Vom nordischen Lösungsanbieter zum europaweit führenden Partner für sichere digitale Infrastruktur

Unter der Führung von Erik Bertman hat sich Conscia von einem lösungsorientierten Unternehmen zum führenden europäischen Partner für Cybersecurity und Managed Services entwickelt. Durch mehr als zehn Übernahmen expandierte das Unternehmen von einem vorwiegend nordischen Anbieter in elf europäische Länder. Die Zahl der Mitarbeitenden stieg dabei von 800 auf über 1.700. Seit 2021 hat Conscia seine Größe verdreifacht und erreicht weiterhin eine sehr hohe Kunden- und Mitarbeiterzufriedenheit. Die Kombination aus organischem Wachstum und Akquisitionen hat Conscia eine starke Ausgangsposition für die weitere Entwicklung verschafft.

Der Führungswechsel folgt auf die wegweisende Einführung der OneConscia-Plattform. Das gruppenweite Programm führt die übernommenen Unternehmen über alle Märkte hinweg unter einem gemeinsamen Betriebsmodell, einer Marke und einer Serviceplattform zusammen. Nachdem die Strategie umgesetzt und starke Ergebnisse erzielt wurden, sind sich der Aufsichtsrat und Erik Bertman einig, dass nun der richtige Zeitpunkt gekommen ist, die Führung an einen CEO zu übergeben, der Conscias europäisches Wachstum auf die nächste Stufe führen wird.

„Conscia ist heute ein anderes Unternehmen als jenes, das Erik 2021 übernommen hat. Nach einem Rekordjahr und mit einer integrierten Gruppe als starkem Fundament hat Erik den Aufsichtsrat über seine Entscheidung informiert, eine neue Aufgabe zu übernehmen. Da die Transformation des Unternehmens erfolgreich abgeschlossen ist, verstehen und respektieren wir diesen Entschluss. Im Namen des Aufsichtsrats möchte ich Erik für seinen außerordentlichen Beitrag danken und dafür, dass er ein hervorragend aufgestelltes Unternehmen übergibt“, sagt Morten Hübbe, Vorsitzender des Aufsichtsrats der Conscia Group. „Mit Lars Faeste haben wir eine Führungspersönlichkeit gefunden, die nachweislich internationale Unternehmen über verschiedene Märkte hinweg skalieren und Strategien in messbare Ergebnisse überführen kann. Er ist der Richtige, um Conscia in die nächste Phase zu führen.“

Eine Führungspersönlichkeit mit internationaler Erfahrung in Skalierung und Transformation

Lars Faeste wechselt von FTI Consulting zu Conscia, wo er als Chairman der EMEA-Region und als Mitglied des globalen Executive Committee tätig war. Zuvor arbeitete er 24 Jahre bei der Boston Consulting Group. Dort leitete er die globale Transformation Practice sowie das Client Team in der Funktion als CCO und war Mitglied des Executive Committee. Darüber hinaus verantwortete er das Geschäft von BCG in Greater China und zuvor in den nordischen Ländern. Er hat in Dänemark, Schweden, Finnland, den USA, China und Großbritannien gelebt und gearbeitet und dort erfolgreich kundenorientierte Dienstleistungsunternehmen skaliert.

