Roundcube-Schwachstellen ermöglichen China-nahen Hackern Zugriff auf Forschungs-E-Mails von Universitäten

Physik- und Ingenieurfakultäten an Universitäten stehen selten auf den Bedrohungsmodellen von Sicherheitsexperten – im Gegensatz zu Rüstungsunternehmen und Bundesbehörden. Genau auf diese Lücke setzt UNK_MassTraction. Proofpoint-Forschung, veröffentlicht im Juli 2026, dokumentiert eine laufende Spionagekampagne gegen US-amerikanische und kanadische Universitätsabteilungen, die in den Bereichen Astrophysik, Teilchenphysik und nationale Sicherheitsforschung tätig sind. Der Angriffsvektor ist kein hochentwickelter Zero-Day gegen gehärtete Regierungsinfrastrukturen – es ist Roundcube, die Open-Source-Webmail-Software, die Tausende von Forschungseinrichtungen seit Jahren nutzen, unregelmäßig patchen und als zu speziell für das Interesse eines Nationalstaats betrachten.

Diese Annahme hat sich als falsch erwiesen. Die Kampagne ist nicht opportunistisch, sondern gezielt. UNK_MassTraction ist mindestens seit Mai 2026 aktiv, und die konkret ins Visier genommenen Institutionen – durch das Verteidigungsministerium (DoD) geförderte Forschungsprogramme in den Naturwissenschaften und Ingenieurwissenschaften – sind genau jene, die mit hoher Wahrscheinlichkeit Controlled Unclassified Information (CUI) in ihren E-Mail-Kommunikationen verarbeiten.

Für Sicherheitsverantwortliche an Forschungsuniversitäten ist dies sowohl ein Threat-Intelligence- als auch ein Compliance-Problem. Der Threat-Intelligence-Teil ist akut: Jetzt patchen, Authentifizierungsprotokolle prüfen und feststellen, ob die E-Mail-Infrastruktur kompromittiert wurde. Der Compliance-Teil ist weniger dringlich, aber potenziell folgenreicher – erfüllt Ihre Institution die NIST 800-171-Kontrollen für CUI-Kommunikation und können Sie dies einem CMMC-Auditor nachweisen?

Beide Fragen hängen zusammen. Die gleiche Roundcube-Installation, die verfügbare Patches nicht eingespielt hat, scheitert wahrscheinlich auch an den Audit- und Accountability-Kontrollen, die CMMC-Prüfer bewerten. Ein dokumentierter Incident-Response-Plan, der gezielt Credential Theft per E-Mail und die Überprüfung des Postfachzugriffs nach einem Kompromiss abdeckt, gibt Institutionen die nötige operative Struktur, um im Fall eines Roundcube-Exploits schnell zu reagieren.

wichtige Erkenntnisse

1. UNK_MassTraction nutzt seit mindestens Mai 2026 zwei Roundcube-Schwachstellen, um Zugangsdaten von US-amerikanischen und kanadischen Universitätsforschungsabteilungen zu stehlen. Der von Proofpoint dokumentierte, China-nahe Bedrohungsakteur zielt auf Physik-, Astrophysik- und Ingenieurprogramme mit direktem Bezug zu nationaler Sicherheitsforschung und DoD-Förderung.

2. CVE-2024-42009 bringt den IceCube Credential Stealer über eine XSS-Schwachstelle in Roundcube ein. Sobald ein gezielter Anwender die manipulierte E-Mail öffnet, sammelt IceCube Session-Cookies, Zugangsdaten und Zwei-Faktor-Authentifizierungstoken – und verschafft Angreifern so dauerhaften Postfachzugriff, ohne Authentifizierungskontrollen auszulösen.

3. CVE-2025-49113 nutzt eine serverseitige Deserialisierungs-Schwachstelle, um Backdoors direkt auf dem Mailserver zu installieren. Angreifer setzen diese zweite Schwachstelle ein, um entweder SquareShell, eine PHP-Webshell, oder VShell, eine Go-basierte Backdoor, zu installieren – und verwandeln so den Roundcube-Server in einen dauerhaften Netzwerkzugangspunkt innerhalb der Universitätsumgebung.

