Kasperskys Bericht: Die drei am häufigsten in Unternehmensnetzwerken eingesetzten Hacking-Tools enthüllt

Kaspersky KATA-Lagebild: Welche Tools Angreifer am häufigsten nutzen

Kaspersky Anti Targeted Attack (KATA) meldet zunehmend, dass Angreifer auf legitime Verwaltungstools und Dual-Use-Werkzeuge setzen, um sich unbemerkt lateral in Unternehmensnetzwerken zu bewegen. Zwischen April und September 2026 verzeichnete KATA 2.171.513 Versuche, solche Tools für unbefugte Aktivitäten zu verwenden. Die hohe Trefferzahl entsteht aus der Kombination vieler feingranularer Netzwerksregeln (ca. 12.500) und kontinuierlicher Verkehrsanalyse: im Schnitt Erkennt das System täglich rund 312.705 potenzielle Angriffsindikatoren.

Welche Tools stehen ganz oben — konkrete Zahlen und Bedeutung

Die drei am häufigsten erkannten Tool-Familien laut KATA sind:

HackTool.Cobalt — 136.084 Erkennungen
Cobalt Strike wurde ursprünglich für Red-Team-Übungen entwickelt. Angreifer nutzen sein Modul für Post-Exploitation, Beacon-basierte Kommando- und Uzmanlkanäle sowie für laterale Bewegung. In der Praxis heißt das: Kompromittierte Hosts senden periodische Beacons an C2-Endpunkte, erhalten Befehle zum Credential Dumping und führen anschließend gezelte Interaktionen im LAN aus, um weitere Ressourcen zu finden.

HackTool.NetExec — 129.560 Erkennungen
NetExec automatisierte Remote-Ausführung und verwaltete Scans. Bedrohungsakteure nutzen sie, um Remote-Kommandoausführung auf mehreren Hosts parallel zu orchestrieren. Typische Verwendungswege sind automatisierte Exploit-Ketten nach einem initialen Zugang sowie Massenausführung von Skripten, die Persistenz und laterale Bewegung herstellen.

HackTool.SQLMap — 107.697 Erkennungen
SQLMap wird zur automatischen Erkennung und Ausnutzung von SQL-Injection-Schwachstellen eingesetzt. Im Unternehmenskontext führt das zu dersen Datenexfiltrationspfaden aus Webanwendungen in Datenbanken, bei denen gestohlene Anmeldeinformationen für anschließende seitliche Kompromittierungen missbraucht werden können.

Wie Angreifer diese Tools einsetzen — Ablaufbeispiel Schritt für Schritt

Ein typischer Angriffspfad mit den oben genannten Werkzeugelementen lässt sich in Phasen gliedern:

1. Initialer Zugriff: Phishing oder Exploit gegen öffentlich erreichbare Dienste; Remote-Hintertür.

2. Konsolidierung: Einsatz von NetExec oder ähnlichen Utilities, um automatisierte zusätzliche Hosts zu scannen und schwache Anmeldeinformationen zu testen.

3. Eskalation: Nutzung von gestohlenen Anmeldeinformationen und Tools wie Cobalt für Credential Harvesting und Privilegienerweiterung.

4. Laterale Bewegung: Beacons, Remote-Execution-Befehle automatisierte und Skripte verbreiten den Zugriff im LAN, oft unter Umgehung von Endpoint-Schutz durch legitime Protokolle.

5. Exfiltration / Zielausführung: Bei Bedarf verwenden Angreifer SQLMap oder spezielle Export-Tools, um Daten aus Datenbanken zu exfiltrieren oder Ransomware/Datendiebstahl auszulösen.

Erkennbare Indikatoren und präzise Erkennungsregeln

Netzwerkanalysten sollten auf folgende Indikatoren achten:

– Unübliche Beacon-Intervalle: Wiederkehrende Verbindungen mit niedrigem Datenvolumen zu externen Domänen; Timing-Profile weichen von bekannten Wartungs- und Monitoring-Services ab.

– Parallelisierte Remote-Exec-Pattern: Gleichzeitige Authentifizierungsversuche gegen viele Hosts, häufig mit identischen Befehlslasten.

– Abnormale SQL-Query-Profile: Serien von ungewöhnlichen, automatisiert arbeitenden SQL-Statements (z. B. rekursive Informationsschema-Abfragen) oder schnelle Wiederholung gleicher Queries aus Webservern.

