Heute springen wir ein paar Monate in die Vergangenheit, in
den März 2026 irgendwo in der Ukraine öffnet jemand seine E
Mail. Der Absender hinter dieser Mail
ist Frederik Kempe, Präsident des Atlantikkonzils.
Ich musste auch googeln, was das Atlantik Konzil eigentlich ist.
Es ist eine einflussreiche US amerikanische Tankfabrik.
Sowas nennt man auch Think Tank. Sie haben den Sitz in Washington
DC und wie ganz viele andere Think Tanks widmen sie sich
politischen oder gesellschaftlichen Themen durch
Konzepte, Ideen. Das Atlantic Con Ziel im
Besonderen widmet sich der Zusammenarbeit und Stärkung
zwischen Nordamerika und Europa, einer transatlantischen
Beziehung also. Sie versuchen so mit
verschiedenen Ideen und Konzepte politische Entscheidungsträger,
aber auch die Öffentlichkeit so ein bisschen mehr
zusammenzubringen, um globale Herausforderungen zu bewältigen.
Das Ganze finanziert sich dann auch noch durch Politiker und
Spenden und ganz viele andere wilden Sachen.
Ich möchte jetzt hier auch noch ganz kurz 2 Wörter droppen, die
mir als erstes einfallen, wenn ich an das ganze denke.
Das heißt nicht, dass es so ist. Es ist kein Vorwurf und keine
Bestätigung, aber amerikanischer Lobbyismus, aber so tief müssen
wir heute hier gar nicht reingehen.
Es geht eigentlich nur darum, dass Frederik Kempe, der
Präsident des Atlantik Konzils, eine e Mail verschickt hat.
Der Text klingt seriös, fast schmeichelhaft, und er bietet
eine Diskussion für ausgewählte Teilnehmerinnen und Teilnehmer
in dieser Mail, darunter ist ein Link für weitere Details, falls
man es durch ganz viel politische Entscheidungskraft
oder. Reichtum irgendwie in diese Mail
reingeschafft hat. Dann sieht man das und möchte
natürlich Teil von dem Ganzen sein und klickt den Link, aber
der Link führt nicht zum Atlantic Concept, der Link führt
zu einem Server in Russland. Wahre Geschichten aus dem
verborgenen Teil des Darkschnitts Ich bin Red und das
ist Inside Darknet hi.
Es tut mir wirklich leid, wenn ihr jeden Samstag die Episode
hört und sie heute verspätet ist.
Denn bei mir ist es gerade erst 7 in der Früh und ich nehme
jetzt die Folge auf und das Ganze hat einen ganz bestimmten
Grund, warum ich gestern am Abend nicht die Folge recordet
habe, was meine Überleitung dazu ist, dass gestern das Hack to
Box Business Capture the Flag war.
Da kommen weltweit die besten Unternehmen zusammen.
Schau gerade durch das Scoreboard, Nvidia, Cisco,
Synective, Deloyd, Microsoft, ganz viele große Firmen und
Spielen ein Capture the Flag, also ein Hacking Turnier und
dieses ganze Turnier dauert dann eben 3 oder 4 Tage und ging eben
gestern also am Freitag los. So wie jedes Jahr habe ich dann
ein paar Kollegen genommen und wir haben wieder ein Team
gemacht und haben eben gestern um 9 oder 10 in der Früh
begonnen, hier alle Aufgaben zu lösen und zu hacken und da waren
wir dann halt super drinnen. Super dran, haben wir richtig
viel gearbeitet. Bis heute.
In der Nacht um 1 in der Früh, wo wir das allererste Team
weltweit waren, das in diesem Business Capture the Flag alle
Lösungen hatte, also das ganze Capture The Flag gewonnen haben,
und stand jetzt, jetzt ist es gerade in der Früh immer noch
die einzigen sind, die alles lösen konnten.