„Conscia ist ein ausgesprochen spannendes Unternehmen mit enormem Potenzial, seine Position im Bereich sicherer Infrastrukturen in Europa auszubauen und eine führende Rolle einzunehmen. KI treibt die Nachfrage nach Rechenleistung und Netzwerkkapazitäten exponentiell an. Geopolitische Entwicklungen erhöhen zugleich den Bedarf an Sicherheit und souveränen Lösungen. Conscia steht im Zentrum dieser Megatrends und ist einzigartig positioniert, um Kunden in ganz Europa bei der Erfüllung dieser Anforderungen zu unterstützen. Das Unternehmen verfügt über tiefgreifende technische Expertise, starke lokale Kundenbeziehungen und die Größe, die in den Bereichen Cybersecurity und Managed Services zunehmend entscheidend ist“, sagt Lars Faeste. „Mein Fokus wird darauf liegen, die bestehende Strategie konsequent umzusetzen und ihre Umsetzung zu beschleunigen. Gleichzeitig werden wir Conscias Position als führender europäischer Anbieter von Cybersecurity und Managed Services für geschäftskritische digitale Infrastrukturen weiter ausbauen. Das Wachstum in den Bereichen Managed Services und Cybersecurity, die Stärkung unserer Position in den bestehenden Märkten und die zuverlässige Betreuung von Kunden, deren Geschäftsbetrieb täglich von uns abhängt, bleiben dabei zentrale Prioritäten.“

„Als ich zu Conscia kam, war das Unternehmen ein starker nordischer Anbieter, dessen Geschäft auf Lösungen und Hardware basierte. Heute ist Conscia ein führendes paneuropäisches Unternehmen für Cybersecurity und Managed Services mit mehr als 1.700 Mitarbeitenden. Diese Entwicklung unter der Eigentümerschaft von Nordic Capital vorangetrieben zu haben, war für mich ein großes Privileg“, sagt Erik Bertman. „Nach fünf Jahren habe ich entschieden, dass jetzt der richtige Zeitpunkt ist, die Führung an jemanden zu übergeben, der Conscia weiter voranbringen kann. Ich freue mich darauf, die weitere Entwicklung des Unternehmens eng zu verfolgen und Lars und das Team künftig als Berater zu unterstützen.“

  
Schritt 1: Discover widmet sich der Frage, wie Organisationen Transparenz über den tatsächlichen Einsatz von KI schaffen können, sowohl im Browser als auch in API?basierten und automatisierten Szenarien.
 
Schritt 2: Detect beleuchtet, warum viele KI?Risiken nicht als klassische Sicherheitsvorfälle auftreten und weshalb Kontext entscheidend ist, um zwischen akzeptabler Nutzung und problematischen Mustern zu unterscheiden.
 
Schritt 3: Protect zeigt, wie technische Leitplanken zentral und architektonisch verankert werden können, um KI?Nutzung konsistent, skalierbar und nachvollziehbar abzusichern.
 
Der Ansatz richtet sich an Organisationen, die KI nicht über isolierte Tool?Konfigurationen oder pauschale Einschränkungen kontrollieren wollen, sondern über integrierte Sicherheitsmechanismen entlang von Identität, Datenflüssen und Nutzungskontext. Ziel ist eine Form von KI?Governance, die operative Kontrolle schafft, ohne Entwicklung und produktiven Einsatz auszubremsen.

Gefälschte Buchungsnachrichten zielen mit „ClickFix“-Malware auf Hotelmitarbeitende

Die Kampagne, von Securonix unter dem Namen PHALT#BLYX dokumentiert, wurde Ende Dezember 2025 beobachtet. Sie nutzt eine angebliche Stornierung im Booking-Kontext, um Opfer in eine mehrstufige Infektionskette zu ziehen, die schließlich mit der Installation von DCRat endet.

Warum das Thema über die Hotellerie hinaus relevant ist

Zwar richtet sich der Angriff zunächst gegen Hotels, die Methode lässt sich jedoch problemlos auf andere Branchen übertragen. Besonders betroffen sind Organisationen mit Frontline-Mitarbeitenden, die regelmäßig Buchungen, Kundenanfragen oder zeitkritische Bestätigungen bearbeiten.

Der Erfolg des Angriffs liegt nicht in einer neuen technischen Schwachstelle, sondern darin, Dringlichkeit und vermeintliche Routineaufgaben auszunutzen genau jene reibungslosen Abläufe, die viele Unternehmen aus Effizienzgründen bewusst tolerieren.

Hinzu kommt: Booking-bezogene Köder und ClickFix-ähnliche Abläufe tauchen bereits in weiteren aktuellen Kampagnen auf, die sich gegen Hotelbetriebe und administrative Accounts richten. Der Angriff ist Teil eines größeren Musters.

