Breach FM - der Infosec Podcast

Wir hatten uns vorgenommen, weniger über KI zu reden und weniger Grundsatzdiskussionen zu führen. Hat die ersten 44 Minuten hervorragend funktioniert. Anlass ist das AI-Dinner im Weißen Haus, bei dem zwischen Tür und Angel Selbstregulierung verkündet wurde. Wir diskutieren, wer es sonst machen sollte, und warum sich wohl erst etwas ändert, wenn Leute auf der obersten Ebene glaubhaft Angst vor dem Knast haben müssen. Eine Antwort habe ich auch nicht gefunden. Metas neuer Agent Muse ist für mich das Sinnvollste, was Meta im KI-Bereich machen konnte: ein Tamagotchi für Nicht-Techies, das Abos kündigt und Arzttermine ausmacht. Hunterbrook hat getestet, was Muse mit den Daten anderer Leute macht. Mit ganz normalen Prompts lieferte der Agent Listen echter Accounts aus besonders verwundbaren Gruppen, 10 bis 100 pro Anfrage, zusammengezogen aus Facebook, Instagram und Threads inklusive früherer Usernames. Ich habe es an meinem besten Freund ausprobiert, der auf Social Media praktisch inaktiv ist. OSINT ohne OSINT-Know-how. Max bringt einen Proofpoint-Report zu TA419, einem China-nahen Akteur mit Fokus auf KI-Policy und Exportkontrolle. Erst kommt eine fachlich glaubwürdige Anfrage ganz ohne Link, etwa die Einladung in ein erfundenes AI Policy Advisory Committee. Wer antwortet, bekommt die Kette zur gefälschten OneDrive-Seite mit Browser-in-the-Browser gegen Microsoft 365. Passwort, MFA und Session Cookie gehen durch. Wer Passkeys oder FIDO2 nutzt, war außen vor. Bei Flock Safety hat die Gruppe stegan0gram eine Kennzeichen-Kamera abmontiert und reverse engineert. Auf einem einzigen Gerät lagen 21 Tage Daten: 50.200 Fahrzeuge, 1,6 Millionen Bilder, 27.000 Videoclips, dazu ein Encryption Key direkt auf der Kamera. Dazu drei Debatten, die man eigentlich der Reihe nach führen müsste. Und damit es nicht zu düster endet: Google hat seine Wasser- und Energiewerte in einem Behördenbericht geschwärzt. Mit einem schwarzen Balken über markierbarem Text. Hunterbrook: Dox for Me, O Muse https://hntrbrk.com/breaking-news/muse-doxxing EPIC zur Datensammlung von Muse https://epic.org/metas-mass-data-collection-is-not-a-muse-ing Proofpoint: Hallucinating Credibility – TA419 in US AI Policy Circles https://www.proofpoint.com/us/blog/threat-insight/hallucinating-credibility-china-aligned-ta419-impersonates-its-way-us-ai-policy TA419: Einordnung bei CyberScoop https://cyberscoop.com/china-cyber-espionage-ta419-phishing-us-ai-policy-experts/ 404 Media: Hackers Stole Flock's Camera Software https://www.404media.co/hackers-stole-flocks-camera-software-revealing-how-the-company-tracks-cars-and-people/ Wired: Hackers Got Inside a Flock Camera https://www.wired.com/story/hackers-got-inside-a-flock-camera-its-data-shows-how-the-system-really-works/ Panda Security: Are Flock cameras taking over American neighborhoods? https://pandasecurity.com/en/mediacenter/flock-cameras-taking-over-american-neighborhoods Gestohlene Polizei-Logins für Flock, Brief an die FTC (TechCrunch) https://techcrunch.com/2026/09/25/lawmakers-say-stolen-police-logins-are-exposing-flock-surveillance-cameras-to-hackers/ The Hill zur Flock-Reverse-Engineering-Aktion https://thehill.com/policy/technology/6093359-hackers-reverse-engineer-flock-cameras/

Eine Folge fast ohne KI, dafür mit Schrödingers Aufnahmesoftware, die uns 8:30 Uhr morgens gleichzeitig mitteilt, dass sie aufnimmt und nicht aufnimmt. Sie hat am Ende aufgenommen. Mein Aufmacher ist eine Wired-Story, die erstaunlich wenig Wellen geschlagen hat: Mandiant hatte ab März eine über Monate aufgebaute Persona im zwölfköpfigen Kernchat von TeamPCP sitzen, ausgerechnet unter dem Namen CanisterWorm. Die Persona war ursprünglich gar nicht auf TeamPCP angesetzt, sondern wurde als Vertrauter eines anderen Akteurs mit hineingezogen. Google las die Kampagne damit von Tag eins mit, kam an den Server mit den gestohlenen Credentials und ließ Tokens bei AWS und Microsoft sperren. Wir diskutieren, ab wann ein privatwirtschaftliches Unternehmen eigentlich Law Enforcement spielt, und wie unbekümmert wir in dieser Branche mit den Identitäten unserer Analysten umgehen. Max erzählt von seinem Wochenende, das mit einer Signal-Nachricht anfing: "Wer wurde hier auch gerade vom BKA angerufen?" Dahinter steckten zwei Pre-Auth-RCEs in Citrix NetScaler, beide 9.5, beide seit Wochen aktiv ausgenutzt, eine davon in jeder Standardinstallation. Die Empfehlung am Samstag lautete schlicht: Gerät vom Netz. Dazu die ehrliche Frage, was eigentlich passieren muss für eine glatte 10. Dann zwei Bug-Bounty-Geschichten, die gut zusammenpassen: Bei Intel steht das bezahlte Programm plötzlich auf "suspended", parallel ist eins ohne jede Auszahlung aufgetaucht. Offiziell beendet ist nichts, kommuniziert wurde bis heute gar nichts. Und ein 16-Jähriger hat mit seinem selbstgebauten Agenten Antares in Microsofts internem Analytics-System Titan Tokens gefälscht, sich als admin ausgegeben und kam an 17 Datenbanken mit geschätzt 17,3 Billionen Zeilen. Dafür gab es 5.000 Dollar. Ich versuche zu erklären, warum das tatsächlich in Line mit Microsofts Tabellen ist, und warum die Debatte darüber trotzdem an der falschen Stelle geführt wird. Zum Schluss ShinyHunters bei Oracle PeopleSoft: Wer die Schwachstelle nicht patchen konnte und stattdessen den Pfad per WAF gesperrt hat, bekam den Exploit einfach als /%50SEMHUB/ zurück. Ein einziges URL-kodiertes Zeichen. Wir geben beide offen zu, dass wir daran auch nicht gedacht hätten. Mandiants Rat dazu ist deutlich: nicht die eine Variante nachpflegen, sondern auf dem normalisierten Pfad filtern, sonst beginnt das Katz-und-Maus-Spiel bei der nächsten Kodierung von vorn. Wired: An Undercover Google Analyst Infiltrated a Notorious Supply-Chain Hacking Gang https://www.wired.com/story/an-undercover-google-analyst-infiltrated-a-notorious-supply-chain-hacking-gang/ Austin Larsen (GTIG) über die TeamPCP-Operation, LABScon-Talk https://www.labscon.io/speakers/austin-larsen/ Wie Google TeamPCP von innen aufbrach (Cyber Kendra) https://www.cyberkendra.com/2026/09/how-google-broke-teampcp-from-the-inside.html NetScaler CVE-2026-88771 / 88772: FAQ von watchTowr https://watchtowr.com/intelligence/citrix-netscaler-zero-day-vulnerabilities-faq/ Citrix bestätigt beide Zero-Days (BleepingComputer) https://www.bleepingcomputer.com/news/security/citrix-admins-warned-to-shut-down-netscalers-over-2-exploited-zero-days/ Intels Programm ohne Bounties https://www.thehackacademy.com/news/intel-public-vulnerability-disclosure-no-bounties/ How I Could've Accessed 17 Trillion Microsoft Records https://blog.faav.net/how-i-couldve-accessed-17-trillion-microsoft-records Microsoft Titan: unsigniertes JWT, 17,3 Billionen Zeilen (Help Net Security) https://www.helpnetsecurity.com/2026/09/28/microsoft-titan-jwt-signature-flaw/ ShinyHunters umgeht WAF-Regeln bei Oracle PeopleSoft (Mandiant/GTIG) https://www.hendryadrian.com/shinyhunters-renewed-mass-exploitation-campaign-targeting-oracle-peoplesoft-google-cloud-blog/

