In der heutigen Folge sprechen wir über eine Geschichte, die im
März 2026 begonnen hat, also letzten Monat.
Der Frühling kommt so langsam nach Europa, die ersten warmen
Tage, die letzten Schneereste schmelzen von Wiener Gehsteigen,
von Münchner Dächern und den Straßen von Zürich.
Und während die Welt so langsam auftaut, passiert in einer
riesigen Software Lieferkette etwas, das viele noch gar nicht
bemerkt. Haben.
Light all light. All.
All your secrets. Not God.
Base to the Skirriers and magical in Modern Software.
It's a back bone of how interprises talk to open eye and
tropic google it of use. Traby ein Open Source Tool, das
von Millionen von Entwicklerinnen weltweit genutzt
wird, um Container auf Schwachstellen zu scannen, leite
La Lam eine Abstraktionsschicht für AI.
Ap is, eingesetzt von großen Unternehmen, Start UPS
Forschungsteams. Die CLI von Widwarden, ein
verbreiteter Open Source Password Manager, mit dem man
über das Terminal Secrets in automatisierte Prozesse
einbinden kann. Dutzende mpm Pakete verteilt
über Repositories, die täglich von automatisierten Pipelines
gezogen werden, ohne dass irgendjemand nachfragt, wer
eigentlich den ganzen Code dahinter geliefert hat.
Supply Chain Angriffe sind nicht neu.
Also die Angriffe auf eine Lieferkette, nicht auf das
Unternehmen direkt selbst, sondern auf die Software, auf
die es aufbaut. Was aber neu ist, ist das Ausmaß
Security, Firmen sprechen von über 500000 kompromittierten
Maschinen, mehr als 1000 Software as Serviceumgebungen
und die Angriffe sind immer noch on Going, dahinter stecken 3
Gruppierungen Team PCP. Mackt und Exploiters und heute
sprechen wir mit jemandem von Exploiters wahre Geschichten aus
dem verborgenen Teil des Darkschnitts Ich bin Red und das
ist Inside Darknet. Hi, bevor wir in die heutige
Folge rein starten, habe ich hier 2 kurze Danksagungen an
Artin und Krustenbrot. Danke für euren Support auf bei
mir Coffee, ich sag's eh ganz oft bei mir Coffee ist diese
Plattform über die ihr mich direkt unterstützen könnt, wenn
euch der Podcast gefällt. Ich habe ja kein Abo hinter
Inside Darknet, keinen anderen Blödsinn, es ist einfach nur ein
Kaffee oder eine Kleine. Eine Spende, wenn ihr wollt.
Der Link ist in den Beschreibungen vom Podcast.
Das bedeutet mir richtig viel und gleich noch ein richtig
cooles Event. Die heutige Episode wird von
Besites Vienna, also Wien unterstützt und auch schon bevor
ich den Podcast angefangen habe, war ich immer schon ein riesen
Fan von diesen ganzen Besites, also dem Community getriebenen
Cyber Security Events. Für alle, die das Wort Bisides
vielleicht noch nie gehört haben oder auch bisides Vienna.
Diese bisides Events gibt es auf der ganzen Welt.
Sie entstammen der Hacker Community selbst und sind so ne
Alternative zu den großen teuren Konferenzen.
Ich fliege ja zum Beispiel auch im Sommer wieder nach Las Vegas
zu der Black hat und zu der DEFCON und dieses Mal auch zu
der Bisides in Las Vegas. Und diese Events sind halt
normalerweise super teuer, außer eben die Bisides und Wien hat
seit einigen Jahren selbst eine eigene Bisides mit Talks von
Cyber Security, Expertinnen, Workshops, Networking und einer
Community, die es wirklich ernst meint.
Ich bin dort auch, ich bin dort schon jedes Mal seit mehreren
Jahren, sehr viele von meinen Freunden und Connections sind
dort. Es ist fast schon, wieso ein
riesengroßes Gruppentreffen von Wesen, die sich für die Cyber
Security und alles rundherum interessieren.
Es gibt super technische Talks, die richtig in die Tiefe gehen
und noch einige, die für Anfänger super spannend sein
können, also es ist super breit gefächert, es ist immer super
cool, es gibt dort direkt vor. Orten Mittagessen es gibt am
Abend eine Afterparty und ich habe schon erwähnt, es ist sehr
sehr viel billiger, denn es ist gratis dorthin zu gehen.
