht
