Russische Hacker nutzen Sicherheitslücke im MDaemon-Mailserver aus, um Backdoors ohne Zutun der Nutzer zu installieren

Was passiert ist

Russische Hacker nutzen Sicherheitslücke im MDaemon-Mailserver aus, um Backdoors ohne Zutun der Nutzer zu installieren, wie GBHackers berichtet. Russland-nahe Bedrohungsakteure (die Person oder Gruppe hinter einem Angriff) nutzen eine Schwachstelle in der Mailserver-Software MDaemon aus, um Code auf dem Server auszuführen. Die Opfer müssen dafür nichts öffnen oder anklicken.

Der APT-Aktivitätsbericht von ESET für Q2–Q3 2026 beschreibt eine aktive Kampagne in der Ukraine. ESET konnte sie keiner bekannten Russland-nahen Gruppe zuordnen. ESET ist ein Softwareunternehmen mit Sitz in Bratislava, dessen Produkte und Dienstleistungen unter anderem Antivirensoftware umfassen.

Sicherheitslücke im MDaemon-Mailserver: Laut technischer Analyse von ESET verlässt sich MDaemon auf ClamAV, um eingehende E-Mail-Anhänge zu scannen. Alte ClamAV-Versionen sind anfällig für CVE-2025-8088 (die öffentliche Katalognummer für eine bestimmte Software-Schwachstelle), eine Path-Traversal-Schwachstelle in WinRAR, die ESET im vergangenen Jahr aufgedeckt hat.

ClamAV hat die Lücke am 27. Juli 2025 geschlossen. MDaemon lieferte jedoch weiterhin eine veraltete Bibliothek libclamunrar.dll aus. Die Angriffskette ist simpel: Angreifer erstellen ein bösartiges RAR-Archiv, das CVE-2025-8088 ausnutzt, und senden es an eine beliebige Adresse auf einem verwundbaren MDaemon-Server. MDaemon ruft ClamAV zum Scannen des Anhangs auf, wodurch der Exploit ausgelöst wird, und der Exploit schreibt eine bösartige DLL in das Dateisystem des Mailservers.