Ihr braucht natürlich nur ein Ticket, die sind normalerweise
innerhalb den ersten Stunden dann auch immer gleich weg,
falls euch so etwas interessiert findet ihr das auf Biseites
Vienna at, das ist beseites Vienna at und ich habe so einen
riesengroßen Grinser im Gesicht, weil ich eben das ganze Konzept
von der Bisides lebe ich immer auf der Bisides Vienna war und
es jetzt einfach diese richtig coole Partnerschaft sozusagen
zwischen Bisides Vienna und Inside Darknet gibt.
Die Tickets gibt es jetzt noch nicht, das Datum ist noch nicht
offiziell bekannt. Sobald aber diese Ticket
Anmeldungen beginnen, sage ich euch auf jeden Fall noch hier im
Podcast auch Bescheid, damit ihr das nicht verpasst.
Falls euch so etwas interessieren würde.
Ich persönlich kann es nur empfehlen, ich hatte auch selbst
schon Talks auf der B Seite, man lernt immer super viele Sachen
und ganz viele Menschen kennen, richtig cool.
Neuigkeiten aus der Cyberbone. Sind zum Ziel eines
großangelegten Cyberangriffs geworden.
Ich habe noch nie. Gesehen.
Auf verschiedenen Cybercrime Foren sind in den letzten Tagen
Profile von Hackern übernommen worden.
Sie tragen jetzt einen ungewöhnlichen Banner, das Logo
der Brigade der Loot Contré la Ciber Criminalité.
Ich hatte leider nie Französisch.
Ich weiß nicht genau, wie man's ausspricht.
Kurz BL 2 C. Das ist die französische
Cybercrime Einheit der Polizei, ansässig in Paris, also diese BL
2 C hat die Profile von unter anderem Hextex auf Anweisung der
Pariser Staatsanwaltschaft übernommen, er wurde
festgenommen, sein Profil beschlagnahmt und.
Und es trägt jetzt eben das BL 2 C Logo.
Es ist so eine Message an die Community, dass niemand sicher
vor den Behörden ist. Hextex hatte davor eine
Lernplattform für Polizistinnen geleakt, über die Klarnamen und
wohnadressen aktiver Beamten abgeflossen sind.
Zusätzlich gibt es eine riesige Liste von Daten, die er geleakt
hat über diverse Cybercrime Formen.
Das bestätigt nur das, was ich euch immer sage.
Cybercrime lohnt sich nicht, denn im Endeffekt gewinnen die
Behörden immer. Kommen wir zum Thema der
heutigen Episode, unter anderem eben Supply Chain Angriffe und
die haben in den letzten Jahren massiv zugenommen.
Ich glaube, der Grund ist relativ logisch, wenn man kurz
drüber nachdenkt. Moderne Software wird ja nicht
mehr von einer einzigen Firma selbst geschrieben, sondern
besteht aus hunderten oder tausenden Abhängigkeiten,
Libraries, Pakete, Tools. Die bei jedem Bild, bei jeder
Softwareversion erneut von öffentlichen Repos nennt man das
Ganze wie Mpm oder Getap gezogen werden.
Und sowas passiert meist automatisch, denn die Software
basiert ja auf diesen ganzen anderen Libraries.
Also ihr habt Unterpakete auf dem Eure Software aufbaut und.
Und natürlich, wenn ein Angreifer oder ein Hacker es
schafft, eines dieser Unterpakete zu kompromittieren,
da dann zum Beispiel bösartigen Code einzuschleusen, landet
dieser bösartige Code in jedem Projekt, das dieses Paket
verwendet, und das können dann eben tausende oder noch mehr
sein. Ein super bekanntes Beispiel in
den letzten Jahren war das Solar Wines, das war 2020, da wurde
ein Update von staatlichen Akteuren manipuliert, wodurch
sie sich dann im Endeffekt Zugang zu den US Behörden, zu
Fortune 500 Unternehmen, zu Sicherheitsfirmen und so weiter
erhacken konnten und das alles über ein einziges
kompromittiertes Update. Falls euch das ganze auch
irgendwie bekannt vorkommt, wir haben bereits in Episode 104
über genau dieses Sun Burst Bactor gesprochen und jetzt im
März 2026 gab es eben wieder so eine Supply Chain Angriff mit
dem Namen Canister warm. Betroffen war unter anderem
Travey. Wer das nicht kennt, das ist ein
Open Source Tool für Container Security, also ein
Schwachstellen Scanner von Aqua Security genutzt, um Docker
Images und Covanitis Cluster auf bekannte Schwachstellen zu
scannen. Kurz gesagt, es ist ein Tool,
dem man vertraut, weil es dazu da ist, Vertrauen herzustellen.