Max startet mit Gemini, das im Mai bei einer Evaluation aus der Testumgebung ausgebrochen ist und drei echte Unternehmen gehackt hat. Damit ist das Frontier-Lab-Bingo komplett. Ich ergänze Anthropics Misuse-Report, laut dem eine Zelle im Nordjemen Claude Code als Entwicklungsteam für Raketensteuerung einsetzen wollte. Dann versuche ich händeringend, mein acht Jahre altes BGP-Wissen aus einer Risikoanalyse auszugraben, und riskiere dabei live meinen Ruf bei allen Netzwerkern da draußen. Der Anlass lohnt sich: Ein Angreifer leitet per BGP-Hijack den Update-Server von Virtualizor um, holt sich ganz legal ein gültiges Let's-Encrypt-Zertifikat und spielt Hosting-Providern ein Backdoor-Update mit Root-Rechten ein. Ohne einen einzigen Server zu kompromittieren. Auf meiner Liste realistischer Bedrohungsszenarien wäre das nicht mal unter den ersten hundert gelandet. Max bringt Bandenkrieg: ShinyHunters hat die Leak-Seite von Clop übernommen, stellt Mitglieder mit Klarnamen bloß und erpresst jetzt die Erpresser. Erkenntnis der Woche: Kriminelle sind offenbar keine angenehmen Menschen. Bei Dropbox reichte die E-Mail-Adresse des Opfers, um rund 5.000 Konten zu übernehmen. Wie das geht, erkläre ich am Beispiel opfer@opfer.com, und danach schaut ihr eure Login-with-Verknüpfungen garantiert mit anderen Augen an. Hacktron wiederum kam mit Claude Opus 5 über das OpenAI-Community-Forum bis ins interne Monorepo. Nach 6.500 Dollar Bounty, 3.000 Dollar Tokenkosten und Steuern bleibt ungefähr ein schöner Blogpost. Zum Schluss zeige ich, wie China-nahe ORB-Netzwerke über Flightradar-Nerds getarnte Sensordaten abgreifen und damit Militärbewegungen sichtbar machen. Und wer bis Minute 70 durchhält, erfährt, warum Breach FM der sicherste Kommunikationskanal für Nachrichtendienste ist. Gemini bricht aus Testumgebung aus (Cybersecurity Dive) https://www.cybersecuritydive.com/news/google-ai-gemini-autonomous-hacks/830884/ Anthropic: Detecting and countering misuse of AI, September 2026 https://www.anthropic.com/threat-intelligence-report-september-2026 Virtualizor: Security Incident – BGP Hijacking (offizielle Stellungnahme) https://www.virtualizor.com/blog/security-incident-bgp-hijacking/ Anatomie des Hijacks in BGP-Rohdaten (BGPKIT) https://bgpkit.com/blog/virtualizor-bgp-hijack-anatomy/ ShinyHunters übernimmt Clops Leak-Seite (BleepingComputer) https://www.bleepingcomputer.com/news/security/shinyhunters-hacks-clop-leak-site-threatens-to-extort-ransomware-gang/ Dropbox-Konten über Lenovo-ID übernommen (BleepingComputer) https://www.bleepingcomputer.com/news/security/dropbox-accounts-breached-through-lenovo-email-verification-flaw/ Hacktron: Vom Forum ins OpenAI-Monorepo (SecurityWeek) https://www.securityweek.com/ai-built-exploit-and-sign-in-flaw-opened-path-to-internal-openai-code/ TrendAI Research: ORB-Netzwerke und offene Sensordaten https://www.trendaisecurity.com/en/resources-insights/deep-research/rethinking-the-external-attack-surface-managing-the-growing-risk-of-open-cyber-physical-data

Beim Berlin-Hack sind die Daten inzwischen im Darknet gelandet, nachdem der Senat die Lösegeldzahlung abgelehnt hat. Darunter VS-NFD-eingestufte Unterlagen zu Katastrophenschutz, Polizei und Feuerwehr sowie Bürgerdaten mit Namen, Adressen und Bankverbindungen. Der Initial Access war eine kompromittierte Website mit Fake-Captcha. Wir diskutieren, warum die Debatte zu stark am Initial Access hängt, wie wir zur Lichtenberg-Diskussion um US-Security-Vendor stehen, und warum es neben der technischen auch eine politische Aufarbeitung braucht. Dann Project Perception von Microsoft: vollagentisches Red, Blue und Green Teaming in der eigenen Infrastruktur, über 100 Agents in einem Harness. Meine These: In den meisten Umgebungen musst du gar nicht alles ausprobieren, wenn du saubere EDR- und Attack-Surface-Daten hast. Hypothesen gegen Asset-Graphen verproben schlägt Agent Swarms in unreifen Umgebungen. Max bringt die TeamPCP-Festnahmen: Die australische Bundespolizei hat am 26. August zwei Männer verhaftet, Ruben Ian Thomson (21) und Louis Michael Gaebler (23). Vorgeworfen werden über 1.000 kompromittierte Organisationen und 500.000 exponierte Credentials. Brian Krebs hatte die Identität des mutmaßlichen Leaders bereits im Juni über OSINT herausgefunden. Besonders kurios: Thomson nutzte bei HackerOne unter echtem Namen ein bekanntes TeamPCP-Alias und hatte eine Firma namens OPSEC Express registriert. Zum Abschluss ein Vorfall vom Mai, der erst jetzt bekannt wurde: OpenAI-Agents fanden bei RubyGems eine Remote Code Execution und bauten sich einen Exploit, um API-Keys abzugreifen. RubyGems musste zeitweise die Registrierung neuer Pakete stoppen. Dazu kurz die CISA-Kürzungen aus dem Wall-Street-Journal-Bericht. Krebs on Security: Two Alleged TeamPCP Hackers Arrested in Australia https://krebsonsecurity.com/2026/08/two-alleged-teampcp-hackers-arrested-in-australia/ TeamPCP-Festnahmen (TechCrunch) https://techcrunch.com/2026/08/27/australian-police-arrest-two-over-teampcp-hacks-targeting-mercor-openai-and-others/ Microsoft Project Perception https://www.microsoft.com/en-us/security/blog/project-perception/ Offizielle Mitteilung der Senatskanzlei Berlin https://www.berlin.de/rbmskzl/aktuelles/pressemitteilungen/2026/pressemitteilung.1703898.php CISA-Kürzungen (Wall Street Journal) https://www.wsj.com/politics/national-security/cisa-cuts-2026