4. Universitäten mit DoD-Forschungsförderung verarbeiten nahezu sicher Controlled Unclassified Information und unterliegen damit direkt CMMC 2.0. Selbst gehostete Roundcube-Installationen scheitern regelmäßig an NIST 800-171-Kontrollen für Patch-Management, Verschlüsselung während der Übertragung und Audit-Logging – und schaffen so erhebliche Compliance-Risiken zusätzlich zum Spionagerisiko. Eine Risikoanalyse, die den aktuellen Patch-Status von Roundcube und die E-Mail-Infrastrukturkontrollen den NIST 800-171-Anforderungen gegenüberstellt, ist der grundlegende Schritt für jede Institution mit diesem Profil.

5. Ein gehärtetes E-Mail-Gateway mit Inbound-Scanning eliminiert den Delivery-Layer-Angriffsvektor, auf den IceCube angewiesen ist. Jede eingehende Nachricht wird vor Zustellung ins Postfach mit Antivirus, Data Loss Prevention und Advanced Threat Protection geprüft – das ist die architektonische Antwort, die diese Angriffsklasse erfordert.

Wer ist UNK_MassTraction und warum sind Universitäten das Ziel?

Proofpoint stuft UNK_MassTraction als China-nahen Bedrohungsakteur ein, dessen Verhalten mit staatlich unterstützter chinesischer Informationsbeschaffung übereinstimmt. Das „UNK“ im Namen bedeutet, dass die genaue Regierungszuordnung – PLA, MSS oder ein beauftragter Dienstleister – öffentlich nicht bestätigt ist. Bestätigt sind jedoch Zielprofil und Vorgehensweise.

Die Ziele sind nicht zufällig gewählt. US-amerikanische und kanadische Universitätsabteilungen, die in Astrophysik, Teilchenphysik und Verteidigungsingenieurwesen forschen, speisen direkt in nationale Sicherheitsforschungsprogramme ein. Diese Programme liefern Dual-Use-Forschung, stellen sicherheitsüberprüfte Forscher für die Verteidigungsindustrie und erhalten erhebliche Mittel von DARPA, dem Office of Naval Research und den nationalen Sicherheitsprogrammen des Energieministeriums.

Die Forschungsergebnisse dieser Abteilungen – auch wenn sie nicht klassifiziert sind – besitzen erheblichen nachrichtendienstlichen Wert. Entwürfe, die per E-Mail vor der Peer-Review geteilt werden. Kooperationsvereinbarungen mit Forschern an nationalen Laboren. Zwischenberichte mit detaillierter Methodik. All dies ist im klassischen Sinn nicht geheim, stellt aber sensibles geistiges Eigentum dar, das ausländischen Nachrichtendiensten Aufschluss darüber gibt, woran amerikanische Universitäten arbeiten, mit wem sie kooperieren und wohin sich die Forschung entwickelt.

Die operative Logik ist einfach: Ein kompromittiertes Postfach eines Professors im Bereich Teilchenphysik gewährt Zugriff auf jahrelange wissenschaftliche Korrespondenz, internationale Kooperationen und informelle Austausche, die Forschungsrichtungen lange vor der Veröffentlichung prägen. Das ist für die Informationsbeschaffung wertvoller als ein veröffentlichter Fachartikel, den der Gegner ohnehin lesen kann.

Auffällig an dieser Kampagne ist die lange Laufzeit – mindestens seit Mai 2026, ohne Anzeichen einer Unterbrechung. Diese Geduld und Zielstrebigkeit sind typisch für staatlich gesteuerte Spionageprogramme. Advanced Persistent Threats (APTs), die Forschungseinrichtungen angreifen, erzielen selten kurzfristige, monetarisierbare Erträge – der Wert liegt in der dauerhaften Sammlung. Finanzorientierte Cyberkriminelle investieren selten so viel Aufmerksamkeit in ein Zielprofil ohne schnellen Profit.

Zwei CVEs, zwei Angriffsketten: So funktionieren die Exploits

CVE-2024-42009: XSS und der IceCube Credential Stealer

CVE-2024-42009 ist eine Cross-Site-Scripting-Schwachstelle in der E-Mail-Rendering-Engine von Roundcube. Öffnet ein gezielter Anwender eine speziell präparierte, bösartige E-Mail, wird darin eingebettetes JavaScript innerhalb der authentifizierten Browsersitzung ausgeführt und lädt IceCube – eine Credential-Harvesting-Payload, die speziell für Roundcube entwickelt wurde.