Platz 2 ist inzwischen NVIDIA, denen gehen noch 3 Aufgaben
gerade ab. Und dann ganz viele Cyber
Security Firmen. Ich sehe sogar paypal gerade den
Bund Walmarch den TÜV, die haben ja auch ein pantasting Team und
ganz viele andere die eben jetzt unter uns nach uns sind.
Good Game, Wir sind Erster und das ist auf jeden Fall der Grund
wieso die heutige Folge später kommt.
Es war mir wichtiger gegen diese ganzen anderen Firmen zu
gewinnen. Und wifi Zeit möchte ich noch
ganz kurz zum Thema Bisides Wien Appen, ich habe ja vor kurzem
mal erzählt, dass die Bisides Wien und ich jetzt Partner sind
und ich mache jetzt hier noch so ein kurzes Shoutout mit Updates
die Bisides Wien hat diese Woche offiziell bestätigt, dass dieses
nächste bisides Event in Wien am 27 Juni 2026 stattfinden wird.
Ich habe es schon mal erwähnt, es ist keine riesige Corporate
Veranstaltung, sondern Talks von echten Hackerinnen aus der
Community der Call for Papers und Workshops ist gerade offen,
wenn ihr einen Talk halten wollt, könnt ihr den jetzt
anmelden, es gibt auch Optionen für Rookies und First Timers,
die vielleicht noch nie auf eine Konferenz gesprochen haben, aber
das gerne mal machen wollen. Ich bin eigentlich alle Jahre
wieder dabei und kann es nur empfehlen, wenn ihr in der
Region wohnt oder einfach mal Lust habt, in die
österreichische Security Bubble reinzuschnuppern.
Neuigkeiten aus der Cyberbank sind zum Ziel eines
großangelegten Cyberangriffs geworden.
Wir hatten ja letzte Woche Team PCP als Interviewpartner dabei
und die News der Woche gehen genau um diese Gruppe, denn am
11 Mai hat Team PCP noch weitere Java Script und mpm Pakete
kompromittiert, darunter von Mistral AI, TAM Stack und die
gesamte UI Path Familie. Für alle die das nicht kennen.
Ui Path ist ein amerikanisches Automatisierungsunternehmen.
Das in ganz vielen Enterprise Umgebungen steckt.
Im Zuge dieser Angriffe wurden auch 2 Open Ai Mitarbeiter
erwischt. Der Angriffsvektor war derselbe,
wie sie auch im Interview bereits erwähnt haben, wieder
über github Actions, die Angreifer haben einen Build
process vergiftet, also der Moment wo Source Code ein
fertiges Paket gebaut wird, dabei wurde wieder ein
predential Dealer mit Wurmfunktion eingeschleust.
Also Accounts, Passwörter, Code, signing, Zertifikate, alles
landet bei den Angreifern. Ich habe dann auch noch direkt
mit Team PCP wieder gesprochen, sie selbst behaupten, dass
wahrscheinlich über 400 Pakete betroffen sind, Medien sprechen
noch von rund 200 und sie haben mir gesagt, es kommen definitiv
noch weitere Angriffe, größere Angriffe.
Jetzt denk mir noch mal ganz kurz zurück an das Intro.
Der Präsident vom Atlantic Concil hat eine e Mail
verschickt und diese Mail war natürlich eine Mail von einem
Angreifer, nicht vom Atlantic concil.
Ich habe auch schon erwähnt, dass darin ein Link ist, ein
Link, der nicht zum Atlantic Concil führt, sondern zu einem
russischen Server. Und jetzt wird super spannend,
denn wer diesen Link öffnet, kompromittiert sein komplettes
iphone. Damit wir das ganze Technischere
ein bisschen runterbrechen können.
Safari lädt eine unsichtbare I Frame entsteht, Java Script wird
ausgeführt und 6 verschiedene Schwachstellen werden in
Millisekunden hintereinander ausgenutzt.
Und die Daten am iphone gehören nicht nur dir, mehr alleine,
denn das Gerät lädt ein Programm namens Ghost Blade nach.