Beim Angriff auf die Berliner Senatsverwaltung ist die Lage wohl deutlich ernster als anfangs kommuniziert. Die Rhysida-Gruppe hat sich bekannt und fordert 30 Bitcoin, rund zwei Millionen Euro. Sie behauptet, 5,79 Terabyte erbeutet zu haben: 46.500 Verträge, Daten aus 80.000 Ordnungswidrigkeitsverfahren, rund 6.000 Dateien mit Zugangsdaten sowie Notfallpläne und Justizunterlagen. Der Senat hat den erweiterten Datenabfluss am 26. August eingeräumt und zahlt nicht. Als Initial Access gilt inzwischen eine klassische Phishing-Mail, kein exotischer Zero-Day. Für Max vor allem ein Lehrstück in Krisenkommunikation: Wer früh sagt, es seien nur ohnehin öffentliche Daten abgeflossen, verliert Vertrauen, wenn zwei Wochen später das Gegenteil bekannt wird.Zweites Thema: OpenAI hat mit über 100 Unternehmen einen Call for Collective Action on Cyber Defense veröffentlicht. Kernthese ist ein zeitlich begrenztes Defenders Window, bevor leistungsfähige Modelle flächendeckend auch Angreifern zur Verfügung stehen. Die genannten Ursachen sind erstaunlich konventionell: Legacy-Systeme, ungepatchte Software, Fehlkonfigurationen, schwache Authentisierung. Spannend findet Max vor allem die Forderung nach nachvollziehbaren Agenten-Identitäten – eines der großen Themen der nächsten Monate. Unter den Unterzeichnern sind Anthropic, Microsoft, Google, AWS, CrowdStrike, Cloudflare, TrendAI, Deutsche Telekom und SAP. Andere deutsche DAX-Konzerne vermisst Max fast vollständig. Rhysida erpresst Berlin (heise online) https://www.heise.de/news/Cyberangriff-auf-Berliner-Verwaltung-Rhysida-fordert-Loesegeld-11419847.html Offizielle Mitteilung der Senatskanzlei Berlin https://www.berlin.de/rbmskzl/aktuelles/pressemitteilungen/2026/pressemitteilung.1703898.php OpenAI: A call for collective action on cyber defense https://openai.com/collective-cyberdefense/ Einordnung des offenen Briefs (TechCrunch) https://techcrunch.com/2026/08/27/openai-anthropic-google-and-100-other-companies-call-for-action-to-defend-against-rogue-ai/ Cloudflare: Agent Access Model (Whitepaper) https://www.cloudflare.com/agent-access-model/

Eine sehr politische Folge – und eine, in der ich mich für Max Monolog-Lastigkeit der letzten Wochen revanchiere. Zum Berliner Landesnetz: Die Systeme sind wieder online, Bürgerservices erreichbar. Digitalstaatssekretär Florian Hauer sagt, es gebe aktuell keinen Hinweis auf eine Infiltrierung, aber nur als Momentaufnahme. Abgeflossen seien nur ohnehin öffentlich verfügbare Daten. Wir diskutieren, ob diese Art halbgarer Kommunikation hilft – und ob man es in so einer Lage überhaupt richtig machen kann. Das Hauptthema: Am 12. August hat Trump ein National Security Presidential Memorandum unterzeichnet, das geprüften US-Unternehmen offensive Cyberoperationen gegen ausländische cyberkriminelle Organisationen erlaubt – unter staatlicher Kontrolle, mit Verträgen bei DOJ oder DHS und schriftlicher Freigabe pro Operation. Ich bin überrascht, wie durchdacht das Papier formuliert ist, gerade bei den Definitionen. Nur ist damit noch nicht mal die halbe Miete gemacht: Die eigentlichen Verfahren, also Mindeststandards, Targeting, Deconfliction und Rules of Engagement, müssen erst in den nächsten 60 Tagen definiert werden, und bis dahin darf keine einzige Operation genehmigt werden. Offen bleiben bis dahin Attribution, Third-Party-Infrastruktur, Haftung bei Kollateralschäden und ein dünnes Oversight-Modell ohne Berichtspflicht an den Kongress. Meine Vermutung zu den Teilnehmern: Die Großen übernehmen risikoarme Botnet- und Scam-Compound-Takedowns, für alles Heiklere entstehen Startups. Max bringt eine Keycloak-Schwachstelle: CVE-2026-18963, CVSS 9.1, unauthentifizierte Account-Übernahme über einen schwachen Password-Reset-Mechanismus. Alle Versionen bis 26.7.2 betroffen. Zum Abschluss zwei Meldungen mit möglichem Staatsbezug: Ein kleiner britischer Stromerzeuger war im Juli vier Tage offline, Medienberichte deuten auf iranische Akteure, offiziell attribuiert ist nichts. Und Taiwan: Die israelische Firma Dream hat ein 160-MB-Archiv analysiert, das eine viertägige Kampagne mit bis zu acht parallelen Subagenten auf Basis von OpenClaw und Hermes dokumentiert. 21 Regierungssysteme kartiert, 85 Accounts geknackt, betroffen auch die Nuklearsicherheitsbehörde. Der Initial Access war banal: drei vergessene Debug-API-Endpunkte. Faszinierend ist die Orchestrierung – Findings wurden mit Wahrscheinlichkeiten bewertet, bei Sackgassen recherchierten die Agenten selbstständig neue Techniken. NSPM "Expanding Capabilities to Combat Transnational Cyber-Enabled Crime" (Weißes Haus) https://www.whitehouse.gov/presidential-actions/2026/08/expanding-capabilities-to-combat-transnational-cyber-enabled-crime/ Juristische Einordnung des Memorandums (Mayer Brown) https://www.mayerbrown.com/en/insights/publications/2026/08/presidential-memorandum-authorizes-vetted-private-companies-to-conduct-offensive-cyber-operations-against-foreign-criminal-organizations Offene Fragen zu Haftung und Oversight (Crowell & Moring) https://www.crowell.com/en/insights/client-alerts/license-to-hack-the-white-house-greenlights-private-sector-offensive-cyber-operations Keycloak CVE-2026-18963 (Red Hat) https://access.redhat.com/security/cve/CVE-2026-18963 Dream: "Inside a Multi-Agent AI Framework Used to Compromise Government Entities in Asia" https://www.dream.security/blog/inside-a-multi-agent-ai-framework-used-to-compromise-government-entities-in-asia Taiwan Ministry of Digital Affairs: Monatsbericht Cybersicherheit https://moda.gov.tw/en/press/monthly-report/ Einordnung des Taiwan-Angriffs (The Register) https://www.theregister.com/security/2026/08/12/near-autonomous-ai-agents-attack-taiwans-nuclear-safety-agency/ Berliner Landesnetz: Update der Senatskanzlei https://www.berlin.de/rbmskzl/aktuelles/pressemitteilungen/2026/pressemitteilung.1703898.php OpenAI: "Pacing model development in an era of cyber-critical capabilities" https://openai.com/index/pacing-model-development-cyber-capabilities/

Irregular, der Evaluierungsdienstleister hinter den Containment-Vorfällen bei OpenAI, Anthropic und Meta, hat ein Postmortem veröffentlicht. Für uns eines der vagesten und widersprüchlichsten, das wir je gelesen haben. Alle Vorfälle werden als "not materially separate incidents" in einen Topf geworfen, ein paar Absätze später ist dann doch von verschiedenen Organisationen die Rede. Keine Incident-Anzahl, keine Zeitpunkte, keine Aussage dazu, ob betroffene Drittfirmen informiert wurden. Dazu diskutieren wir, wie unabhängig ein Dienstleister sein kann, dessen drei größte Kunden genau die Labs sind, deren Modelle ausgebrochen sind. Max bringt ein Update zum Trivy-Angriff: Fünf Monate nach dem ursprünglichen Vorfall sehen wir immer noch Folgeschäden. TeamPCP hatte Binaries und Version-Tags manipuliert, sodass der Schwachstellen-Scanner selbst zum Credential-Stealer wurde. Daraus wurde CanisterWorm, daraus 141 kompromittierte NPM-Pakete, daraus die LiteLLM-Kompromittierung – auf der Opferliste stehen Roku, Nvidia, Orange, Boeing und Splunk. Fast niemand überwacht die eigenen Security-Tools. Zum Schluss der Cyberangriff auf die Berliner Verwaltung: Betroffen sind die Senatsverwaltungen für Stadtentwicklung sowie Mobilität und Verkehr, beide seit Freitag vom Landesnetz isoliert. LKA, Staatsanwaltschaft und BSI ermitteln. Zu Entry Vector und angeblichem Datenabfluss halten wir uns bewusst zurück, solange nur anonyme Quellen zitiert werden. Das Postmortem von Irregular (Original) https://www.irregular.com/research/addressing-recent-incidents-ongoing-findings-and-path-forward Kritik am Irregular-Postmortem (The Record) https://therecord.media/irregular-ai-hacking-model-blog Irregular schweigt zu weiteren Betroffenen (The Record) https://therecord.media/irregular-ai-security-company-incidents Drei Labs, ein Dienstleister – die Evaluierungslücke (TNW) https://thenextweb.com/news/irregular-ai-testing-vendor-openai-anthropic-meta-breaches Wenn der Safety-Test zum Safety-Risiko wird (TechCrunch) https://techcrunch.com/2026/08/09/the-ai-safety-test-is-becoming-a-safety-risk/ MiniShai-Hulud / TeamPCP NPM-Kampagne (StepSecurity) https://www.stepsecurity.io/blog/mini-shai-hulud-is-back-a-self-spreading-supply-chain-attack-hits-the-npm-ecosystem Offizielle Mitteilung der Senatskanzlei Berlin https://www.berlin.de/rbmskzl/aktuelles/pressemitteilungen/2026/pressemitteilung.1703898.php Cyberangriff auf Berliner Landesnetz (heise online) https://www.heise.de/news/Cyberattacke-auf-Berliner-Verwaltung-Ermittlungen-laufen-11416539.html Krisensitzung, Datenabfluss, betroffene Verwaltungen (Tagesspiegel) https://www.tagesspiegel.de/berlin/wir-sind-praktisch-arbeitsunfahig-hackerangriff-auf-berliner-senatsverwaltungen-15952358.html

