Security · 13.10.2026
Eine gezielte Angriffswelle nutzt manipulierte Stellenanzeigen, um Schadcode in den Windows-Kernel einzuschleusen und installierte Sicherheitssoftware komplett zu deaktivieren.
Nordkoreanische Bedrohungsakteure nutzen gezielte Social-Engineering-Kampagnen in Form von gefälschten Jobangeboten, um Schadsoftware in deutsche Unternehmensnetzwerke einzuschleusen. Dabei nutzen die Angreifer eine Schwachstelle im Windows-Kernel aus, um die installierte Sicherheitssoftware auf den Zielsystemen gezielt zu deaktivieren. Diese sogenannte BYOVD-Methode (Bring Your Own Vulnerable Driver) hebelt selbst etablierte Sicherheitsmechanismen auf Betriebssystemebene aus.
Für IT-Verantwortliche und Administratoren im DACH-Raum ist dieses Szenario hochgradig relevant, da herkömmliche Endpoint-Detection-and-Response-Systeme (EDR) durch den Kernel-Sicherheitsbruch blind gemacht werden. Angreifer erlangen dadurch weitreichende administrative Rechte und können sich unbemerkt im Netzwerk ausbreiten. Besonders perfide ist der Angriffsvektor: Die Kontaktaufnahme erfolgt meist über professionelle Business-Netzwerke wie LinkedIn, wo gezielt Mitarbeiter mit attraktiven, aber gefälschten Stellenbeschreibungen gelockt werden. Öffnet ein Mitarbeiter das präparierte Dokument, beginnt die Infektionskette im Hintergrund, ohne dass der Nutzer oder die lokale Antiviren-Software sofort Alarm schlagen.
Administratoren müssen proaktiv handeln, um diese Angriffe abzuwehren. Folgende Maßnahmen sollten ergriffen werden:
Der aktuelle Fall verdeutlicht, dass technische Schutzmaßnahmen allein nicht ausreichen. Nur durch die Kombination aus aktuellen Windows-Patches, restriktiven Treiber-Blocklisten und einer gestärkten Security-Awareness der Belegschaft lässt sich das Risiko solcher hochentwickelten Angriffe effektiv minimieren.
Quelle: Golem Security