Da werden dann Nachrichten, Passwörter, icloud Dateien,
Fotos, Crypto Wallets, der ganze Imassage und SMS Verlauf, WLAN,
Passwörter, alles leise exfiltriert, das heißt zu einem
Angreifer geschickt. Es gibt kein Pop up, kein
Hinweis, nichts. Man muss einfach nur auf diesen
einen Link klicken. Es werden 6 Schwachstellen
ausgenutzt und dieser Exploit heißt Dart Sour, was auch der
Titel unserer heutigen Folge ist.
Dart Sourge ist eigentlich so ein bisschen eine Geschichte
über ein Geschäftsmodell, was außer Kontrolle geraten ist.
Aber ich springe noch mal ein bisschen weiter nach vorne in
die Vergangenheit, irgendwann in das Jahr 2025.
Wir wissen nicht genau wann, wir wissen nicht genau, wer, aber
irgendjemand entwickelt 2025 diesen iphone Exploit, einen
vollständigen Exploit, der aus 6 Schwachstellen hintereinander
besteht und das iphone komplett übernehmen kann.
Man braucht keine Apps zu installieren, man braucht keinen
Jailbreak, man braucht keine Interaktionen, nichts
bestätigen, man muss nur auf einen Link, wo der Dark Sort
Exploit liegt klicken. Der Entwickler oder die
Entwicklerin behält diesen Exploit aber nicht für sich
selbst. Stattdessen beginnt er oder sie,
diesen Exploit zu verkaufen, denn ab November 2025, also Ende
letztes Jahr, taucht dieser Exploit gleich in komplett
verschiedenen Kampagnen hackangriffen auf, die
untereinander gar nichts miteinander zu tun haben.
Und dann ist man sich hier so in dieser Cyber Security Bubble
sehr schnell einig geworden, dass jemand diese 6
Schwachstellen gefunden hat. Dann diesen Dark Sord Exploit
gebaut hat und diesen jetzt an die verschiedenen Gruppen
weiterverkauft. Die erste von diesen Gruppen
oder Kampagnen war relativ unspektakulär.
Es ist eine unbekannte Gruppe, die die Google Thread
Intelligence mit der Gruppennummer 6 748 bezeichnet.
Die Bauen eine gefälschte Snapchat Webseite Snapshare
Chat, wo alles täuschend echt aussieht und sobald man da mit
dieser Webseite interagiert hat auf die echte Snapchat Seite
nach dem Angriff weitergeleitet wird.
Die Zielgruppe von umc 6748 sind iphone Nutzerinnen und Nutzer in
Saudi Arabien. Der Exploit wird da auch noch
super roh eingesetzt und der Code hat auch noch Bugs, die
dafür sorgen, dass bestimmte ios Versionen nicht korrekt erkannt
werden. Umc 6748 hat Darksord vielleicht
auch erst frisch bekommen und noch nicht vollständig
verstanden oder eben vielleicht auch selbst bei diesem Exploit
mitentwickelt. Gleichzeitig zu umc 6748 kauft
ein türkisches Unternehmen namens Parse Defense den selben
Exploit. Parse Defense ist vielleicht
eine Firma, die ihr noch nicht so oft im Radar hattet, Parse
Defense verkauft Spyware und Überwachungssoftware an
Regierungen und Behörden, es ist so irgendwie ein legitimes
Geschäftsmodell, zumindest on Paper, oder?
Aber in der Praxis landen diese Tools regelmäßig bei autoritären
Regierungen, die damit journalistinnen, aktivistinnen
und politische Gegnerinnen überwachen.
Es wird dann auch bestätigt, dass Parsed Defense The Assault
in der Türkei verwendet. Dann in Malaysia.
Man weiß aber nicht, für welche Regierung, also alles so ein
bisschen Shady Business, aber parse Defense verwendet diesen
Dark Souls Exploit deutlich professioneller als Unc 6. 748
sie haben den Loader of Usicated, also der Code dahinter
wird unleserlich gemacht, die Übertragung vom Server zum Opfer
ist verschlüsselt, es ist definitiv mehr Aufwand und mehr
Erfahrung dahinter als bei Unc 608 und.