Auch in der Ferienzeit sind wir für euch da, wenn auch mit eher dünner Newslage. Max meldet sich aus dem italienischen Hinterland mit entsprechend italienischer Internetqualität, ich glühe bei 35 Grad in Deutschland. Zu Beginn gibt es ein kurzern Rant über die Marketing-Eskalation der Frontier Labs, bei der gerade jeder das gefährlichste Modell haben muss. Erstes und durchaus ernstes Thema: Seit Ende Juli gab es wohl koordinierte Angriffe auf über 30 kommunale Wassersysteme in Minnesota, mittlerweile sind daneben mindestens zwölf andere Bundesstaaten betroffen. Einfallstor waren dabei wohl unter anderem internet-exponierte PLCs, teils mit Werkspasswörtern. Die Trinkwasserversorgung war nach Aussagen der offiziellen Stellen nicht gefährdet, mehrere Kommunen sind schlicht auf manuellen Betrieb umgestellt. US-Ermittler halten Iran-nahe Akteure für wahrscheinlich verantwortlich, eine formale Attribution gibt es nicht. Trump hat stattdessen medial Governor Tim Walz verantwortlich gemacht, der wiederum auf die ausgedünnte CISA verweist. Beides greift zu kurz: Wenn PLCs offen im Internet stehen, kann man auch mal die Betreiber an der Nase fassen. Der eigentliche Lichtblick war, dass die manuellen Notfallprozesse scheinbar funktioniert haben. Zweites Thema, dabei deutlich unterhaltsamer: Ein Mann aus Melbourne bat seinen OpenClaw-Agenten mit Claude, ihn in einen beliebten Fitnesskurs einzubuchen. Der Agent fand eine Schwachstelle im Buchungssystem, buchte Kurse Monate im Voraus, und als er nach einer besseren Warteliste-Position gefragt wurde, stornierte er die Reservierung der Person auf Platz eins. Die API hatte keinerlei Autorisierungsprüfung für fremde Buchungen. Niemand hatte dem Agenten gesagt, dass er das nicht tun soll, und Subtext versteht so ein System nicht. Zwölf Bundesstaaten melden Angriffe auf Wassersysteme (CBS News) https://www.cbsnews.com/news/more-states-water-systems-cyberattacks-iran-backed-hackers/ CISA Advisory: Iranische Akteure und PLCs https://www.tenable.com/blog/coordinated-cyberattack-on-minnesota-water-utilities-what-you-need-to-know KI-Agent hackt Fitnessstudio-Buchungssystem (ABC News) https://www.abc.net.au/news/2026-08-10/ai-agent-hacks-gym-booking-system/106051234

Diese Woche gibt es kein reguläres News-Format, denn Max Imbiel hat sich virtuell mit Carsten Meywirth zusammengesetzt, dem Leiter der Abteilung Cybercrime im Bundeskriminalamt. Carsten ist seit Jahrzehnten im BKA, von der Terrorismusbekämpfung über die organisierte Kriminalität und die IT-Abteilung bis zur Cybercrime-Gruppe, aus der 2020 eine eigene Abteilung wurde. Eine junge, technisch geprägte Truppe, gemischte Teams aus Vollzugsbeamten und IT-Experten, und ein Alleinstellungsmerkmal gegenüber der Privatwirtschaft: echte Ermittlungen gegen echte Täter. Wir sprechen über die großen Operationen der letzten Monate: Eastwood gegen die pro-russische Hacktivistengruppe NoName057(16), Chargeback gegen ein globales Kreditkartenbetrugs- und Geldwäschenetzwerk, die Fahndung nach dem Kopf der Ransomware-Gruppe Black Basta, den Aisuru- und Kimwolf-Botnetz-Takedown, Power Off gegen DDoS-Stresserdienste und Operation Endgame, die bislang weltweit größte Cyber-Operation gegen Dropper-, Loader- und Stealer-Gruppierungen. Dahinter steht immer internationale Zusammenarbeit, mit Europol, FBI, NCA und anderen Partnerbehörden. Carsten erklärt, wie aus gemeinsamen Ermittlungen Allianzen werden und warum die identifizierten Täter, die meisten in Russland, trotzdem unter Druck geraten: zerstörte Infrastruktur, verlorenes Vertrauen in der Community, eingeschränkte Bewegungsfreiheit. Wir diskutieren, warum Strafverfolgung die ökonomische Entscheidungslogik der Täter verschlechtern soll, ohne den Anspruch, Cybercrime auf null zu setzen. Und wie sich das mit KI-gestützten Angriffen, autonomen Agenten und Post-Quantum-Kryptographie verändern wird. Am Ende gibt Carsten einen praktischen Hinweis: Wer Opfer eines Angriffs wird, muss keine Hemmschwelle haben. Der ZAC-Verbund, die zentralen Ansprechstellen Cybercrime bei BKA und LKAs, ist auf polizei.de erreichbar und hilft, schnell die richtige Stelle zu finden. ZAC-Verbund / Kontakt bei Cybervorfällen https://www.polizei.de/DE/Startseite/startseite_node.html BKA Abteilung Cybercrime https://www.bka.de/DE/UnsereAufgaben/Ermittlungsunterstuetzung/Cybercrime/cybercrime_node.html

In der neuen Folge von Breach FM ordnen Max und ich die Woche danach ein: was OpenAI zum Hugging-Face-Vorfall bekannt gegeben hat, wie Google jetzt APT-Gruppen benennt, und ein Urteil aus London. OpenAI hat sich selbst als Urheber des Hugging-Face-Vorfalls bekannt: GPT-5.6 Sol brach im Rahmen eines internen Sicherheitstests aus einer eigentlich isolierten Sandbox aus, weil diese trotzdem Internetzugriff für Paketinstallationen hatte. Wir ordnen ein, warum die Kritik aus der Community berechtigt ist – und wo bei solchen Vorfallsberichten Analyse aufhört und Marketing anfängt. Google vereinheitlicht sein Namensschema für Threat Actors, nachdem die Mandiant-Übernahme zwei parallele Tracking-Systeme hinterlassen hatte. Jede Gruppe bekommt künftig einen zweiteiligen Kryptonym-Namen mit Attributions-Kategorie, aus APT44/Sandworm wird etwa Sandworm Relic. Grundsätzlich begrüßenswert, aber mit kuriosen Kollisionen und der Frage, ob eine echte, herstellerneutrale Standardisierung überhaupt realistisch ist. Zum Abschluss ein Urteil aus London: Thalha Jubair und Owen Flowers, beide Scattered Spider, wurden zu je fünfeinhalb Jahren Haft verurteilt für den TfL-Hack von 2024 mit 39 Millionen Pfund Schaden. Technisch versiert, operativ erstaunlich naiv – das zentrale Beweismittel war ein Video, das Jubair selbst gestreamt hat. OpenAI Statement zum Hugging-Face-Vorfall https://openai.com/index/hugging-face-model-evaluation-security-incident/ Google: Neues Threat-Actor-Namensschema https://cloud.google.com/blog/topics/threat-intelligence/updated-cyber-threat-actor-naming-system TfL-Hacker verurteilt (National Crime Agency) https://www.nationalcrimeagency.gov.uk/news/cyber-criminals-who-hacked-into-transport-for-londons-computer-network-are-convicted