So funktioniert die ClickFix-Angriffskette

Die initiale E-Mail gibt sich als bookingbezogene Kommunikation aus und fordert die Empfängerin oder den Empfänger auf, eine Stornierung zu „bestätigen“ oder zu „validieren“. Der enthaltene Link führt auf täuschend echt gestaltete Domains, die den originalen Service nachahmen.

Ab diesem Punkt greift die ClickFix-Technik. Statt eines klassischen Datei-Downloads sieht das Opfer zunächst einen angeblichen Verifizierungsschritt, etwa ein CAPTCHA, gefolgt von einer gefälschten Windows-Fehlermeldung mit angeblichen „Wiederherstellungsanweisungen“.

Diese Anweisungen leiten dazu an, den Windows-Ausführen-Dialog zu öffnen und einen vorgegebenen Befehl einzufügen. Tatsächlich wird damit eine PowerShell-basierte Stufe gestartet, die weitere Payloads nachlädt und schließlich DCRat installiert. In der beobachteten Kampagne wurde MSBuild als Teil der Ausführungskette missbraucht.

Die Methode ist deshalb so effektiv, weil sie die natürliche Skepsis gegenüber Downloads umgeht. Aus Sicht der Nutzenden wird kein Programm installiert, sondern ein vermeintliches Systemproblem behoben.

Worauf Verteidiger achten sollten

Solche Kampagnen hinterlassen oft weniger technische Signaturen als vielmehr auffällige Verhaltensmuster. Entscheidend sind daher nicht einzelne Malware-Hashes, sondern die Schritte, die die Kompromittierung ermöglichen:

– Auffällige Häufung von E-Mails mit angeblichen Booking-Stornierungen, insbesondere an Rezeptionen oder Reservierungsadressen
– Webzugriffe von diesen Systemen auf Lookalike-Domains, die Buchungsprozesse imitieren
– Verdächtige PowerShell-Ausführungen aus einer Benutzer-Session kurz nach dem Besuch der Köderseite
– Ungewöhnliche MSBuild-Aktivitäten auf Endgeräten ohne Entwicklerkontext, vor allem in zeitlicher Nähe zu PowerShell-Nutzung

ClickFix-Kampagnen entwickeln sich schnell weiter. Domains wechseln, Köder werden angepasst und die Payload-Infrastruktur ändert sich laufend. Genau hier zeigt Cyber Threat Intelligence ihren größten Mehrwert, wenn sie nicht als Informationsflut, sondern als konkrete Handlungsgrundlage bereitgestellt wird.

Wie Cyber Threat Intelligence konkret hilft

Moderne Cybersicherheit erfordert eine proaktive, intelligence-getriebene Strategie. Angreifer innovieren ständig und nutzen Lücken Für Unternehmen in der Hotellerie und ebenso für andere serviceintensive Branchen unterstützt CTI unter anderem bei:

– der Identifikation und Nachverfolgung neu entstehender Lookalike-Infrastrukturen und Phishing-Domains
– der Erkennung neuer Auslieferungsmuster, etwa der Abfolge Fake-CAPTCHA → Fake-Fehlermeldung → Run/PowerShell
– der Einordnung eingesetzter Schadsoftware-Familien und ihrer typischen Einsatzszenarien, etwa Credential-Diebstahl, Fernzugriff oder Folgeangriffe

Besonders relevant ist zudem das Risiko von Folgeaktivitäten nach der Erstinfektion. Gestohlene Zugangsdaten werden häufig weiterverwendet oder verkauft. Eine nahezu Echtzeit-Erkennung von kompromittierten Credentials ermöglicht es, Passwörter zurückzusetzen, Sessions zu entziehen und eine Wiederverwendung zu verhindern, bevor weiterer Schaden entsteht.

