Cyberkriminelle greifen zunehmend auf legitime Administrations- und Sicherheitstools zurück, um sich unbemerkt in Unternehmensnetzwerken zu bewegen und sensible Informationen auszuspähen.
Zwei Millionen Erkennungen in 6 Monaten
Angreifer missbrauchen legitime Sicherheitstools
Zwischen April und September 2026 registrierte Kaspersky weltweit mehr als 2,17 Millionen Einsätze solcher Werkzeuge, die ursprünglich für legitime Sicherheitsprüfungen und die Systemverwaltung entwickelt wurden.
Cobalt Strike, NetExec und SQLMap besonders häufig entdeckt
Zu den am häufigsten erkannten Werkzeugen gehörte Cobalt Strike mit 136.084 Erkennungen. Die Software wurde ursprünglich für Penetrationstests und Sicherheitsüberprüfungen konzipiert. Angreifer nutzen sie jedoch unter anderem nach einem erfolgreichen Erstzugriff, um sich innerhalb eines Netzwerks weiter auszubreiten und zusätzliche Systeme zu kontrollieren.
Auf Platz zwei lag NetExec mit 129.560 Erkennungen. Das Tool automatisiert Netzwerkprüfungen und kann dazu dienen, schlecht abgesicherte Dienste und Systeme aufzuspüren. In den Händen von Angreifern ermöglicht es die Erkundung von Netzwerken und den Zugriff auf weitere Ressourcen.
Ebenfalls häufig registrierte Kaspersky SQLMap mit 107.697 Erkennungen. Das Werkzeug dient dazu, SQL-Injection-Schwachstellen in Webanwendungen aufzuspüren und auszunutzen. Über solche Sicherheitslücken können Unbefugte unter Umständen auf dahinterliegende Datenbanken zugreifen.
Missbrauch legitimer Werkzeuge erschwert die Erkennung
Der Einsatz solcher Dual-Use-Tools stellt Unternehmen vor besondere Herausforderungen. Da die Programme auch in regulären IT- und Sicherheitsprozessen verwendet werden, lassen sie sich nicht ohne Weiteres als schädlich einstufen. Zudem können Angreifer damit Aktivitäten durchführen, die sich äußerlich kaum von legitimen Administrationsvorgängen unterscheiden.
Dadurch gewinnen die Überwachung des Netzwerkverkehrs und die Erkennung ungewöhnlicher Aktivitäten an Bedeutung. Klassische Endpoint-Schutzlösungen allein können solche Angriffe möglicherweise nicht rechtzeitig aufdecken.
Netzwerküberwachung als zusätzliche Schutzebene
Aren Torosyan, Product Manager bei Kaspersky, verweist deshalb auf die Bedeutung von Network Detection and Response (NDR). Die Technologie analysiert Netzwerkaktivitäten und soll verdächtige Muster erkennen, die auf versteckte Angriffe hindeuten.
Kaspersky setzt hierfür unter anderem auf seine Anti-Targeted-Attack-Lösung. Für das kommende Jahr kündigt das Unternehmen zudem den Wechsel auf die Open Single Management Platform an. Dadurch sollen die erweiterten NDR-Funktionen umfassender verfügbar und für Sicherheitsteams einfacher zugänglich werden.
(red/Kaspersky)