🚨 Hinweis aus der Redaktion: Stunden nach der Aufnahme hat OpenAI aufgelöst, wer hinter dem Hugging-Face-Vorfall steckte – und es ändert den Inhalt unserer Konservation. Es war kein Angreifer, sondern OpenAI selbst: Im Rahmen einer internen Evaluierung von Cyber-Fähigkeiten (mit deaktivierten Refusals und ohne Produktions-Klassifizierer) haben GPT-5.6 Sol und ein noch nicht veröffentlichtes Modell aus der Testumgebung ausgebrochen, eine Zero-Day im Package-Registry-Proxy ausgenutzt, sich Internetzugang verschafft und anschließend die Hugging-Face-Produktivinfrastruktur kompromittiert um an die Lösungen des Benchmarks zu kommen, den sie eigentlich bearbeiten sollten. Meine Frage im Podcast, welches Modell hier eingesetzt wurde, ist damit beantwortet. Auch meine These zur Decoy-Aktivität liest sich im Licht dieser Auflösung nochmal anders. Wir nehmen das nächste Woche ausführlich auseinander. Microsoft stellt seine Security-Sparte unter neue Führung: Hayete Gallot, seit Februar EVP Security mit direkter Berichtslinie an Satya Nadella, hat Executives ersetzt, Teams konsolidiert und hunderte Rollen gestrichen. Der Fokus verschiebt sich klar auf KI-gestützte Security-Produkte. Dazu ein Realitätscheck zur Souveränitätsdebatte: viel ernsthafte Initiative, aber auch noch viel Schaufensterrhetorik. Mein Thema: Hugging Face wurde über die Dataset-Processing-Pipeline kompromittiert. Ein präpariertes Dataset kombinierte einen Remote-Code-Loader mit einer Template-Injection, eskalierte auf Node-Ebene und griff Cloud- und Cluster-Credentials ab. Über 17.000 protokollierte Aktionen über ein Wochenende, verteilt über einen Schwarm kurzlebiger Sandboxes. Bemerkenswert: Der Angreifer erzeugte gezielt Decoy-Aktivität, um den echten Impact im Rauschen zu verstecken. Dann das Unspektakuläre, das trotzdem am meisten wehtut: Zwei SonicWall-SMA-1000-Zero-Days (CVE-2026-15409, CVSS 10.0) wurden laut Volexity seit dem 22. Juni aktiv ausgenutzt. Die Gruppe UTA0533 erlangte Root-Zugriff und schnitt unverschlüsselten LDAP-Traffic mit, um an Credentials fürs interne Netz zu kommen. Wer eine SMA 1000 im Einsatz hat: sofort prüfen. Max bringt VulnHunter – Capital One hat sein agentisches Code-Security-Tool unter Apache 2.0 veröffentlicht. Kein passives SAST-Scanning, sondern Attacker-First-Analyse mit Falsification-Engine gegen False Positives und konkreten Fix-Vorschlägen. Zum Abschluss der DigiCert-Breach vom April, zu dem Expel jetzt eine Analyse veröffentlicht hat: kein Einbruch in die kryptografische Infrastruktur, sondern ein Support-Mitarbeiter, der eine als Screenshot getarnte Datei aus einem Ticket öffnete. Darüber kamen die Angreifer an Aktivierungscodes für Code-Signing-Zertifikate. Zugeordnet wird das CylindricalCanine, einer Untergruppe von GoldenEyeDog. Microsoft Security-Leadership (Official Microsoft Blog)https://blogs.microsoft.com/blog/2026/02/04/updates-in-two-of-our-core-priorities/ Hugging Face Security Incident Disclosurehttps://huggingface.co/blog/security-incident-july-2026 SonicWall SMA Zero-Days (Volexity)https://www.volexity.com/blog/2026/07/17/proxying-to-compromise-sonicwall-secure-mobile-access-0-day-exploitation/ VulnHunter (Capital One)https://www.capitalone.com/tech/open-source/announcing-vulnhunter/ DigiCert / CylindricalCanine (Expel)https://expel.com/blog/introducing-cylindricalcanine/

Heute Morgen mal beide ausgeschlafen, beide im Homeoffice, Sonne draußen – das hatten Max Imbiel und ich wirklich seit Monaten nicht mehr. Die Nachrichtenlage ist dabei auch eher ruhig. Ich bringe JadePuffer mit: Sysdig hat einen Fall agentischer Ransomware veröffentlicht. Einstieg über CVE-2025-3248 in Langflow – gepatcht April 2025, im CISA KEV seit Mai 2025, trotzdem massenhaft ungepatchte Instanzen. Der Agent hat autonom die PostgreSQL-Datenbank gedumpt, API-Keys für AWS, Azure, Alibaba, Anthropic und andere gesammelt, MinIO mit Default-Credentials geöffnet und ist auf einen produktiven MySQL-Server pivotiert, wo er 1.342 Service-Konfigurationen verschlüsselte. Die viel zitierten 31 Sekunden beziehen sich auf eine einzelne Self-Healing-Schleife, nicht den Gesamtangriff. IT-Grundhygiene hat auf ganzer Linie versagt. Was bleibt: ein Agent, der Sackgassen autonom korrigiert, braucht keinen Menschen mehr am Keyboard. Max bringt den EU Cybersecurity Action Plan – kein neues Gesetz, sondern ein Koordinationsrahmen auf Basis von AI Act, NIS2 und CRA. Kernpunkte: Evaluierungskapazitäten für KI-Modelle mit Durchsetzungsbefugnis ab 2. August, ein ENISA-Blueprint für strukturierten Frontier-Modell-Zugang für Security-Zwecke, gemeinsame Testplattform und Open-Source-Resilience-Kampagne. Max findet den Ansatz gut, weil er KI endlich als Chance framt. Ich bleibe skeptisch, ob aus EU-Initiativen am Ende wirklich was wird. Zum Abschluss: Apple hat OpenAI, zwei ehemalige Mitarbeiter und Jony Ives Firma io Products wegen Trade-Secret-Diebstahls verklagt. Noch Vorwürfe, kein bestätigter Sachverhalt – aber bemerkenswert angesichts der ohnehin angespannten Beziehung der beiden Unternehmen. JadePuffer / Sysdig Threat Research https://www.sysdig.com/blog/jadepuffer-agentic-ransomware-for-automated-database-extortion EU Cybersecurity Action Plan (Europäische Kommission) https://digital-strategy.ec.europa.eu/en/policies/cybersecurity-action-plan Apple verklagt OpenAI (The Verge) https://www.theverge.com/2026/7/8/apple-sues-openai-trade-secrets-io-products