Viele Organisationen stehen dabei vor der Herausforderung, den tatsächlichen Umfang der Richtlinie einzuordnen und Prioritäten zu definieren, ohne bestehende IT- und Security-Ressourcen zu überlasten.

Das Webinar „NIS-2 Compliance 2026: Was jetzt zu tun ist“ bietet einen kompakten Überblick zum aktuellen Stand der Umsetzung, zu relevanten Pflichten und zu den Schritten, die Unternehmen frühzeitig vorbereiten sollten. Im Fokus stehen praxisnahe Empfehlungen für die Bewertung betroffener Bereiche und für eine realistische Planbarkeit der nächsten Maßnahmen.

Termin: 28. Januar 2026, 10:00–11:00 UhrFormat: Live-WebinarAnmeldung: Hier registrieren

Open Line ist ein niederländischer Anbieter von Cloud Managed Services mit Fokus auf fortschrittliche Cloud- und Automatisierungstechnologien. Das Unternehmen genießt insbesondere in regulierten Branchen einen hervorragenden Ruf.

„Diese Übernahme würde nicht nur unser Geschäft in den Niederlanden vergrößern, sondern auch unsere führende Position im Bereich Managed Services in Europa deutlich stärken“, sagt Erik Bertman, CEO der Conscia Group. „Sie unterstreicht unsere strategische Ausrichtung, unsere Plattform und unsere Kompetenzen gezielt in den Bereichen weiter auszubauen, die für unsere Kunden den größten Mehrwert schaffen – Cybersecurity, Cloud und digitale Transformation. Open Line bringt in genau diesen Bereichen starke und bewährte Fähigkeiten mit, insbesondere in hochregulierten und geschäftskritischen Sektoren. Gemeinsam können wir mehr Kunden einen noch höheren Mehrwert bieten – mit größerer Reichweite und gleichzeitig dem tiefen Kundenverständnis, das beide Unternehmen auszeichnet.“

Geplant ist, dass Open Line Teil der Conscia Group wird und weiterhin vom bestehenden Managementteam geführt wird. Die künftige Berichtslinie soll an Marcel Cappetti, Geschäftsführer von Conscia Niederlande, erfolgen. So wird eine reibungslose Kontinuität für Kunden und Mitarbeitende von Open Line gewährleistet – bei gleichzeitiger Nutzung der gruppenweiten Expertise.

Der Abschluss der Transaktion wird für Ende des dritten oder Anfang des vierten Quartals 2025 erwartet, vorbehaltlich der üblichen Bedingungen wie regulatorischer Genehmigungen und der Beteiligung des Betriebsrats in den Niederlanden.

„Dubex passt perfekt zu uns und stärkt Conscias strategische Position als führender Cybersecurity Partner in Europa“, sagt Erik Bertman, CEO der Conscia Group. „Dubex bringt tiefe Sicherheitskompetenz und eine Kultur des Leaderships und der Exzellenz mit, die zu unseren Werten passt. Durch die Kombination ihrer spezialisierten Services mit unserer paneuropäischen Plattform können wir unsere führenden Cybersecurity Fähigkeiten skalieren und schneller sowie effektiver auf sich entwickelnde Cyberbedrohungen reagieren.“

Dubex blickt auf mehr als 25 Jahre Erfahrung in der Cybersecurity zurück und bietet ein starkes Serviceangebot in den Bereichen Governance, Risk & Compliance, Security Operations, Managed Security Services (einschließlich SIEM, MDR und EDR), Incident Response, Offensive Security sowie Cybersecurity Trainings.

Mit der Übernahme gewinnt Conscia unmittelbar an Größe – sowohl personell als auch im Leistungsspektrum. Mehr als 80 Spezialistinnen und Spezialisten, darunter ein leistungsstarkes Security Operations Center (SOC), verstärken die Gruppe erheblich.

