WatchGuard Technologies GmbH

40 Prozent mehr Evasive Malware über verschlüsselte Verbindungen

Cyberkriminelle setzen auf verdeckte Manöver und umgehen mit Zero-Day-Malware und neuen USB-Infektionsketten signaturbasierte Abwehrmechanismen

Der Anstieg von schwer zu erkennender, hochentwickelter Malware um 40 Prozent ist sicher eines der prägnantesten Ergebnisse des aktuellen Internet Security Reports von WatchGuard Technologies. In der vierteljährlich erscheinenden Analyse listen die Forscher des WatchGuard Threat Labs regelmäßig und detailliert die wichtigsten Malware-Trends sowie Netzwerk- und Endpunkt-Bedrohungen auf. In der gerade veröffentlichten Auswertung für das zweite Quartal 2025 fällt erneut ins Auge, dass Angreifer (verglichen mit dem vorherigen Quartal) vermehrt verschlüsselte Kanäle nutzen, die auf dem TLS-Protokoll (Transport Layer Security) basieren – welches eigentlich für den sichersten Webdatenverkehr steht. Obwohl die Verwendung von TLS zum Schutz von Anwendern absolut empfehlenswert ist, wird dieses Protokoll immer öfter von Angreifern missbraucht, um bösartige Payloads zu tarnen. 
 
Insgesamt stiegen die Malware-Erkennungen im zweiten Quartal um 15 Prozent: Diese Prozentzahl basiert auf einer um 85 Prozent höheren Quote bei Gateway AntiVirus (GAV) und einem Zuwachs von zehn Prozent bei IntelligentAV (IAV) – der KI-basierten Lösung von WatchGuard zur Malware-Abwehr. Diese spielt bei der erfolgreichen Aufdeckung komplexer Bedrohungen eine zunehmend wichtigere Rolle. Die Tatsache, dass mittlerweile 70 Prozent der gesamten Malware über verschlüsselte Verbindungen übertragen werden, unterstreicht dabei einmal mehr, dass Angreifer immer öfter auf Verschleierung und Tarnung setzen. Unternehmen sind daher gut damit beraten, die Durchleuchtung des verschlüsselten Datenverkehrs zu verbessern und flexible Schutzstrategien einzusetzen.
 
Netzwerkangriffe: Quantität steigt bei weniger Vielfalt
Ebenso beobachtete das Threat Lab einen leichten Anstieg der Netzwerkattacken, immerhin um 8,3 Prozent. Gleichzeitig verringerte sich die Vielfalt der Angriffe. Insgesamt wurden 380 eindeutige Signaturen erkannt, im letzten Quartal waren es noch 412. Auffällig war eine brandneue JavaScript-basierte Angriffsmethode „WEB-CLIENT JavaScript Obfuscation in Exploit Kits“. Diese ist ein eindrucksvolles Beispiel dafür, wie schnell sich neue Bedrohungen – die Verschleierung als Ausweichtechnik nutzen, um ältere Kontrollmechanismen zu umgehen – ausbreiten können. Es fällt ins Auge, dass zwar neue Exploits auftauchen, Angreifer jedoch weiterhin stark auf ältere, weit verbreitete Schwachstellen in Browsern, Web-Frameworks und Open-Source-Tools setzen.
 
„Laut aktuellem Bericht deutet alles darauf hin, dass die Zahl der Attacken mit fortschrittlicher Malware über verschlüsselte Kanäle weiter zunimmt. Angreifer setzen alles daran, Erkennungsmaßnahmen zu umgehen und die Auswirkungen ihrer Angriffe zu maximieren“, so Corey Nachreiner, Chief Security Officer bei WatchGuard Technologies. „Für Unternehmen mit begrenzten Ressourcen bzw. kleinen IT-Teams besteht die Herausforderung also darin, sich schnell mit wirksamen Maßnahmen an diese Situation anzupassen. Konsistente Patches, bewährte Abwehrmaßnahmen und fortschrittliche ‚Detection & Response‘-Technologien, die schnell reagieren können, bleiben die wirksamsten Gegenmaßnahmen zur Eindämmung der einschlägigen Bedrohungen.“  
 
Weitere wichtige Erkenntnisse des WatchGuard Internet Security Reports Q2/2025 im Überblick:
 
Brandneue, einzigartige Malware-Bedrohungen nahmen um 26 Prozent zu. Diese polymorphen Bedrohungen umgehen die signaturbasierte Erkennung und wurden erst  von den erweiterten Diensten von WatchGuard wie APT Blocker (Advanced Persistent Threat Blocker) und IAV identifiziert.
 
Zwei USB-basierte Malware-Bedrohungen sorgten für Überraschung. Sowohl die Remote-Access-Backdoor-Variante PUMPBENCH als auch der Loader HIGHREPS setzen einen Coin Miner namens XMRig ein, der die Kryptowährung Monero (XMR) schürft. Ihr Aufkommen steht wahrscheinlich im Zusammenhang mit der Verwendung von Hardware-Wallets aufseiten der Kryptowährungsbesitzer.
 
Ransomware ging um 47 Prozent zurück. Es deutet alles auf eine Verlagerung zu weniger, aber wirkungsvolleren Angriffen auf hochkarätige Ziele hin – inklusive größerer Folgen. Bemerkenswert ist, dass die Zahl der aktiven Erpressergruppen zugenommen hat, wobei Akira und Qilin zu den aggressivsten gehören.
 
