Roundcube-Angriff: China-Gruppe späht Universitäten aus

Eine E-Mail öffnen — mehr braucht es nicht. Sicherheitsforscher von Proofpoint haben eine Spionage-Kampagne aufgedeckt, die Roundcube-Webmail-Server ins Visier nimmt und dabei erschreckend leise vorgeht. Wenn du Roundcube selbst hostest, ist das dein Weckruf.

SO LÄUFT DER ANGRIFF AB

Die Angreifer — von Proofpoint als UNK_MassTraction geführt und einer China-nahen Gruppe zugeordnet — nutzen eine Kette aus zwei Schwachstellen:

Der Einstieg (CVE-2024-42009): Eine Cross-Site-Scripting-Lücke sorgt dafür, dass Schadcode allein beim Öffnen einer präparierten Mail im verwundbaren Roundcube-Client ausgeführt wird. Kein Klick, kein Anhang nötig.
Der Datendiebstahl: Ein Schädling namens IceCube sammelt Benutzernamen, Passwörter, Session-Cookies und Zwei-Faktor-Material und funkt alles an die Angreifer.
Die Persistenz (CVE-2025-49113): Über eine Deserialisierungs-Lücke verschaffen sich die Angreifer serverseitigen Zugriff, setzen Webshells und die VShell-Backdoor und nisten sich dauerhaft ein.

WER IM FADENKREUZ STEHT

Die Kampagne läuft laut Proofpoint seit Mai und zielt bislang auf Physik- und Ingenieurs-Fakultäten, Professoren und Verwaltungen — mit Bezug zu Astrophysik, Teilchenphysik und sicherheitsrelevanter Forschung. Bestätigt sind weniger als zehn Opfer, betroffen sein könnten aber einige Dutzend Universitäten. Die Angreifer behandeln Mailserver dabei als Sprungbrett, um tiefer ins Netzwerk vorzudringen.

SO SCHÜTZT DU DEINE MAILBOX

Roundcube aktualisieren: Beide ausgenutzten Lücken sind bekannt und gepatcht. Bring deine Installation auf den aktuellen Stand — das ist der wichtigste Schritt.
Sitzungen zurücksetzen: Erzwinge nach dem Update ein Neu-Anmelden und rotiere Passwörter, falls dein Server vorher exponiert war.
Server prüfen: Achte auf unbekannte PHP-Dateien im Webroot und ungewöhnliche Prozesse — Webshells sind ein klassisches Persistenz-Werkzeug.

FAZIT: Webmail ist eine Angriffsfläche

Selbst gehostetes Webmail ist praktisch — aber nur so sicher wie sein letztes Update. Diese Kampagne zeigt, dass schon eine ungeöffnete Aktualisierung reicht, um zum Einfallstor zu werden. Prüf deine Version heute, nicht nächste Woche.

Häufige Fragen

Welche Roundcube-Versionen sind betroffen?

Verwundbar sind Installationen, die die Lücken CVE-2024-42009 (XSS) und CVE-2025-49113 (Deserialisierung) noch nicht geschlossen haben. Beide sind seit Längerem bekannt und in aktuellen Roundcube-Versionen behoben. Wer eine ältere, ungepatchte Version betreibt, sollte umgehend aktualisieren.

Reicht wirklich das Öffnen einer Mail für den Angriff?

Für den ersten Schritt ja: Die XSS-Lücke führt Schadcode aus, sobald ein Opfer eine speziell präparierte Mail im verwundbaren Roundcube-Client öffnet — ohne Klick auf Links oder Anhänge. Danach werden Zugangsdaten gestohlen und über eine zweite Lücke ein dauerhafter Server-Zugang aufgebaut.

Wie behebe ich das Problem konkret?

Aktualisiere Roundcube auf eine Version, die beide CVEs schließt. Erzwinge danach ein erneutes Anmelden aller Nutzer, rotiere betroffene Passwörter und prüfe den Webroot auf untergeschobene PHP-Dateien oder Webshells. Ergänzend helfen restriktive Content-Security-Policies und ein aktueller Reverse-Proxy vor dem Webmail.

Bin ich als privater Selbsthoster gefährdet?

Die aktuelle Kampagne zielt gezielt auf Universitäten, doch die ausgenutzten Lücken stecken in jeder ungepatchten Roundcube-Installation. Für private Selbsthoster ist das gezielte Interesse gering, das technische Risiko einer ungepatchten Version aber real. Aktuell halten und exponierte Webmail-Zugänge absichern bleibt Pflicht.

Hinweis: Sicherheitslücken sind ein sensibles Thema. Prüfe deine Systeme individuell und ziehe im Ernstfall fachkundige Hilfe hinzu.

Quellen: BleepingComputer, CyberScoop, The Register

SPIONE IM POSTFACH! Hacker knacken JETZT Roundcube-Server per E-Mail — so schützt du deine Mailbox