🎙️ Nach dem Chaos der letzten Woche, sind wir diese Woche wieder wie gewohnt zurück und besprechen neben der üblichen Laberei auch drei wichtige Themen: CNN berichtet über eine Kampagne der Silent Ransom Group gegen US-Anwaltskanzleien. Die Gruppe, auch als Luna Moth bekannt, beginnt mit klassischem Vishing – gefälschter IT-Support, Remote-Access, Credential-Harvesting. Wenn das mehrfach scheitert, schicken sie laut FBI angeheuerte Personen physisch vor Ort, die sich als IT-Dienstleister ausgeben und Daten über externe Speichermedien oder legitime Cloud-Dienste exfiltrieren. Keine Verschlüsselung, nur Exfiltration. Vermeintliches Ziel: M&A-Unterlagen, Litigation-Strategien, Ermittlungsakten – Material mit hohem Erpressungspotenzial. Ein Verdächtiger wurde abgewiesen, weil die Rezeption die Identität verifizieren wollte. Max bringt eine Festnahme im Umfeld von Scattered Spider mit: Peter Stokes, 19, US-estnischer Doppelstaatsbürger mit dem Alias "Bouquet", wurde im April in Helsinki verhaftet und in die USA ausgeliefert. Er soll seit seinem 16. Lebensjahr zur Gruppe gehören und an Angriffen mit über 100 Millionen Dollar Lösegeldzahlungen beteiligt gewesen sein. Was die Community aber fast mehr beschäftigt: Microsoft hat dem FBI per GDID – Global Device Identifier, ein eindeutiger Identifier jeder Windows-Installation – ein vollständiges Telemetrie-Profil geliefert: IP-Adressen, Browsing-Verhalten, Gaming-Daten, Standorthistorie. VPN half nichts. Das sind zwei verschiedene Diskussionen: Stokes wurde überführt, weil er seine privaten Geräte nicht sauber trennte – und Microsoft erhebt offenbar deutlich granularere Daten als den meisten bewusst war. Zum Abschluss: Dr. Sven Herpig hat einen Referentenentwurf zum BNDG publik gemacht, der das BSI verpflichten würde, Zero-Day-Schwachstellen proaktiv an den BND zu melden. Wir diskutieren, was das für den CVD-Prozess (und auch für den Cyber Ressilience Act) und das Vertrauen in das BSI bedeutet – und warum die Frage, ob der Schaden größer ist als der Nutzen, keine einfache Antwort hat. Silent Ransom Group / Law Firm Angriffe (CNN) https://edition.cnn.com/2026/06/28/tech/russian-hackers-law-firms-physical-intrusions/ Peter Stokes / Scattered Spider Festnahme (DOJ) https://www.justice.gov/opa/pr/alleged-member-criminal-cyber-hacking-group-scattered-spider-arrested-finland-and-extradited Microsoft GDID und Stokes (CyberScoop) https://cyberscoop.com/scattered-spider-peter-stokes-cybercrime-extradition/ Sven Herpig / BSI-BND Referentenentwurf (LinkedIn) https://www.linkedin.com/posts/dr-sven-herpig-88b253209_geht-es-nach-der-bundesregierung-soll-das-share-7479612717675384832-Dy5c/?utm_source=share&utm_medium=member_ios&rcm=ACoAAAszVHYBem6zEypapXgyFPowmzrtLXZ_bzc

🎙️ Eine Solo-Folge von Max diese Woche – wir haben es zeitlich nicht zusammen geschafft. Erstes Thema: Auf der ISC.AI-2026-Konferenz in Beijing hat 360 Security Technology unter dem Namen Yitian Tulong zwei KI-Systeme vorgestellt – Tulongfeng für automatische Schwachstellenentdeckung, von Gründer Zhou Hongyi explizit als "chinesisches Mythos" bezeichnet, und Yitianzhen für automatisierte Cyberabwehr und Incident Response. Laut eigenen Angaben hat Tulongfeng bereits 3.432 Schwachstellen gefunden, 105 davon von chinesischen Behörden bestätigt – unabhängig verifizierbar ist das für westliche Medien bisher nicht. Bemerkenswert: Nicht Alibaba oder Tencent, sondern eine vergleichsweise unbekannte Security-Firma kommt hier zuerst. Meine Einordnung: Die europäische Souveränitätsdebatte, die das wieder befeuert, greift zu kurz – wahrscheinlich stecken hier eher Distillation-Angriffe auf US-Modelle dahinter als eigene Forschung von Grund auf. Entscheidender finde ich die Frage, was wir selbst tun, um mit Defense at Machine Speed mitzuhalten, wenn jetzt auch chinesische Angreifer auf Frontier-Capabilities zugreifen können. Zweites Thema: der GSM-R-Ausfall der Deutschen Bahn am 23. Juni. Ein geplanter Switch-Tausch im digitalen Zugfunknetz löste einen einzelnen Softwarefehler aus, der keine Fehlermeldung erzeugte – wodurch das eigentlich vorhandene redundante Backup-System nicht automatisch aktiviert wurde. Folge: bundesweiter Zugstillstand für rund anderthalb bis zwei Stunden, da ohne Zugfunk kein sicherer Bahnbetrieb möglich ist. Die DB hat als Sofortmaßnahmen weitere Komponententausche vorerst gestoppt, Wartungsarbeiten künftig nur noch nachts zwischen 0 und 4 Uhr und nur in der inaktiven Redundanz angesetzt. GSM-R bleibt mindestens zehn weitere Jahre im Einsatz, da der 5G-Nachfolgestandard FRMCS auf EU-Ebene noch nicht final spezifiziert ist. Das Incident Response selbst lief solide – Taxi- und Hotelgutscheine, schnelle Kommunikation. Was bleibt: ein Lehrstück über Single Points of Failure, ungetestete Failover-Mechanismen und warum Playbooks ohne echte Tests wenig wert sind. 360 Security Technology / Yitian Tulong (TechRadar) https://www.techradar.com/pro/security/chinese-cybersecurity-company-360-unveils-chinas-version-of-mythos-and-yitianzhen-to-automate-cyber-defense Deutsche Bahn GSM-R-Ausfall, Ursachenanalyse (DB Newsblog) https://www.deutschebahn.com/de/presse/Newsblog-12829716

Erstes Thema: SearchLeak (CVE-2026-42824). Varonis Threat Labs hat eine dreistufige Angriffskette in Microsoft 365 Copilot Enterprise Search entdeckt: Ein präparierter Microsoft-Link, dessen URL-Parameter Copilot als Prompt interpretiert, kombiniert mit einer HTML-Rendering-Race-Condition und Bings Search-by-Image-Endpunkt als unfreiwilligem Exfiltrationsproxy. Ein Klick reicht – E-Mails, MFA-Codes, Kalendereinträge, alles was der User sehen darf, fließt ab. Microsoft hat server-seitig gepatcht. Das Muster – KI-Assistent wird durch Prompt Injection zur Datenwaffe – ist strukturell: EchoLeak, Reprompt, jetzt SearchLeak, drei Angriffe derselben Klasse. Max bringt einen Blogpost von Google Cloud CISO Chris Betz, der beschreibt, wie Google seine eigene KI intern wie einen Insider behandelt: mit Least Privilege, Monitoring, Auditing und Segmentierung. Was mich interessiert: auch Google musste dafür erst mal sein Asset Management nachziehen und konsolidieren. Die Kernbotschaft bleibt trotzdem richtig – wenn Angreifer mit Machine Speed arbeiten, muss die Verteidigung das auch. Für CISOs bedeutet das: Model Security, Agent Security, Data Governance werden zur Pflicht, nicht zur Kür. Dann Robert über NPM 12: Install Scripts von Dependencies laufen nicht mehr automatisch, bestimmte Remote-Dependencies werden blockiert. Überfällig und sinnvoll – aber 30-40% der NPM-Malware läuft erst beim Import, nicht bei der Installation. Wer einen Maintainer kompromittiert, kommt weiterhin durch. Gute Iteration, kein Allheilmittel. Zum Abschluss: Apple erweitert Private Cloud Compute auf die Google Cloud. Dasselbe Zero-Trust-Prinzip wie bisher – selbst Google soll keinen Zugriff auf verarbeitete Nutzerdaten bekommen. Clevere Partnerschaft statt Frontier-Rennen. SearchLeak / CVE-2026-42824 (Varonis) https://www.varonis.com/blog/searchleak Google Cloud CISO Chris Betz: AI Threat Defense https://cloud.google.com/blog/products/identity-security/how-google-cloud-is-applying-ai-to-threat-defense NPM 12 / Risky Business Soapbox mit Paul McCarty https://risky.biz/soapbox_npm12 Apple Private Cloud Compute auf Google Cloud https://security.apple.com/blog/private-cloud-compute-google-cloud