IceCube sammelt drei Dinge: aktive Session-Cookies, gespeicherte Zugangsdaten und alle Zwei-Faktor-Authentifizierungstoken, die in der Sitzung vorhanden sind. Die Sammlung der Session-Cookies ist dabei operativ entscheidend. Sobald ein Angreifer ein gültiges Session-Cookie besitzt, kann er von jedem Gerät und jedem Standort aus auf das kompromittierte Postfach zugreifen, ohne eine Authentifizierungsabfrage auszulösen. Aus Sicht des Mailservers sieht der Zugriff legitim aus. Kein Passwort wurde erraten. Keine Login-Benachrichtigung wird ausgelöst. Das Session-Token ist gültig.

Der Angriff erfordert nicht das, worauf herkömmliche Phishing-Abwehrmechanismen ausgerichtet sind. Es gibt keine gefälschte Login-Seite. Es gibt keine verdächtige Weiterleitung. Die Credential-Ernte erfolgt unbemerkt im Hintergrund, während eine scheinbar normale E-Mail angezeigt wird. Das Opfer bemerkt nichts Ungewöhnliches. Diese Unsichtbarkeit macht XSS-basierte Credential-Diebstähle schwer über benutzerorientierte Kontrollen zu erkennen. Das Einspeisen von Authentifizierungsereignisprotokollen in SIEM-Plattformen, die Session-Cookie-Nutzung von neuen Geräte-Fingerprints oder unerwarteten Standorten markieren, ist der Erkennungsmechanismus, der Credential-Diebstahl im IceCube-Stil nachträglich sichtbar machen kann – auch wenn die XSS-Payload selbst unentdeckt blieb.

CVE-2025-49113: Serverseitige Deserialisierung und persistente Backdoors

CVE-2025-49113 wirkt auf Serverebene und nicht im Browser des Anwenders. Es handelt sich um eine Deserialisierungs-Schwachstelle im PHP-Code von Roundcube, die es einem Angreifer ermöglicht, durch eine speziell gestaltete Anfrage beliebigen PHP-Code auf dem Server auszuführen.

UNK_MassTraction wurde dabei beobachtet, zwei Payloads über diese Schwachstelle einzuschleusen. SquareShell ist eine PHP-Webshell, die dauerhafte serverseitige Befehlsausführung ermöglicht – der Roundcube-Server wird so zu einer fernsteuerbaren Ressource für den Angreifer. VShell ist eine Go-basierte Backdoor, die einen verdeckten Command-and-Control-Kanal zur Infrastruktur des Angreifers aufbaut.

Beide Payloads machen den Angriff zu etwas grundlegend anderem als einer E-Mail-Kompromittierung. Der Server beherbergt nun eine von Angreifern kontrollierte Backdoor, die Passwort-Resets überdauert, laterale Bewegungen im Universitätsnetzwerk ermöglicht und Zugriff auf Daten verschafft, die nie per E-Mail übertragen wurden.

Die Kombination beider Schwachstellen ist aus Sicht der Informationsbeschaffung logisch: CVE-2024-42009 verschafft Zugriff auf E-Mail-Inhalte und Zugangsdaten mit minimalem Fußabdruck auf dem Server – ideal für verdeckte Operationen. CVE-2025-49113 sorgt für dauerhafte Persistenz und Netzwerkzugang für weitergehende Ausnutzung. Zusammen verschaffen sie UNK_MassTraction umfassenden Zugriff: E-Mail-Inhalte, Zugangsdaten und eine dauerhafte Netzwerkpräsenz. Ein erfolgreicher Datenschutzverstoß über eine der beiden CVEs in einem CUI-verarbeitenden E-Mail-System löst Meldepflichten gemäß DFARS 252.204-7012 binnen 72 Stunden nach Entdeckung aus – der Compliance-Zeitpunkt beginnt mit der Entdeckung, nicht erst mit der Bestätigung der Exfiltration.