Und das sind so die ersten 2 Akteure, von denen man weiß,
dass sie mit dieser Software iphones komplett überwacht
haben. Ich habe es aber vorhin schon
erwähnt, es gibt noch einen dritten Fred actor
beziehungsweise eine dritte Gruppe, auch diese Gruppe
bekommt von der Google Fred Intelligence eine Omc Nummer.
6353 es tut mir echt leid, dass hier so viele Nummern gerade
sind, aber ich werde gleich die Gruppe beim Namen nennen, wenn
wir wissen, wer dahinter steckt. Unc 6353 verwendet ebenfalls den
selben Expoint und setzen ihn ab Dezember 2025 gegen die Ukraine
ein, sie machen das durch watering hole attacks.
Wo man nicht direkt die Person angreift, sondern eine Webseite,
die das Opfer, deine Zielgruppe, regelmäßig besucht.
Hier werden jetzt ukrainische Websites gehackt mit einem
unsichtbaren Skript versehen, das den Darksort Loader von
einem russischen Server Nachlehnt.
Wer jetzt auf irgendeine von diesen ukrainischen Webseiten
gegangen ist, wird komplett kompromittiert.
Ohne etwas zu bestätigen, ohne etwas Downzuloaden, einfach nur
auf eine dieser Webseiten klicken und du bist infiziert
und das ist wild und richtig groß.
Man denkt sich jetzt da, ja, das sind jetzt irgendwelche kleinen
Blogs, die hier gehackt werden und wo diese payloads Embedded
sind, aber dem ist nicht so, es war darunter ein regionales
Nachrichtenportal, das über den Krieg berichtet hat, eine
Website eines lokalen Gerichts. Und sogar eine Regierungsdomain
von gov ua also ein offizieller ukrainischer Regierungsserver,
wurde zur Exploit Delivery Plattform.
Die Payload von Unc 6353 heißt Ghostblade, basiert auf Darksord
und arbeitet dabei nach einem Hit and Run Prinzip.
Sie versuchen keinen langen Zugriff zu erhalten, keine
supergroße Überwachung, sie versuchen einfach so viel wie
möglich zu treffen. In ein paar Sekunden alles zu
sammeln von Nachrichten, Passwörter, Fotos, Credentials,
Crypto, Wallets, das Rauszuschicken und sobald es
fertig ist, löscht sich dieser Exploit wieder vom Gerät, also
um die Spuren besser zu verwischen.
Google hat das eben bemerkt, sie haben dann die CERT UA also das
ukrainische Computer Notfall Team kontaktiert und haben dann
gleich sofort gemeinsam begonnen Gegenmaßnahmen zu koordinieren.
Und dann passiert etwas, das niemand erwartet hat.
Am 23 März taucht der komplette Dark Souls Exploit auf github
auf, der komplette Source Code mit diesem Exploit, wie man die
Schwachstellen ausnutzt, alles öffentlich.
Die Readmy ist genau 2 Sätze lang.
Ein Link, auf den Google Fred Intelligence Bericht und dann
slopy tradecraft results and Exploits being found, also
schlechte Malware Entwicklung führt dazu, dass die Exploits
gefunden werden. Kein weiterer Name, keine
Erklärung, keine politische Botschaft, nur der Exploit.
Wer auch eben das gepostet hat, war offensichtlich nicht
begeistert davon, dass diese ganzen Gruppen so schlecht und
nachlässig mit diesen Millionen Dollar Waffen umgegangen sind,
dass Google sie dann überhaupt finden konnte.
Und seit da ist dieser Exploit für jeden verfügbar.
Und was passiert wohl, wenn man so einen Exploit Public macht?
Genau 3 Tage später, am 26 März, schlägt der russische FSB zu.