Bei Netzwerk-Malware dominieren Dropper. Sieben der zehn häufigsten Entdeckungen waren Payloads der ersten Stufe, darunter Trojan.VBA.Agent.BIZ und der Credential Stealer PonyStealer, die zur initialen Kompromittierung vom Benutzer aktivierte Makros ausnutzten. Das berüchtigte Mirai-Botnetz tauchte nach fünf Jahren ebenfalls wieder auf, vor allem im asiatisch-pazifischen Raum. Die Dominanz von Droppern zeigt, dass Angreifer mehrstufige Infektionen bevorzugen.  
 
Zero-Day-Malware befindet sich weiterhin auf dem Vormarsch. Sie macht über 76 Prozent aller Erkennungen und fast 90 Prozent der verschlüsselten Malware aus. Diese Ergebnisse unterstreichen die Notwendigkeit fortschrittlicher Erkennungsfunktionen, die über Signaturen hinausgehen, insbesondere für Bedrohungen, die im TLS-Datenverkehr verborgen sind.
 
DNS-basierte Bedrohungen halten sich wacker. Gefahr geht u.a. von Domains aus, die mit dem Fernzugriffstrojaner (Remote Access Trojan – RAT) DarkGate in Verbindung stehen – einer Loader-Malware, die als RAT fungiert. Im Zuge dessen spielt DNS-Filterung als Verteidigungsstufe eine entscheidende Rolle.
 
Alle Erkenntnisse basieren – entlang des Konzepts der „WatchGuard Unified Security Platform“ und entsprechend der vorherigen vierteljährlichen Auswertungen – auf den anonymisierten, aggregierten Daten aller aktiven WatchGuard-Lösungen für Netzwerk- und Endgeräteschutz, deren Besitzer der Weitergabe der Bedrohungsinformationen zur Unterstützung der Forschungsarbeit des Threat Lab zugestimmt haben.
 
Der ausführliche Internet Security Report in englischer Sprache steht online zum Download zur Verfügung: https://www.watchguard.com/wgrd-resource-center/security-report-q2-2025

Bildmaterial
Das Bildmaterial zum Download finden Sie in unserem Medienportal press-n-relations.amid-pr.com (Suchbegriff „Corey Nachreiner"). Selbstverständlich schicke ich Ihnen die Datei auch gerne per E-Mail zu. Kontakt: rh@press-n-relations.de
 
Kontakt:

WatchGuard Technologies GmbH
Paul Moll – Senior Field Marketing Manager Central Europe
Dr. Alfred-Herrhausen-Allee 26, 47228 Duisburg
Tel.: +49 152 31795040
paul.moll@watchguard.com
https://www.watchguard.com/de

Presse- und Öffentlichkeitsarbeit:

Press'n'Relations GmbH
Rebecca Horn
Magirus-Deutz-Str. 14, 89077 Ulm
Tel.: +49 731 146 156-75 
rh@press-n-relations.de 
https://press-n-relations.com



Press'n'Relations Austria GmbH
Mag. Georg Dutzi
Lange Gasse 65/16, A-1080 Wien
Tel.: +43 1 907 61 48-10
gd@press-n-relations.at
https://press-n-relations.at

Über WatchGuard Technologies
WatchGuard Technologies gehört zu den führenden Anbietern im Bereich IT-Sicherheit. Das umfangreiche Produktportfolio reicht von hochentwickelten Lösungen im Bereich Netzwerksicherheit über Multifaktor-Authentifizierung bis hin zu Technologien für umfassenden WLAN-Schutz und Endpoint Protection sowie weiteren spezifischen Produkten und intelligenten Services rund ums Thema IT-Security. Auf diesem Fundament wurde speziell für Managed Service Provider die „Unified Security Platform“ entwickelt, mit der diese ihren Kunden erstklassige Sicherheit bieten können, die sich jederzeit an individuelle Bedürfnisse anpassen lässt – bei gleichzeitig hoher betrieblicher Effizienz. Mehr als 17.000 Security-Reseller bzw. Managed Service Provider und 250.000 Kunden weltweit vertrauen auf die ausgeklügelten Schutzmechanismen auf Enterprise-Niveau und profitieren von einer einheitlichen Sicherheitsplattform, die folgende fünf Elemente vereint: weitreichende, aufeinander abgestimmte IT-Security-Funktionalität, kollektiver Wissensaustausch, Klarheit und Kontrolle, operative Ausrichtung und Automatisierung. Neben der Zentrale in Seattle im US-Bundesstaat Washington verfügt WatchGuard über Niederlassungen in ganz Nordamerika, Lateinamerika und Europa sowie im asiatisch-pazifischen Raum.

Aktuelle Informationen, Aktionen und Updates finden Sie auch auf X, Facebook oder LinkedIn. Der deutschsprachige Unternehmensblog beleuchtet zudem regelmäßig aktuelle Trendthemen im Umfeld von IT-Sicherheit. Reinschauen lohnt sich. Oder Sie abonnieren den „443 – Security Simplified“-Podcast über das WatchGuard Cybersecurity Hub bzw. wo immer Sie Ihre Lieblings-Podcasts finden.

Zum Bilder-Download in der PnR-Mediathek