Warum selbst gehostetes Roundcube ein strukturelles Problem an Forschungseinrichtungen ist

Roundcube ist keine grundsätzlich fahrlässige Wahl. Es handelt sich um eine leistungsfähige, weit verbreitete Open-Source-Webmail-Anwendung. Das Problem liegt im Deployment- und Support-Modell, wie es an den meisten Forschungsuniversitäten üblich ist.

Selbst gehostetes Roundcube an einer Forschungseinrichtung bedeutet meist: Ein Server, der von einer IT-Abteilung mit begrenzten dedizierten Sicherheitsressourcen betreut wird, ein Patch-Zyklus, der von konkurrierenden operativen Prioritäten bestimmt wird, und keine dedizierte E-Mail-Sicherheitsinfrastruktur vor der Mailzustellung.

CVE-2024-42009 wurde 2024 veröffentlicht. CVE-2025-49113 trägt eine 2025er-Kennung. UNK_MassTraction nutzt beide Schwachstellen gegen Institutionen, die Mitte 2026 noch keine verfügbaren Patches eingespielt haben. Das ist kein Zero-Day-Szenario – es ist ein Patch-Management-Versagen in Umgebungen, in denen das Patchen von Drittanbieteranwendungen nicht immer höchste Priorität hat. Das ist eine Feststellung zur Ressourcensituation, kein Vorwurf an die Kompetenz. Universitäts-IT-Abteilungen sind für ein breites Dienstleistungsspektrum zuständig.

Über das Patch-Management hinaus fehlen selbst gehosteten Roundcube-Installationen an Forschungseinrichtungen meist mehrere Kontrollen, die in modernen Unternehmens-E-Mail-Umgebungen Standard sind:

• Inbound-E-Mail-Bedrohungsinspektion. Roundcube bietet keine integrierte Advanced Threat Protection (ATP), Data Loss Prevention (DLP) oder unternehmensgerechte AV-Scans im Inbound-Mail-Pipeline. E-Mails werden ohne Inhaltsprüfung direkt in die Postfächer zugestellt – bösartige JavaScript-Payloads werden so nicht vor Ausführung erkannt. Die gesamte Angriffskette von CVE-2024-42009 basiert darauf, dass die bösartige E-Mail das Postfach erreicht und in Roundcube angezeigt wird. Eine Inspektionsschicht vor der Zustellung unterbricht diese Kette am Einstiegspunkt.
• Manipulationssichere Audit-Logs. Forensische Untersuchungen nach einem Credential-Diebstahl erfordern zuverlässige, zentrale Protokolle zu Authentifizierung, Sitzungsaktivität und Postfachzugriff. Selbst gehostete Roundcube-Installationen leiten Anwendungsprotokolle oft nicht an ein zentrales, manipulationssicheres System weiter, was die Nachvollziehbarkeit erschwert und regulatorische Nachweise behindert.
• E-Mail-Verschlüsselung-Durchsetzung. Viele selbst gehostete Konfigurationen erzwingen TLS für eingehende Zustellungen nicht als strikte Richtlinie – das schafft Abfangrisiken für Kommunikationen mit sensiblen Forschungsdaten oder CUI.

Jede dieser Lücken ist auch ein NIST 800-171-Compliance-Verstoß. Institutionen mit ITAR-Pflichten für exportkontrollierte technische Daten in der Forschungskommunikation sind zusätzlich gefährdet – unverschlüsselte E-Mail-Zustellung oder unüberwachter Postfachzugriff auf verteidigungsrelevante technische Spezifikationen können als unautorisierter Export nach dem Arms Export Control Act gewertet werden.

Das versteckte CMMC-Compliance-Problem in dieser Kampagne

Viele Compliance-Beauftragte und IT-Sicherheitsteams an Universitäten haben diese Frage nicht präzise beantwortet: Verarbeitet diese Institution Controlled Unclassified Information in ihren E-Mail-Kommunikationen?