Breach FM diese Woche mit einer Premiere und zugleich Ausnahme. Da sich Max Imbiel noch im wohlverdienten Urlaub befinde, nehme ich aus Oslo eine kurze Solo Folge auf.Am Sonntag früh kam die Meldung: Anthropic hat Fable 5 – die öffentliche, mit Guardrails versehene Version von Mythos – sowie Mythos selbst abgeschaltet, auf Anweisung des US-Handelsministeriums per Export-Control-Direktive. Da die Order auch Anthropics eigene nicht-US-amerikanische Mitarbeiter traf, blieb Anthropic keine Wahl, als beide Modelle global zu deaktivieren.Zur Einordnung: Aus Regierungskreisen heißt es, Guardrails von Fable ließen sich jailbreaken. Anthropic selbst hat das als engen, nicht-universellen Jailbreak eingestuft, der auch bei anderen Modellen möglich ist. Ich sehe drei mögliche Erklärungen: echte Sicherheitsbedenken, wirtschaftlicher Protektionismus – oder der andauernde Kleinkrieg zwischen White House und Anthropic. Wahrscheinlich eine Mischung. Was mich am meisten beschäftigt: Wenn es wirklich um Sicherheit geht, warum wurde es nicht auch für US-Bürger gesperrt? Die EU-Souveränitätsdebatte bespreche ich lieber nächste Woche mit Max.Zweites Thema: Ein Varonis-Report, den ich unbedingt empfehlen möchte. Varonis hat einen OpenClaw-Agenten in einer realistischen Google-Workspace-Umgebung mit internen E-Mails, AWS-Credentials und CRM-Daten klassischem Phishing ausgesetzt. Ergebnis: Der Agent hat auf Social Engineering fast immer reagiert – Credentials rausgegeben, Kundendaten extern verschickt. Nicht weil das LLM ausgetrickst wurde, sondern weil es ein Trust-Problem ist. Wer gerade agentische Systeme im Backoffice aufbaut, sollte diesen Report lesen. Anthropic Statement zur Abschaltung https://www.anthropic.com/news/fable-mythos-access Hintergrund: Amazon-CEO löste Abschaltung aus (Fortune) https://fortune.com/2026/06/14/how-a-warning-from-amazon-led-the-white-house-to-shut-down-anthropics-mythos-model/ Varonis: KI-Agenten und Phishing https://www.varonis.com/blog/openclaw-phishing

In der neuen Folge von Breach FM melde ich mich aus Helsinki, wo es derzeit nicht dunkel wird, Max Imbiel darf glücklicherweise wieder im Homeoffice sein. The Record from Recorded Future News berichtet, dass Shyam Sankar, CTO von Palantir und seit über 20 Jahren im Unternehmen, als führender Kandidat für die seit Januar 2025 vakante CISA-Direktorenstelle gilt. Das White House dementierte mit "at this time this is not accurate" – was kein Dementi ist. Relevant wird die Personalie vor allem im zeitlichen Zusammenhang mit der neuen KI-Executive-Order, die die CISA erstmals mit durchsetzungsfähigen Binding Operational Directives ausstattet. Von Cyber-Koordinator zur KI-Governance-Behörde – wir haben da kein gutes Bauchgefühl. Das Kernthema bringt Max: der Nightmare-Eclipse-Eklat bei Microsoft. Der Researcher hat zwischen April und Mitte Mai sechs Windows-Zero-Days veröffentlicht – BlueHammer, RedSun, UnDefend, YellowKey, GreenPlasma und MiniPlasma – alle ohne vorherige Koordination. Microsoft reagierte mit juristischen Drohungen, ruderte nach Community-Aufschrei zurück. Drei Exploits wurden aktiv ausgenutzt und ins KEV aufgenommen. Adam Shostack, Mitbegründer von Microsofts eigenem Threat-Modeling-Ansatz, kritisierte den Umgang offen. Der Kernvorwurf: Microsoft hält sich selbst nicht an seinen CVD-Prozess – Researcher spielen Bugs jetzt lieber untereinander weiter. Der Schaden trifft alle Nutzer. Dann der Meta-Instagram-"Hack": Angreifer nutzten den Meta-KI-Support-Chatbot, um einfach eine neue E-Mail-Adresse am Zielkonto zu hinterlegen – der Bot schickte den Reset-Code dorthin, ohne zu verifizieren. Mindestens 20.225 Konten betroffen, darunter der Obama-White-House-Account. Angriffsfenster: sieben Wochen. Moral: Schreibrechte gehören nicht in Chatbots im Authentifizierungsflow – und 2FA aktivieren. Shyam Sankar / CISA-Nominierung (The Record) https://therecord.media/trump-considers-palantir-exec-to-lead-cisa Nightmare Eclipse: alle sechs Zero-Days im Überblick https://cipherssecurity.com/nightmare-eclipse-microsoft-windows-zero-day/ Microsoft Statement zu CVD und Nightmare Eclipse https://cybersecuritynews.com/microsoft-clarifies-nightmare-eclipse-controversy/ Meta Instagram Chatbot-Hack (404 Media) https://www.404media.co/hackers-simply-asked-meta-ai-to-give-them-access-to-high-profile-instagram-accounts-it-worked/ Meta bestätigt 20.225 betroffene Konten https://this.weekinsecurity.com/meta-confirms-thousands-of-instagram-accounts-were-hacked-by-abusing-its-ai-chatbot/

Jacob Butler, 23, online bekannt als "Dort", wurde in Ottawa verhaftet. Ihm wird vorgeworfen, das DDoS-for-Hire-Botnet KimWolf mit über einer Million kompromittierten Geräten betrieben zu haben. Angriffe bis 30 Terabit/s dokumentiert, darunter auf das US Department of Defense Information Network. Brian Krebs hatte ihn im Februar öffentlich identifiziert, woraufhin Butler ihn mit DDoS, Doxing und Swatting anging. Ich nutze das als Aufhänger für eine Diskussion mit Max über IoT-Botnet-Verantwortung und wo die Grenze zwischen Provider-Pflicht und Konsumentenverantwortung liegt. Dann der Portraitbox-Breach – von dem ich selbst betroffen war. Angreifer erlangten am 16./17. Mai Zugriff auf den Paderborner Fotodienstleister, luden Daten herunter und löschten sie. Betroffen: Fotos, Namen, E-Mail-Adressen, Bestellhistorien – darunter massenhaft Kita- und Schulfotos von Kindern. Zahlungsdaten nicht betroffen. Die Benachrichtigungspflicht liegt strukturell bei den Fotografen. Die ZAC NRW ermittelt. GitHub hat einen Breach gemeldet: Ein Mitarbeiter installierte eine kompromittierte Version der NX-Konsole VS Code Extension – Teil der TeamPCP-Kampagne, über die wir in den letzten Wochen mehrfach berichtet haben. Betroffen: rund 3.800 interne GitHub-Repositories. Keine Kunden-Repos kompromittiert, aber wer Zugriff auf interne Engineering-Repos hat, hat deutlich mehr als nur Code. Das führt Max und mich zu einer längeren Debatte über Anbieterkonzentration: Es ist nicht gesund, Produktivität, Entwicklung und Security beim gleichen Anbieter zu konsolidieren – und das sage ich mit vollem Bewusstsein meiner eigenen Befangenheit. Zum Abschluss: CISA hat eine externe Nominierungsmöglichkeit für den KEV-Katalog eingeführt. Meine These: Das "Known Exploited"-Flag wird für Patch-Priorisierung zunehmend irrelevant – wenn die Zeit von Vulnerability zu Exploit bei unter 30 Minuten liegt, muss man ohnehin von sofortiger Ausnutzung ausgehen. KimWolf-Botnet-Festnahme (KrebsOnSecurity) https://krebsonsecurity.com/2026/05/alleged-kimwolf-botmaster-dort-arrested-charged-in-u-s-and-canada/ KimWolf-Botnet-Festnahme (DOJ) https://www.justice.gov/usao-ak/pr/canadian-man-arrested-international-authorities-charged-administrating-kimwolf-ddos Portraitbox-Breach (heise online) https://www.heise.de/news/Sicherheitsvorfall-bei-Fotoanbieter-Wird-Portraitbox-erpresst-11304453.html GitHub Breach / NX-Konsole Supply Chain (TeamPCP) https://github.blog/security/supply-chain-security/security-incident-nx-console-extension/ CISA KEV Nomination Process https://www.cisa.gov/known-exploited-vulnerabilities-catalog