„Conscia Denmark etabliert sich jetzt klar als umfassender Cybersecurity Partner. Durch die Integration der starken Marke Dubex und deren Fähigkeiten in vertrauenssensiblen Bereichen wie Incident Response und Offensive Security wird Conscia zur ersten Adresse, wenn kritische Bedrohungen auftreten. Das erhöht unsere Sichtbarkeit und Relevanz – insbesondere bei Enterprise- und Public Sector Kunden“, sagt Martin Høyer, General Manager von Conscia Denmark.

„Wir freuen uns sehr, ein Team zu begrüßen, das unseren klaren Kundenfokus und unsere technische DNA teilt. Ich freue mich auf die Zusammenarbeit mit dem Dubex Management zum Vorteil der Kunden beider Unternehmen.“

Das Serviceangebot von Dubex passt hervorragend zum skalierbaren Betriebsmodell von Conscia, während Führung, Organisation und Kundenbeziehungen in ihrer bisherigen Form erhalten bleiben.

„Der Schritt zu Conscia ist für uns eine logische Entwicklung. Technische Exzellenz und enge Kundenpartnerschaften waren für uns immer Priorität. Werte, die Conscia ebenso lebt“, sagt Gorm Mandsberg, Mitgründer und CEO von Dubex.
„Mit Zugang zu neuen Ressourcen und erweiterten Möglichkeiten können wir unseren Einfluss vergrößern und unsere führende Rolle im Bereich Cybersecurity weiter ausbauen.“

Die Parteien haben sich darauf geeinigt, keine finanziellen Details der Transaktion offenzulegen. Der Abschluss steht noch unter dem Vorbehalt der behördlichen Genehmigung sowie der üblichen Abschlussbedingungen.

„Unsere neue Brand steht für weit mehr als ein neues Erscheinungsbild. Sie verkörpert unseren Anspruch, ein vertrauensvoller Partner für große Organisationen in ganz Europa zu sein – wir schützen ihre Daten und Abläufe, damit sie sich auf ihr Kerngeschäft konzentrieren können“, sagt Erik Bertman, CEO von Conscia.

Die neue Brand bringt auf den Punkt, was Conscia im Kern ausmacht: Secure Progress – Sicherheit als Grundlage für nachhaltigen Fortschritt in einer Welt, die sich immer schneller verändert. In Zeiten technologischen Wandels und wachsender Unsicherheiten in der europäischen Sicherheitslage brauchen Unternehmen stabile, verlässliche und zukunftssichere Cybersecurity-Lösungen. Die neue Markenplattform unterstreicht Conscia’s Rolle als ambitionierter und vertrauenswürdiger Partner in einer zunehmend komplexen digitalen Welt.

Gegründet 2003 in Dänemark, ist Conscia in den vergangenen zwei Jahrzehnten stark gewachsen und heute in zehn europäischen Märkten aktiv – mit Hauptsitz in Dänemark und Standorten in Schweden, Norwegen, Deutschland, den Niederlanden, Slowenien, Finnland, Belgien, Irland und dem Vereinigten Königreich.

In den vergangenen Jahren hat Conscia gezielt in den Ausbau seiner Kompetenzen in den Bereichen Cybersecurity und Managed Services investiert – sowohl durch strategische Zukäufe als auch durch die Weiterentwicklung bestehender Einheiten.Dazu zählen unter anderem die Übernahme des schwedischen Splunk-Spezialisten Siemify, der norwegischen Observability-Experten Kanari Group, des dänischen Cybersecurity-Unternehmens Credocom sowie der Markteintritt in Irland und Großbritannien durch die Akquisition von PlanNet21 Group und ITGL.

Ein weiterer Meilenstein war der Aufbau eines europäischen Security Operations Centers (SOC) in Slowenien, das gruppenweit digitale Forensik- und Incident-Response-Services bereitstellt.