Konkrete Erkennungsregeln, die sich bewährt haben, umfassen Kombinationen aus:

– Verhaltensbasierte Signaturen: Beacon-Zeitmuster + Payload-Verschnittsgrößen.

– Kontextuellen Abfragen: Interner Host A initiiert seltene Verbindungen zu internem Host B verfolgt von Datenbankzugriffen durch Host B innerhalb eines kurzen Fensters.

– Anomalieerkennung mit Whitelists: Prozesse, die normalerweise keine Netzwerkverbindungen aufbauen, tun dies plötzlich – mit Ziel-IP-Adressen, die nicht in der erlaubten Liste stehen Verhaltensbasierte Erkennung, um Lateral-Movement-Ketten zu entwirren.

– Segmentieren Sie das Netzwerk strict; Begrenzen Sie Admin-Privilegien und nutzen Sie Mikrosegmentierung, damit Remote-Exec-Versuche nicht automatisch breiten Zugriff ermöglichen.

– Setzen Sie Multi-Faktor-Authentifizierung (MFA) überall dort durch, wo Remote-Logins möglich sind; MFA reduziert den Nutzen gestohlener Anmeldedaten.

– Überwachen und härten Sie Webaplikationen gegen SQL-Injection (Input-Validierung, parametrische Queries), um SQLMap-basierte Exfiltration zu verhindern.

Organisatorisch:

– Führen Sie regelmäßige, realistische Red-Team-Übungen mit der expliziten Simulation von Tool-Missbrauch (z. B. Cobalt) durch.

– Pflegen Sie eine zentrale Inventarliste der erlaubten Verwaltungstools und erlauben Sie Ausführungen nur über gesicherte Managementkanäle.

– Etablieren Sie einen Incident-Response-Plan mit Playbooks für laterale Bewegungserkrankungen inklusive Isolations- und Forensik-Schritten.

Praxisbeispiel: wie eine Kombination aus NDR und Playbooks einen Vorfall stoppt

Fall: Ein Beacon-Verhalten wird anomalerweise von einem internen Server festgestellt. Das NDR-System korreliert Beacon-Intervalle mit parallelen Remote-Exec-Versuchen und ungewöhnlichen SQL-Abfragen. Das Security-Operations-Team aktiviert das Playbook:

1) Sofortige Segment-Isolation des betroffenen Subnetzes durch Netzwerk-Orchestrierung.

2) Remote-Containment des kompromittierten Hosts und Einleiten eines forensischen Snapshots.

3) Whitelisting-Überprüfung und MFA-Rollout für kompromittierte Accounts.

4) Suche nach Indicators-of-Compromise (IoCs) mit Priorisierung der Cobalt- und NetExec-Signaturen und Blockierung der C2-Domänen auf Perimeter-Geräten.

Diese Kombination aus automatischer Erkennung und vordefinierten Reaktionsschritten reduziert die mittlere Zeit bis zur Eindämmung (MTTR) signifikant und verhindert breite laterale Ausbreitung. bedeuten

Die Zahlen zeigen einen klaren Trend: Angreifer bevorzugen Werkzeuge, die bereits in Unternehmensumgebungen vorhanden sind oder legitime Funktionen nachahmen. Unternehmen müssen daher:

– Erkennungsmaßnahmen auf Verhalten und Kontext ausrichten, statt allein auf statische Signaturen zu vertrauen.

– Prozesse und Technik so umbauen, dass Missbrauchsmöglichkeiten von legitimen Tools eingeschränkt werden (Least Privilege, MFA, Segmentierung).

– In Sichtbarkeit investieren: NDR-Lösungen mit breiter Konnektivität liefern die Telemetrie, die zur Aufdeckung subtiler lateraler Bewegungsketten nötig ist.

Quellenangabe

Die hier Daten basieren auf Auswertungen der Kaspersky Anti Targeted Attack (KATA)-Plattform für den Zeitraum April–September 2026; Angaben und Zitat stammen aus der Originalmeldung (White News Agency).

Kasperskys Bericht enthüllt die drei meistgenutzten Hacking-Tools in Unternehmensnetzwerken, Risiken und Schutzmaßnahmen kompakt erklärt.