Das ist der Inlandsgeheimdienst und die Geheimpolizei der
russischen Förderung. Die Gruppe hat auch die
Bezeichnung TA 446 und gehört offiziell zum FSB Zentrum 18
wichtig hier auch, sie hat bis zu diesem Zeitpunkt noch nie in
der ganzen Geschichte des FSB S ios Geräte angegriffen.
Also zumindest in der gesamten dokumentierten Geschichte haben
sie in der Windows Malware Fishing und Credential
Harvesting betrieben. Es gibt keinen einzigen Fall von
mobile Exploitation, aber wenn ein fertiger ios exploit gratis
auf github liegt, ja. 3 Tage später starten Sie ihre eigene
Kampagne. Sie nehmen den Code, passen ihn
an ihren eigenen Server an und verschicken dann e Mails von
bereits kompromittierten Absenderaccounts.
Und den Inhalt kennt ihr vielleicht jetzt schon vom Inpo.
Das ist diese persönliche Einladung vom Atlantic Concil zu
einer geschlossenen strategischen Diskussion.
Die Zielgruppen sind Regierungsstellen, Think Tanks,
Unis, Finanzinstitutionen, Anwaltskanzleien, alle
gleichzeitig. Man weiß auch, dass eine der
bestätigten Ziele dieser Kampagne Leonid Mokow ist.
Es ist ein enger Mitarbeiter von Alexej Nawalny und einer der
bekanntesten russischen Dissidenten im Exil.
Dass der FSB ihn im Visier hat, ist jetzt vielleicht nicht so
die große Überraschung, dass sie dafür aber einen github League
verwenden, schon. Wenn man seine Mail bekommen hat
und dann auf diesen Link klickt am Windows PC ist das eine ganz
normale PDF. Sieht aus wie eine echte
Atlantic conceal Einladung, nichts Verdächtiges, nur wenn
man wirklich am iphone diesen Link öffnet wird das
Serviceseitig erkannt und zu Dark Sort weitergeleitet.
Jetzt gibt es natürlich diesen Exploit, der irgendwo
rumschwirrt, denn eigentlich jeder relativ leicht bekommen
kann. Ich selbst habe mit ihm schon
ein paar Sachen getestet, wie könnt ihr euch jetzt hier
schützen? Updated euer iphone Es ist
bestätigt, dass dieser Exploit nur auf den Versionen ios 18 4
bis ios 18 6 funktioniert, das heißt, wenn euer iphone auf der
neuesten Version ist, verhindert ihr diesen ganzen Exploit, diese
ganze Chain. Man weiß natürlich nie, welche
anderen Zero Days und o Days noch rumschwirren, aber
zumindest Dark Sort könnt ihr so verhindern.
Außerdem gibt es auf iphones und auf Android einen Lockdown Mode,
den man aktivieren kann, um das iphone noch zusätzlich
abzuhärten, dann kann sein, dass gewisse Webseiten nicht mehr
laden, aber man ist noch sicherer, meistens wenden den
eher journalistinnen Researcher innen, Politiker innen.
Aber falls ihr noch diesen extra Layer an Security wollt, es gibt
auf jeden Fall da was und dieser Lockdown Mode funktioniert.
Es gibt ihn jetzt seit 4 Jahren und keine bekannte erfolgreiche
Mobile Exploitation ist da durchgekommen, weder Pegasus
noch Predator noch Dark Search, also das wäre so das nächste
Level wenn ihr fragt wie kann ich mich da schützen.
Und with That sind wir am Ende von der Geschichte von Dark Sort
ein Exploit, der gebaut worden ist, an mehrere Kunden verkauft
worden ist, dann schlecht verwendet und entdeckt und
geleakt worden ist und dann 3 Tage nach diesem League von
einem staatlichen Geheimdienst als Cyberwaffe aufgegriffen
worden ist, von Millionen Dollar Spyber zum Github gratis Tool
und. In Hamburg.
All me or just extroy me to you get your can intertreation spoof
me and just room me can i clay can you infiltration fish me and
just breach me make me on the fixation call me.
Then just want me like, that's just reputation.
Oh.