Insight wp2shell

von
Mehrere parallele Datenwege in einer dunklen Routing-Anlage; ein orange markierter Request verlässt seine Spur und führt zu Administratorzugriff und einem Plugin-Modul.

wp2shell klingt nach der üblichen Abkürzung: Request rein, Shell raus. Genau so funktioniert die Lücke nicht.

Die öffentlich diskutierte Pre-Auth-RCE ist kein direkter Sprung von einer SQL-Injection zu PHP oder zum Betriebssystem. Die Kette verschafft dem Angreifer zuerst einen echten WordPress-Administrator. Danach geht es mit normalen WordPress-Funktionen weiter: anmelden, Plugin hochladen, Plugin aktivieren. Die Shell ist das Ergebnis, nicht der eigentliche Fehler.

Wir haben die Kette auf einem realistischen WordPress-Clone Schritt für Schritt verifiziert und anschließend gegen WordPress 7.0.2 negativ getestet. Dabei waren die Stellen am aufschlussreichsten, an denen ein einfacher PoC scheiterte oder nach dem vermeintlichen Cleanup noch Spuren übrig blieben.

Und ja: Dieser Text über eine WordPress-Core-Lücke erscheint in WordPress. Immerhin auf einer gepatchten Installation. So viel Selbstachtung muss sein.

Weiterlesen

Automatisierter Müll ist auch ein Sicherheitsproblem

von
Eine überfüllte Security-Triage-Warteschlange, in der generische automatisierte Reports echte Warnungen fast verdrängen.

KI beschleunigt Angriffe. Das bleibt richtig.

Aber der Satz ist zu klein. Dieselben Werkzeuge, die Reconnaissance, Exploit-Variation und Phishing billiger machen, machen auch schlechte Sicherheitsmeldungen billig. Node.js, curl und OpenSSF zeigen gerade, was dann passiert: Nicht nur Angreifer skalieren. Auch Müll skaliert.

Weiterlesen

Offensive Abkürzung: Wie Deutschland das BSI verheizt

von
Abstraktes Behördengebäude, aus dem technische Sicherheitsdaten durch Leitungen zu Nachrichtendienststellen abfließen

Russland zugerechnete Angreifer demonstrieren seit Jahren, was operative Cyberkompetenz bedeutet. Sie denken nicht in einzelnen Produkten, Zuständigkeiten oder hübschen Organigrammen. Sie verbinden digitale Schwächen mit physischer Lage, ziviler Infrastruktur und einem konkreten Aufklärungsziel.

Die Bundesregierung will bei offensiven Cyberfähigkeiten aufholen. Die Antwort aus dem Bundesinnenministerium sieht allerdings weniger nach nachhaltigem Fähigkeitsaufbau aus als nach einer gesetzlichen Abkürzung: Das BSI soll dem BND bisher nicht bekannte Schwachstellen zugänglich machen. Dafür wird ausgerechnet die Behörde eingespannt, deren wertvollste Ressource keine Exploit-Datenbank ist, sondern das Vertrauen von Herstellern, Prüfstellen, Sicherheitsforschenden und Betreibern.

Das ist kein kleiner Zielkonflikt. Es ist institutioneller Kannibalismus.

Weiterlesen

Pentest-Werbung einmal anders

von
Grafikkarte zwischen schnell durchlaufenen Passwortkandidaten und einer massiven Datenstruktur als Symbol für speicherintensives Argon2id.

Mir ist heute eine Werbung für eine Pentestfirma entgegengeflattert. Darauf stand der schöne Satz:

Speicher dir das. So knacke ich ein Passwort, ohne es je zu raten.

In der Grafik waren – ich kopiere und zeige sie hier bewusst nicht – ungefähr diese drei Befehle zu sehen:

hashcat -m 1000 hash.txt rockyou.txt
hashcat -m 1000 hash.txt rockyou -r best64.rule
hashcat -m 1000 hash.txt -a3 ?u?l?l?l?l?d?d

Das Problem ist nicht Hashcat. Das Problem ist die Behauptung, hier werde ein Passwort geknackt, „ohne es je zu raten“ – gefolgt von drei Varianten des Ratens. Eine RockYou-Wortliste als geheimnisvolle Pentest-Magie zu verkaufen, ist fachlich schon ziemlich dreist.

Weiterlesen

JadePuffer: Der Agent ist der Angreifer

von
Abstrakte digitale Agentenfigur zwischen Cloud-Infrastruktur, Sicherheitsgrenzen, Zahlungs- und API-Flüssen als Symbol für agentische Angriffe und fehlende Autorisierungsgrenzen.

Die wichtigste Lektion aus den aktuellen Fällen rund um agentische KI ist nicht: „KI wird böse.“ Das ist die falsche Geschichte, bequem dramatisch und technisch zu weich.

Wir haben hier schon öfter über KI im Angriff geschrieben: über Claude Mythos als Brandbeschleuniger, nicht Magie, über alte Security und schnellere Angreifer, über Phishing, Social Engineering und automatisierten Security-Slop. Die These war dabei nie, dass KI plötzlich Zauberei betreibt. Die These war: Angreifer werden KI dort einsetzen, wo sie Reibung senkt und operative Arbeit billiger macht.

JadePuffer sieht aus wie der erste sauber dokumentierte Fall, in dem diese These eine neue Stufe erreicht: nicht nur KI-unterstützte Angreifer, sondern ein real beobachteter agentischer Angreifer.

Damit liegen zwei verschiedene Risiken auf dem Tisch. Wenn Angreifer selbst Agenten einsetzen, wird aus alter Angriffstechnik eine billigere, schnellere, adaptivere Operationskette. Wenn Verteidiger und Unternehmen eigenen Agenten echte Reichweite geben, wird Prompt Injection nicht mehr nur ein Textproblem. Sie wird ein Autorisierungsproblem.

Ein Chatbot, der Unsinn schreibt, ist ein Qualitätsproblem. Ein Agent, der mit Browser, Wallet, API-Keys, Cloud-Zugriffen oder internen Datenbanken arbeitet, ist etwas anderes. Dann ist Text nicht mehr nur Eingabe. Er wird Teil einer Ausführungskette — entweder als Arbeitsmaterial eines legitimen Agenten oder als Operationslogik eines Angreifers.

Und genau dort brechen viele Sicherheitsmodelle gerade auf.

Weiterlesen

QuimaRAT: Malware-as-a-Service mit Vertriebsoberfläche

von
Dunkle SaaS-artige Produktoberfläche auf einem Monitor, umgeben von roten Malware- und Warnsymbolen als Visualisierung von Malware-as-a-Service.

QuimaRAT ist als technische Geschichte nur halb interessant. Java-RAT, plattformübergreifend, modular, Builder, Plugin-Architektur, Tarnungsversprechen: Das alles gehört dazu. Die eigentliche Pointe liegt aber woanders. Hier wird Malware-as-a-Service so inszeniert, als wäre es ein normales Softwareprodukt.

Weiterlesen