Für Physik-, Ingenieur- und Astrophysikabteilungen mit DoD-Forschungsförderung – das exakte Zielprofil von UNK_MassTraction – ist die Antwort fast immer ja. DoD-geförderte Forschungsprojekte umfassen regelmäßig CUI-Kategorien wie technische Spezifikationen mit Dual-Use- oder Exportkontrollbezug, Forschungsdaten zu nationalen Sicherheitsprogrammen und Kooperationen mit sicherheitsüberprüften Forschern an nationalen Laboren oder Rüstungsunternehmen. DFARS-Klauseln in Förderverträgen übertragen CMMC- und NIST 800-171-Pflichten auf die Empfängerinstitution – unabhängig vom akademischen Status.

CMMC 2.0-Compliance verlangt von Institutionen, die CUI verarbeiten, die Einhaltung von NIST 800-171 über 110 Kontrollen hinweg. Selbst gehostete Roundcube-Installationen in der für Forschungseinrichtungen typischen Konfiguration scheitern an mindestens drei NIST 800-171-Kontrollfamilien, die für die UNK_MassTraction-Kampagne direkt relevant sind:

• Control 3.14.1 – Flaw Remediation. Institutionen müssen Schwachstellen im Informationssystem zeitnah identifizieren, melden und beheben. Der Betrieb von Roundcube ohne eingespielte Patches für CVE-2024-42009 und CVE-2025-49113 erfüllt diese Kontrolle nicht. Das ist keine Bagatelle – es ist genau das Versäumnis, das UNK_MassTraction ausnutzt.
• Control 3.13.8 – Transmission Confidentiality. Organisationen müssen kryptografische Mechanismen einsetzen, um unautorisierte Offenlegung von CUI während der Übertragung zu verhindern. Wenn Roundcube kein TLS als strikte Richtlinie für alle CUI-Kommunikationen erzwingt, ist diese Kontrolle nicht erfüllt. AES-256-Verschlüsselung der E-Mail-Inhalte im ruhenden Zustand – nicht nur während der Übertragung – bietet eine zusätzliche Schutzschicht, die den Wert von Session-Cookie-Diebstahl selbst bei erfolgreichem Credential Harvesting begrenzt.
• Kontrollen 3.3.1 – 3.3.9 – Audit und Accountability. Das Framework verlangt die Erstellung und Aufbewahrung von Systemprotokollen, die Überwachung, Analyse, Untersuchung und Meldung unautorisierter Aktivitäten unterstützen. Eine selbst gehostete Roundcube-Installation ohne zentrale, manipulationssichere Protokollierung für Authentifizierungsereignisse, Sitzungszugriffe und E-Mail-Zustellungen kann diese Kontrollen nicht erfüllen.

CMMC Level 2 verlangt für Organisationen, die CUI im Rahmen von DoD-Verträgen und -Förderungen verarbeiten, eine Drittanbieterprüfung. Werden diese Kontrolllücken im Rahmen einer Prüfung nach einem Datenleck mit DoD-Forschungsdaten festgestellt, reichen die Folgen weit über die Incident Response hinaus. DFARS-Strafen können greifen. Eine Institution, die keine CMMC-Compliance nachweisen kann, riskiert den Verlust künftiger DoD-Forschungsförderung – ein finanziell schwerwiegender Einschnitt für Programme, deren Forschungsbudgets stark von Bundesmitteln abhängen. Die Anforderungen an das Supply Chain Risk Management erstrecken sich zudem auf Forschungspartner und Subunternehmer: Eine Institution, die CMMC-Compliance erreicht hat, aber weiterhin CUI per Roundcube mit nicht geprüften Partnern austauscht, trägt Drittparteienrisiken, die das eigene Compliance-Programm nicht abdecken kann.

Was eine gehärtete E-Mail-Plattform bietet, was selbst gehostetes Roundcube nicht leisten kann

Die Lücke zwischen einer selbst gehosteten Open-Source-Webmail-Installation und einer Compliance-fähigen E-Mail-Plattform ist keine Frage der Konfiguration, sondern der Architektur – insbesondere, ob die Plattform für den Einsatz in regulierten Umgebungen mit unabhängig prüfbarer Sicherheitslage konzipiert wurde.

Das Kiteworks Email Protection Gateway ist ein Inbound- und Outbound-E-Mail-Gateway für Organisationen mit hohen Compliance- und Sicherheitsanforderungen. Jede eingehende Nachricht wird vor Zustellung ins Postfach mit Antivirus, DLP und ATP gescannt.