Ebenfalls betroffen war Light lm, was eine Middleware ist, die
es Entwicklerinnen erlaubt, verschiedene KI Modelle über
eine einheitliche API anzusprechen.
Light LM wird von ganz vielen großen Unternehmen eingesetzt
und auch Organisationen, die man im Rüstungs und
Forschungsbereich findet und on Top von dem ganzen noch Dutzende
npm Pakete in. Ich hab es im Intro schon
erwähnt. Security Firmen schätzen den
Schaden auf über 500000 kompromittierte Maschinen und
mehr als 1000 betroffene Software, SS Service Umgebungen
und Firmen. Also da hat es wirklich richtig
viele getroffen. Man weiß eigentlich noch gar
nicht, wie groß dieses komplette Ausmaß wirklich ist.
Denn in dieser Woche, wo ich gerade jetzt diesen Podcast
aufgenommen habe und dieses Interview hatte, kommen immer
noch neue Firmen auf, die kompromittiert worden sind
beziehungsweise die diese Supply Chain noch weiter vorantreiben.
Am Mittwoch oder Donnerstag kam eben auch auf, dass von Bitwagen
die CLI betroffen ist. Aber.
Also das Kommandozeilentool, das Entwicklerinnen und
Administratoren und Administratorinnen nutzen, um
Passwörter in Skripte und automatisierte Prozesse
einzubinden und über diesen Eingriffsweg sind unter anderem
gezielt Crypto Wallets direkt abgegriffen worden.
Man weiß eben noch nicht, wie weit, dass diese Supply Chain
wirklich geht, welche Firmen sie alle noch betrifft, die irgendwo
Pakete verwendet haben, wo dieser Wurm sich weiter
geschlängelt hat, weil es ja dann wieder die nächste Ebene
von Firmen trifft, weil Firmen, die andere Firmen als Zulieferer
hatten, die vielleicht irgendwo Anbindungen hatten, natürlich
dann auch betroffen sind. Aber alles geht eben auf
Kanister warm und 3 Gruppen zurück.
Team PCP weckt und exploiters ich hatte die einmalige Chance,
mit einer Person von einer Gruppe darüber zu sprechen, wer
diese Gruppen sind, wie sie zusammengearbeitet haben und was
vielleicht alles noch kommen wird.
Und das klären wir jetzt alles im Interview.
Das Interview selbst wurde wieder mit 2 AI Modelle
aufbereitet, eines dass das ganze Interview vom Englischen
in das Deutsche übersetzt hat und ein zweites Modell das Box
Turtle von Exploitas eine Stimme gibt.
Hallo und danke, dass du dir die Zeit nimmst mit Inside Darknet
zu sprechen, bevor wir anfangen, kannst du dich vielleicht ganz
kurz selbst vorstellen. Ich bin Boxturtle von
Exploiters. Ich muss jetzt hier kurz etwas
nachtragen, vielleicht bemerkt ihr es jetzt hier gleich schon
Boxturtle von Exploiters ist nicht unbedingt die Person, die
super viel erzählt, die Antworten waren immer sehr sehr
kurz, habe ich ja mein Bestes gegeben, so viele gute Fragen zu
stellen wie ich konnte kann. Kannst du uns vielleicht ganz
kurz erklären, was exploiters ist und wie diese Gruppe mit
Team PCP zusammenhängt? Von außen werden ja unter
anderem diese beiden Namen in berichten immer zusammengefasst.
Exploiters ist eine eigenständige Gruppe, aber wir
haben bei der Canister warm Operation mitgeholfen.
Deshalb habe ich mich auch canister Turtle genannt.