„Digitale Infrastrukturen sind für Unternehmen heute unverzichtbar – Tag für Tag. Das bedeutet für uns: Wir müssen unsere Kunden mit exzellenter Cybersecurity und technischer Expertise unterstützen, um ihr Vertrauen zu verdienen – und zu bewahren“, sagt Daniel Siberg, Group Chief Sales & Marketing Officer bei Conscia.„Wir sind stolz auf unsere hohe Kundenzufriedenheit. Deshalb war es für uns wichtig, eine Markenidentität zu entwickeln, die die Bedürfnisse unserer Kunden widerspiegelt – damit sie nicht nur auf unsere Expertise vertrauen, sondern auch verstehen, wie umfassend wir sie absichern und begleiten können.“

Mit dem Rebranding erhält Conscia ein vollständig neues Erscheinungsbild – über alle digitalen und physischen Touchpoints hinweg. Dazu gehören ein neues Logo, eine modernisierte visuelle Identität sowie ein erneuertes Markenversprechen und der Claim Secure Progress.

Das neue Markenbild unterstreicht Conscia’s Rolle als ambitionierter, vertrauensvoller Partner für große Unternehmen in ganz Europa – mit dem Anspruch, Sicherheit als Grundlage für nachhaltigen Fortschritt zu gestalten.

Für mehr Informationen, kontaktieren Sie bitte:
Group Chief Sales & Marketing Officer Daniel Siberg, Conscia
+46 734 082 778, dasi@conscia.com.

Das Team des Conscia Security Operations Center (SOC) hat kürzlich eine sorgfältig ausgearbeitete Angriffskette aufgedeckt, die von einem Bedrohungsakteur ausgeführt wurde, der eine scheinbar harmlose CAPTCHA-Aufforderung nutzte.

Dieser Angriff, den wir CAPTCHAclipper genannt haben, ist ein Beispiel für das Zusammenspiel von Social Engineering und technischer Raffinesse, um die Systeme der Opfer zu kompromittieren und vertrauliche Daten auszuspionieren.

Wir beobachteten dieselben TTPs bei drei verschiedenen Angriffen im Laufe eines Monats, die alle in der geografischen Region Europa stattfanden.

Angesichts der Art der Angriffskette vermuten wir, dass ein erfahrener Bedrohungsakteur hinter diesen Angriffen steckt. Zum Zeitpunkt der Erstellung dieses Berichts können wir jedoch noch keine Zuordnung vornehmen. Bei der Hauptnutzlast handelt es sich wahrscheinlich um eine Variante der LummaC2 malware.

Als wir den Vorfall zum ersten Mal untersuchten, wurden die bereitgestellten IOCs nicht als bösartig eingestuft, was auf die Verwendung neuartiger TTPs hindeutet. Zum Zeitpunkt der Veröffentlichung dieses Artikels können wir jedoch bereits feststellen, dass bestimmte AV-Engines zumindest einige der IOCs erkennen, die jedoch leicht verändert und umfunktioniert werden können.

Im Folgenden erläutern wir verschiedene Stufen der Angriffskette und zeigen, wie Sie sich schützen können.

Analyse der Angriffskette Stufe 1: Der bösartige CAPTCHA-Köder

Der Angriff begann mit einem gezielten Köder: Die Nutzer wurden auf eine bösartige, aber legitim aussehende Website geleitet, auf der sich eine PDF-Datei befand, die der Nutzer mit einem Phishing-Köder herunterladen sollte. Bevor das Opfer die Datei herunterladen konnte, wurde ihm ein interaktives CAPTCHA vorgelegt.

Dieser erste Schritt diente einem doppelten Zweck:

1. Durch die Nachahmung legitimer Überprüfungsmethoden wurde eine Vertrauensbasis geschaffen.
2. Damit wurde der erste technische Exploit über JavaScript initiiert, den wir auch als ‘ClickFix’ or ‘paste and run’ Technik kennen.

Wenn Nutzer das CAPTCHA eingaben, um auf eine versprochene PDF-Datei zuzugreifen, wurde eine bösartige JavaScript-Nutzlast unbemerkt im Hintergrund ausgeführt.