Im UNK_MassTraction-Szenario ist das von besonderer praktischer Bedeutung: Der IceCube-Stealer wird über eine gezielt gestaltete E-Mail mit eingebettetem JavaScript eingeschleust, das CVE-2024-42009 beim Rendern in Roundcube ausnutzt. Ein E-Mail-Gateway, das eingehende Inhalte vor der Zustellung prüft – eingebettete Skripte und Nachrichtenstruktur auf bösartige Muster analysiert – erkennt und isoliert diese Payload, bevor sie das Postfach erreicht. Die Angriffskette von CVE-2024-42009 erfordert, dass die manipulierte E-Mail im Mailclient ankommt und gerendert wird; das EPG unterbricht diese Kette bei der Zustellung.

Über das Inbound-Scanning hinaus adressiert die Kiteworks-Plattform die spezifischen NIST 800-171-Kontrolllücken, die selbst gehostetes Roundcube verursacht:

• FedRAMP Moderate Authorization. Kiteworks besitzt die FedRAMP Moderate Authorization, d.h. die Sicherheitskontrollen der Plattform wurden unabhängig nach dem FedRAMP-Moderate-Baseline geprüft – dem erforderlichen Niveau für Cloud-Systeme, die Bundes-CUI verarbeiten. Für Universitäten, die DoD-CUI per E-Mail kommunizieren, bietet eine FedRAMP Moderate-zertifizierte Plattform unabhängig geprüfte, revisionssichere Compliance, die keine selbst gehostete Installation allein durch ein System Security Plan leisten kann.
• NIST 800-171-Kontrollabdeckung. Das Patch-Management erfolgt plattformseitig durch Kiteworks, sodass institutionelle IT-Teams nicht für die Aktualität der Anwendung sorgen müssen – das adressiert Control 3.14.1 direkt. TLS ist für alle Kommunikationen als Plattformstandard aktiviert. Alle E-Mail-Ereignisse werden in einem zentralen, manipulationssicheren System protokolliert, das die Audit- und Accountability-Anforderungen der Kontrollen 3.3.1 – 3.3.9 erfüllt. Granulare Zugriffskontrollen auf Gateway-Ebene stellen sicher, dass nur autorisierte Anwender mit verifizierter Identität auf CUI-Postfächer zugreifen können – eine Voraussetzung für die AC-Domain-Kontrollen von NIST 800-171, die selbst gehostetes Roundcube nicht ab Werk erfüllt.
• Zero trust architecture für Sitzungsmanagement. Session-Tokens werden kontinuierlich gegen Geräteidentität, Netzwerk-Kontext und Verhaltenssignale geprüft – nicht einfach bei Vorlage akzeptiert. Ein von IceCube auf einem anderen Gerät und Standort abgegriffenes Session-Cookie würde eine Challenge oder Invalidation auslösen, statt unkontrollierten Zugriff zu gewähren.

Für Institutionen im Defense Industrial Base – einschließlich Forschungsuniversitäten, die das nationale Sicherheitsnetzwerk mit Talenten und wissenschaftlichen Ergebnissen versorgen – darf E-Mail-Sicherheit nicht als Commodity-IT-Funktion betrachtet werden. Sie ist compliance-relevant und, wie diese Kampagne zeigt, ein aktives Ziel von Informationsbeschaffung.

Erfahren Sie mehr darüber, wie Kiteworks Forschungseinrichtungen mit verteidigungssensibler Kommunikation vor staatlichen Bedrohungen und CMMC-Compliance-Risiken schützt – vereinbaren Sie jetzt eine individuelle Demo.

Weitere Ressourcen

• Blog Post
  CMMC-Compliance für kleine Unternehmen: Herausforderungen und Lösungen
• Blog Post
  CMMC-Compliance-Leitfaden für DIB-Zulieferer
• Blog Post
  CMMC-Audit-Anforderungen: Was Prüfer sehen müssen, um Ihre CMMC-Bereitschaft zu bewerten
• Guide
  CMMC 2.0-Compliance-Mapping für die Kommunikation sensibler Inhalte
• Blog Post
  Die wahren Kosten der CMMC-Compliance: Was Verteidigungsauftragnehmer einplanen müssen