Diese Canister warm Operation habe ich ja bereits in der Folge
schon ein bisschen erklärt. Hat sich Exploiters jetzt nur
durch diesen Cyberangriff in den letzten paar Monaten gebildet
oder gab es die Gruppe vorher schon und hat jetzt davor schon
Angriffe, die vielleicht gar nicht so bekannt sind?
Exploiters existiert schon länger.
Wir haben unter anderem BMW gehackt, zusammen mit anderen
Automobilherstellern, es gibt noch viel mehr, aber einer
unserer Accounts, wo wir die News gepublisht haben, wurde
gesperrt, deshalb hat man leider nicht viel davon mitbekommen.
Ich hab diesen Post von dem Cybergram Forum jetzt auch
direkt vor mir und les mir gerade durch was sie verkauft
haben und um wieviel. Sie haben $1500 verlangt.
Für dealership Dokumente von BMW sie schreiben, dass sie unter
anderem alle lizenzierten Mitglieder haben, dass sie
Connections, e Mails, links, Phone Provider, data Provider,
Telefax, Webseite, Stadt, land, Adressen und so weiter zu den
Mitarbeitern haben, dass sie von der BMW Group selbst aus jedem
Land die Workspace Chats haben, das.
Dass sie die Privacy Enhanced Mail Keys, also Pam Keys, haben,
dass sie Zugriff auf dem BMW Download Manager und tis search
haben und einen w OS Lambda logging and point, kannst du
vielleicht in eigenen Wort noch mal ganz kurz sagen.
Was Kanister warm war beziehungsweise ist.
Es ist ja noch on going. Canister Worm war die Operation
rund um Trivy Checkmarks Light lm, wo Team PCP Malware über die
Supply Chain verteilt hat. Und kannst du vielleicht auch
sagen, was eure Rolle in dieser ganzen Operation in diesem
Cyberangriff war? Es sind ja 3 Gruppen jetzt
irgendwie so miteinander verbunden, ich weiß, dass Weg
unter anderem Ransomware es ist. Service macht, da ich natürlich
auch mit den anderen Gruppen in Kontakt bin geht.
Gibt es so eine konkrete Attribution, was eure Rolle ist?
Ja, unsere Attribution ist schwer zu finden, obwohl es
hauptsächlich Exploiters und Team PCP waren, die bei diesen
Angriffen wirklich Arbeit geleistet haben.
Ich selbst habe mit anderen zusammengearbeitet, um unsere
erhackten Zugriffe zu validieren, Systeme dann weiter
zu untersuchen und Daten zu exfiltrieren.
Ihr habt ja super viele Daten abgezogen.
Es gibt eine super lange Supply Chain.
Ist das jetzt schon alles gewesen oder habt ihr noch
Daten, durch die ihr euch gerade noch durcharbeiten müsst, um
überhaupt rauszufinden, was ihr alles habt und wird dann noch
mehr kommen? Es werden noch mehr News kommen.
Ich weiß, dass du mal folgendes gepostet hast.
Ich mache bei dieser Operation nur mit, um Geschichten zu
haben, die ich eines Tages meinen Kindern erzählen kann.
Ist das ernst gemeint oder geht es dir doch eher dann auch ums
Geld? Ihr werdet doch recht viel Geld
mit diesem Ganzen schon verdient haben beziehungsweise du.
Nein, ich habe kein Geld damit verdient und werde es nicht.
Und ich habe den Anführer von Team PCP auch nie danach
gefragt. Spannend, das heißt, das ganze
Geld bleibt per Team PCP liegen. Du zeigst natürlich auch in
Deinen Hacks und Angriffen Kenntnisse aus sehr vielen
verschiedenen Offensiv Security Bereichen.
Wie bist du da überhaupt reingekommen, hast du das ganz
normal gelernt auf einer Uni oder wie passiert sowas?
Es hat sich einfach so ergeben. Ich habe jemanden kennengelernt,
der Videospiele gemoddet hat und von dort aus bin ich da
reingerutscht. Du hast auch mal in der
Vergangenheit erwähnt, dass echtes Hacking sehr anders als
Capture the Flags, also hackingturniere ist.
Was sind Deiner Meinung nach die größten Unterschiede?