Dieses Skript kopierte einen PowerShell-Befehl in die Zwischenablage des Systems und bereitete so den Boden für die nächste Phase:

Stufe 2: Social Engineering mit schadhaften Anweisungen

Nach dem Ausfüllen des CAPTCHA erhielten die Opfer eine Benachrichtigung, dass sie vor dem Herunterladen der Datei weitere Schritte zur Verifizierung durchführen müssen. Um die Datei herunterzuladen, musste das Opfer die bereitgestellten Anweisungen befolgen, die für den Erfolg des Angriffs entscheidend waren.

1. Drücken Sie Win+R, um das Dialogfeld Ausführen zu öffnen.
2. Drücken Sie STRG+V, um den Befehl aus der Zwischenablage einzufügen (nicht wissentlich).
3. Enter drücken.

Abbildung 3 – Das Opfer wird mit gefälschten Verifizierungsschritten gelockt, um die Angriffskette zu starten

Dieser scheinbar harmlose Befehl war in Wirklichkeit ein sorgfältig ausgeklügelter Übertragungsmechanismus. Es:

• Lud das bösartige Skript prizev2.txt von einem Remote-Server herunter.
• Führt das Skript vollständig im Speicher aus und umgeht damit dateibasierte Erkennungen.

Stufe 3: Bereitstellung der böswilligen Nutzlast

Das heruntergeladene Skript führte mehrere Aufgaben aus, um die weitere Ausbeutung vorzubereiten:

1. Es rief eine ZIP-Datei (prize.zip) ab von https://fixedzip.oss-ap-southeast-5.aliyuncs.com.
2. Es extrahiert den Inhalt der ZIP-Datei in einen zufällig erstellten Ordner innerhalb des APPDATA-Verzeichnisses.
3. Er startete die ausführbare Datei setup.exe und leitete damit die nächste Phase des Angriffs ein.

Die Verwendung des APPDATA -Verzeichnisses gewährleistete eine minimale Sichtbarkeit für routinemäßige Sicherheitsscans, was den Fokus des Akteurs auf Umgehung unterstreicht.

Stufe 4: Schädliche Aktivitäten von Setup.exe

Die ausführbare Datei Setup.exe war ein wirkungsvolles Tool, das sowohl auf unmittelbare Wirkung als auch auf langfristige Persistenz ausgelegt war. Zu seinen TTPs gehörten:

• Datendiebstahl: Extrahieren von Anmeldedaten, die in Browserdateien (Logindaten) für verschiedene Browser an ihrem typischen Dateispeicherort gespeichert sind.
• Auskundschaften: Identifizierung der installierten Antiviren- und Endgeräteschutzsoftware, um die Erkennung zu umgehen oder den Schutz zu deaktivieren.
• Command-and-Control (C2) Kommunikation: Aufbau einer ausgehenden Verbindung zu 21.4.107:443, die mit der Domain sliperyedhby.icu verbunden ist. Diese Verbindung ermöglichte die Datenexfiltration und weitere Befehle des Angreifers.
• Persistenz-Mechanismen: Registrierung im Windows Task Scheduler zur automatischen Ausführung nach dem Neustart des Systems. Erstellung einer zusätzlichen Datei (69HT8K.pif), möglicherweise als Täuschungsmanöver oder als zweite Stufe.

Auswirkungen und Erkenntnisse

Der CAPTCHAclipper-Angriff zeigt einen ausgeklügelten, vielschichtigen Ansatz zur Kompromittierung von Systemen:

• Benutzerinteraktion als Angriffsvektor: Der Rückgriff auf benutzergesteuerte Aktionen (Kopieren und Einfügen von Befehlen) ist ein Beispiel für die Effektivität von Social Engineering.
• Speichergestützte Ausführung: Die Ausführung von Nutzdaten im Speicher minimiert die Erkennung durch herkömmliche Antivirenlösungen.
• Persistenz und Exfiltration: Durch die Herstellung der Persistenz wurde ein langfristiger Zugriff gewährleistet, während die C2-Kommunikation Datendiebstahl und Fernsteuerung ermöglichte.