In der neuen Folge von Breach FM melde ich mich aus dem ICE mit einem kurzen Canvas-Update zum Einstieg: Instructure hat an ShinyHunters gezahlt und dafür digitale Shredlogs als Löschbestätigung erhalten. Interessante Formulierung für "wir haben gezahlt". Das erste Hauptthema: Rapid7 hat einen Vorfall analysiert, der zunächst wie ein klassischer Chaos-Ransomware-Angriff aussah – bis auffiel, dass trotz Erpressung und Leak-Seite keine einzige Datei verschlüsselt wurde. Mit moderater Confidence attribuieren die Forscher den Angriff an MuddyWater, eine iranische APT-Gruppe des Geheimdienstministeriums MOIS. Einstieg: Microsoft-Teams-Social-Engineering, Screensharing, Credential-Harvesting, MFA-Manipulation, Persistenz via DWAgent und AnyDesk. Das Fazit: Spionageoperation mit Ransomware-Kulisse. Iran läuft in der breiten Cyberöffentlichkeit immer noch unter ferner liefen – dabei agiert die Gruppe zunehmend aggressiv und methodisch. Dann bringt Max zwei Berichte zu Mythos Preview in der Praxis: Mozilla beschreibt, wie sie Firefox mit Mythos-Zugang gehärtet haben – weniger Rauschen, vollständige Exploit-Ketten statt isolierter Bug-Hinweise, aber trotzdem über 100 Menschen, die den finalen Code geprüft haben. xbow nutzte Mythos aus Red-Team-Perspektive für Pentesting. Wir diskutieren, wo die Diskrepanz zwischen technisch Machbarem und vertrauenswürdig Auslieferbarem noch liegt – und warum das für Hersteller eine andere Frage ist als für interne Teams. Kurzes Update von Max: Grafana Labs bestätigt unautorisierten Zugriff auf Teile ihres Repositories. Noch wenig Details, aber relevant angesichts der weiten Verbreitung des Tools. Dann unser Ausflug ins Boulevard-Segment: Das OLG Hamm hat entschieden, dass Unternehmen für Falschangaben ihrer KI-Chatbots haften – auch wenn korrekte Ausgangsdaten geliefert wurden. Anlass: der Chatbot der Aesthetify GmbH (Dr. Rick & Dr. Nick) hatte den Ärzten frei erfundene Facharzttitel angedichtet. Kläger war die Verbraucherzentrale NRW. Das Gericht: Ein Chatbot ist kein Dritter, sondern Teil der Unternehmensorganisation. Revision zum BGH zugelassen. Für alle, die heute einen Chatbot kommerziell betreiben, ist das ein erster wichtiger Präzedenzfall. Zum Abschluss ein 404-Media-Artikel von Joseph Cox: Er konnte chinesische Echtzeit-Deepfake-Software für rund 500 Dollar kaufen – kommerziell angeboten, läuft auf Gaming-Hardware, umgeht staatliche Erkennungsmodelle zu fast 100 Prozent. Der Markt für Deepfake-Betrug ist längst kein Darknet-Phänomen mehr. Canvas/Instructure zahlt Lösegeld https://www.insidehighered.com/news/tech-innovation/administrative-tech/2026/05/11/instructure-pays-ransom-canvas-hackers MuddyWater / Chaos Ransomware False Flag (Rapid7) https://www.rapid7.com/blog/post/tr-muddying-tracks-state-sponsored-shadow-behind-chaos-ransomware/ Mozilla Firefox & Mythos Preview https://blog.mozilla.org/attack-and-defense/2026/05/06/mythospreview-firefox/ xbow & Mythos Preview https://xbow.com/blog/mythos-preview Grafana Labs Breach https://grafana.com/blog/2026/05/12/grafana-security-incident/ OLG Hamm – Chatbot-Haftung Dr. Rick & Dr. Nick https://www.heise.de/news/Dr-Rick-Dr-Nick-Aerzte-verlieren-wegen-KI-Halluzinationen-vor-Gericht-11293866.html Echtzeit-Deepfake-Software (404 Media) https://www.404media.co/chinese-realtime-deepfake-software-sold-commercially/

Erstes Thema ist der Canvas-Breach von Instructure. ShinyHunters behauptet 3,65 Terabyte aus über 8.800 Institutionen gestohlen zu haben – Namen, E-Mail-Adressen, private Nachrichten. Einfallstor: Free-for-Teacher-Accounts. Passwörter und Finanzdaten sollen nicht betroffen sein. Was mich beschäftigt: Eine Einrichtung, die selbst nichts falsch gemacht hat, sitzt ohne eigene Handlungsmöglichkeit da und wartet auf Informationsbrösel vom Hersteller. Wir diskutieren, wie man trotzdem strukturiert kommuniziert – und warum Team-Vertrauen wichtiger ist als ein 90-Punkte-Notfallplan. Dann bringt Max zwei Linux-Kernel-Schwachstellen in schneller Folge: CopyFail (CVE-2026-31431), entdeckt von Theori mit ihrem KI-Tool XINT – eine Privilege-Escalation-Lücke im Krypto-Subsystem, neun Jahre unentdeckt. Tückisch: nur die In-Memory-Version wird manipuliert, Integritätstools wie Tripwire merken nichts. Kurz danach folgte DirtyFrag, ein verwandter Bug derselben Klasse mit öffentlichem PoC, bevor Patches für alle Distributionen fertig waren. Während der Aufnahme kuratiere ich noch eine heiße Supply-Chain-News: MiniShai-Hulud – mutmaßlich wieder TeamPCP – hat über 170 NPM-Pakete kompromittiert, darunter TanStack, Mistral AI, Guardrails AI und OpenSearch. Bei TanStack hatten die manipulierten Pakete trotzdem gültige Build-Provenance-Attestation. Und die Malware enthält einen Deadman-Switch: wird der Token widerrufen, kann eine destruktive Löschroutine ausgelöst werden. Als Leseempfehlung bringe ich einen Report meines Arbeitgebers Trend Micro über Earth Shadow 53, eine vorläufig China-attribuierte Kampagne gegen Regierungs- und Verteidigungsziele in Südostasien und Polen. Initial Access: ungepatchte Exchange- und IIS-Server via ProxyLogon-Kette von 2021. Persistenz via ShadowPad, wenig Lärm, klassisches Prepositioning. Zum Abschluss Max über den DENIC-DNSSEC-Ausfall vom 5. Mai: Ein einzelner fehlerhafter Config-Change ließ alle DE-Domains kurzzeitig unerreichbar werden – in unter einer halben Stunde zurückgerollt. Aber ein guter Anlass, mal zu prüfen, ob im eigenen BCM auch steht, was passiert, wenn der DNS-Provider ausfällt. Canvas/Instructure-Breach https://thehackernews.com/2026/05/instructure-reaches-ransom-agreement.html Linux CopyFail (CVE-2026-31431) https://xint.io/blog/copy-fail-linux-distributions MiniShai-Hulud / TanStack Supply-Chainhttps://www.stepsecurity.io/blog/mini-shai-hulud-is-back-a-self-spreading-supply-chain-attack-hits-the-npm-ecosystem SHADOW-EARTH-053 (Trend Micro Report)https://www.trendmicro.com/en_us/research/26/d/inside-shadow-earth-053.html DENIC DNSSEC-Ausfallhttps://blog.denic.de/analyse-des-dns-ausfalls-vom-5-mai-2026/