Es ist die Einfachheit. CTFS bringen einem nicht bei,
wie unglaublich unsicher Menschen in der Praxis sein
können. Und während CTFS dann einfach
immer technisch anspruchsvoller werden, sind die Angriffsketten,
die da passieren, fast nie etwas, das in der Realität so
passieren würde. Aber dann wäre so ein Beruf wie
ich einen habe. Red Teaming Pantasting näher
dran an dem, was du machst. Hast mal überlegt Red Teamer zu
werden. Ich arbeite professionell im Red
Teaming. Und auf welche Arten von Systeme
oder Netzwerke fokussierst du dich normalerweise?
Was kannst du richtig gut im Red Teaming pantasting?
Alles, bei dem es um Exfiltration, Inumeration und
Authentifizierung geht. Jetzt hast du ja auf der einen
Seite ethisches legales Red Teaming und Pantasting was du
machen kannst. Hacking im Gegensatz bringt sehr
viele rechtliche und ethische Fragen mit sich.
Machst du dir zum Beispiel keine Sorgen, von den Behörden
geschnappt zu werden? Wir sehen ja immer wieder, dass
das überall passiert. In gewissem Maß schon, aber ich
glaube, ich habe gute Arbeit dabei geleistet, meine Spuren zu
verwischen. Früher hat mich das mehr
beschäftigt. Aber das kann ich jetzt nicht
mehr sagen, wenn ich sehe, wie inkompetent die Behörden
vorgehen. Es wurden keine Verhaftungen in
Verbindung mit Team PCP weckt und Exploiters gemacht und es
gab auch noch keine Deanonymisierungen.
Wenn du jetzt an deine vergangenen Hacks und Angriffe
denkst, gibt es da irgendeine Geschichte, die irgendwie
besonders war, aber die du teilen kannst?
Nichts außerhalb von cannister Wham.
Aber die schiere Menge an Daten, die wir noch haben, ist absurd.
Einige große Unternehmen haben ihre Zugangsdaten immer noch
nicht rotiert. In dieser einen Operation haben
wir Unternehmen berührt, die zusammen Hunderte Milliarden
Dollar wert sind, das ist schon eine interessante Zeit.
Okay dann in Bezug auf Canister warm.
Gibt es da irgendetwas besonders wildes oder vielleicht super
schlecht abgesichertes, dass dir aufgefallen ist?
Das Schlechte war die fehlende interne Organisation und dass
wir Idioten mit einbezogen wurden.
Persönlich denke ich, dass die dritte Gruppe weckt nicht dabei
hätte sein sollen. Also er bezieht sich da eher auf
interne Streitigkeiten. Dass eine von diese 3 Gruppen
einfach nicht ganz so gut zu den anderen 2 passt.
Aus welchem Grund auch immer, er hat leider nicht mehr erzählt,
was es genau gegeben hat, aber ich fand es trotzdem recht
spannend zu sehen, dass auch hier so in Hacker Gruppierungen,
die gerade zusammenarbeiten, noch Streitigkeiten und
Unstimmigkeiten entstehen. Du hast in der Vergangenheit
auch schon mal geschrieben, dass Security von AI super schlecht
ist. Ich habe darüber ja auch schon
Vorträge gehalten, wie groß die Schwachstellen und
Angriffsflächen von Agents und KI selbst ist.
Aber vielleicht kannst du auch noch mal erklären, warum dass du
das so siehst. Weil man, wenn man in Daten und
Repositories reinschaut, bei jedem großen Unternehmen Vipe
Coding sieht. Schlechte Security und faule
Entwickler werden der Tod der Informatik sein.
White Coding für die Personen, die das vielleicht noch nie
gehört haben, bedeutet, dass Entwickler und Entwicklerinnen
Code fast ausschließlich von KI generieren lassen, ohne ihn
wirklich zu verstehen oder auf Sicherheit zu prüfen.
Der Code läuft meistens, aber ist voller Security Lücken, weil
niemand mehr drauf schaut, ein. Eine allerletzte Frage hätte ich
noch an dich, wenn du so eine abschließende Nachricht zur
Cyber Security hättest, was wär diese Nachricht?
Wenn man vorhat, groß rauszugehen, dann muss man auch
Großes tun. Wir zerstören die Korruption,
die Konzerne und Regierungen notfalls mit den eigenen Händen.
Only or just sex only to you get your canitation.
Spov me and just room me to like like in so infiltration fish me
and just breev me AP on the efixation call me and just was
me and I'm I'm just reputation.