Wirksame Verteidigungsstrategien

Der CaptchaClipper-Angriff ist ein Beispiel dafür, wie schnell sich die Taktiken von Cyber-Angreifern weiterentwickeln. Seine Mischung aus technischem Einfallsreichtum und psychologischer Manipulation zeigt, dass proaktive Verteidigungsstrategien unerlässlich sind. Durch den Einsatz von Social Engineering und mehrstufigen Infizierungstechniken umgehen die Angreifer effektiv herkömmliche Verteidigungsmaßnahmen und nutzen das Vertrauen der Benutzer aus.

Um sich gegen solch ausgeklügelte Bedrohungen zu schützen, empfiehlt Conscia SOC Unternehmen einen mehrschichtigen Ansatz für die Cybersicherheit:

1. User Awareness Training: Führen Sie regelmäßig Schulungen durch, damit die Mitarbeiter Phishing und andere Social-Engineering-Techniken erkennen.
2. Enable Endpoint Detection and Response (EDR): Implementieren Sie Lösungen, die dateilose Malware und verdächtige PowerShell-Aktivitäten identifizieren und abwehren können.
3. Kontinuierliche Überwachung von Sicherheitsvorfällen: Der Einsatz von Sicherheitslösungen reicht nicht aus, wenn Sie keine Analysten haben, die die potenziellen Vorfälle überprüfen. Die rechtzeitige Erkennung ist bei dieser Art von Angriffen entscheidend, da der größte Teil der Angriffskette automatisiert ist.
4. PowerShell-Nutzung einschränken: Beschränken Sie die PowerShell-Ausführung auf zertifizierte Skripts und überwachen Sie die PowerShell-Aktivität genau.
5. Netzwerküberwachung und Erkennung von Datenlecks: Implementieren Sie Netzwerküberwachungs-Tools, um ungewöhnliche ausgehende Verbindungen zu C2-Servern oder eine nicht autorisierte Datenexfiltration zu erkennen.
6. Incident Response-Planung: Stellen Sie sicher, dass Ihr Team darauf vorbereitet ist, auf mehrstufige Infektionen mit einer klaren Abhilfestrategie zu reagieren.

Darüber hinaus ermutigen wir alle Cybersicherheitsexperten, sich aktiv an der Cybersicherheitsgemeinschaft zu beteiligen. Sie können:

• Zusammenarbeiten und Informationen austauschen: Erkenntnisse und Kompromissindikatoren (IOCs) mit vertrauenswürdigen Gemeinschaften austauschen, um ähnliche Bedrohungen zu bekämpfen.
• Berichten und Untersuchen: Wenn Sie ähnliche Vorkommnisse entdecken, melden Sie sie Ihren Threat-Intelligence-Anbietern oder nationalen Cybersicherheitsbehörden, um neue Entwicklungen zu verfolgen.
• Verbessern Sie die Jagd auf Bedrohungen: Nutzen Sie diese Analyse als Anwendungsfall zur Verbesserung der Fähigkeiten zur Bedrohungsjagd in Ihrem Unternehmen.

Erik Bertman, CEO der Conscia Gruppe, erklärt: „Wir freuen uns, Silta bei Conscia willkommen zu heißen. Diese Übernahme unterstreicht unsere Strategie, Conscia als führendes paneuropäisches Unternehmen zu positionieren. Silta teilt unsere Werte, unseren Fokus auf technologische Exzellenz und einen klaren Kundenfokus.“

Silta mit Sitz in Antwerpen, Belgien, ist ein mittelständisches Technologieunternehmen, das 2018 gegründet wurde. Silta konzentriert sich auf die Bereitstellung von Dienstleistungen für die öffentliche Hand, die Industrie und den Dienstleistungssektor und arbeitet mit führenden Technologiepartnern zusammen.

Weitere Informationen finden Sie in der englischsprachigen Pressemitteilung.