Breach FM - der Infosec Podcast

🎙️ Max ist zurück, ich sitze in Helsinki, und wir haben einen roten Faden, den keiner von uns geplant hat: kompromittierte Entwicklerrechner.
Zum Einstieg Jensen Huang. Die Affäre des Nvidia-Chefs mit einer Frau, die US-Dienste China zuordnen, ist mehr als Boulevard. Wir reden über die Frage, was passiert, wenn sich Intellectual Property so stark auf einzelne Köpfe konzentriert.
Weiter mit der EMBRACE-Forschung von Forever Security zu den eingebauten Browsern von Cursor, GitHub Copilot, Claude Desktop, Codex und VS Code. Fünf Fehler, ein Muster: die Funktionen, die den Agenten nützlich machen, öffnen den Weg vom Webinhalt in die Host-Anwendung. Bei Copilot stand github.com/login in der Adressleiste, während der Browser ganz woanders war, und der Agent bekam dieselbe falsche Herkunft als Kontext.
Max bringt den Binance-Hack mit. Gefälschter Bewerbungsprozess, Coding-Aufgabe auf dem Arbeitsgerät, manipuliertes pyenv, ein internes KI-Tool als Sprungbrett zu zwei weiteren Wallet-Engineers, am Ende der interne Wallet-Signing-Service. Über sechs Milliarden Dollar, attributiert an TraderTraitor. Für diese Summe klingt mir das veröffentlichte Post-Mortem deutlich zu einfach, und ich sage auch, warum.
Zum Schluss eine Hardware-Supply-Chain, die man selten sieht: in einem Trezor Safe 5 steckte eine zusätzliche Platine mit Mobilfunkmodul, die die angezeigten Recovery-Wörter mitgelesen hat. Ledger hat beim selben Reseller manipulierte Geräte bestätigt.
Nächste Woche: die Starlink-Alternative der Ukraine.
Shownotes
Nvidia, Jensen Huang und die Spionage-Vorwürfe
CNBC: Nvidia investigates CEO Jensen Huang’s relationship with alleged Chinese spy
CNN: Huang admits affair as company launches investigation
NPR: Nvidia launches investigation into CEO’s alleged relationship
CNBC: Bipartisan congressional scrutiny
EMBRACE: die eingebauten Browser der KI-Coding-Tools
The Register: Researchers find bugs in 5 AI developer tools, OpenAI and Microsoft flaws still unpatched
Hackread: EMBRACE flaws enable code execution and file theft
Cybersecurity News: Cursor, Copilot, Codex, VS Code und Claude Desktop im Detail
Binance-Hack
Binance: vorläufiger Untersuchungsbericht, Stand 3. November
Chainalysis: Tracing the 6.4 Billion Theft to North Korea
TRM Labs: North Korea steals USD 6.36 billion from Binance
Halborn: Signing Service, EIP-7702 und MPC
StepSecurity: Developer Machines, AI Tooling und Wallet Signing
Tokenpost: mindestens 36 Dienste über 16 Blockchains
Trezor und Ledger: Implantat in der Distributionskette
Trezor: Implant reported in a Trezor sold by CryptoBilis
The Hacker News: Trezor warns of suspected hardware implant
Help Net Security: Wallets may hide a seed-stealing implant
Am Rande erwähnt
FTX verkaufte die Anthropic-Beteiligung für 1,3 Milliarden, heute rund 47 Milliarden wert
Team Repair für Kinder
https://www.team.repair/

Ich fange mit dem an, worüber ich bewusst nicht spreche: die PHP-Schwachstelle, die mutmaßlichen Angriffe auf Kühlsysteme in mehreren europäischen Ländern und die mögliche Spyware auf Geräten von Bundestagsabgeordneten. Dazu fehlt mir Belastbares, und Mutmaßungen gibt es schon genug.
Arctic Wolf Labs hat über 400 Vorfälle untersucht, bei denen externe Teams-Chats als Fake-IT-Support dienen. Erst hunderte Newsletter im Postfach, dann meldet sich der „Service Desk“, Quick Assist, unter 15 Minuten bis zum Payload. Ich erkläre, warum das ohne jeden Exploit funktioniert und was ihr an Einstellungen und Awareness ändern solltet.
Cohere hat bei Alibabas Qwen3.8-Flash-Next beobachtet, wie das Modell im Benchmark das Dateisystem absucht und eine Testdatei an einen Bucket in Peking schicken will. Check Point hält nach eigener Reproduktion eine Backdoor für unwahrscheinlich. Für mich bleibt: lokale Inferenz allein ist keine Datensouveränität.
Zum Schluss Sungrow. Marlon Starkloff kam über einen Authentifizierungs-Bypass in der iSolarCloud vom normalen Konto bis zu Adminrechten, CVSS 9.2. Ich ordne ein, was das für Hunderttausende Wechselrichter heißt, wo Hersteller und Forscher sich widersprechen und warum ich die Blackout-Schlagzeilen trotzdem nicht mitgehe.
Shownotes
Fake-IT-Support über externe Microsoft-Teams-Chats
Arctic Wolf Labs: Threat Actors Abuse Microsoft Teams External Chat for Initial Access
Infosecurity Magazine: Attackers Exploit Teams External Chat to Breach Organizations in Under 15 Minutes
Borncity: Teams-Betrug – Angreifer verschaffen sich in unter 15 Minuten Fernzugriff
Techzine: Attackers are exploiting Teams chat as a fake IT help desk
Qwen3.8-Flash-Next und der Upload-Versuch nach Peking
Cohere: Concerning behavior from a popular open-weight AI model
Cohere Labs: Traces und Reproduktionsmaterial auf Hugging Face
Check Point Research: Cohere’s Qwen Story Looks More Like Model Jaggedness
VentureBeat: What enterprises should know
Sungrow iSolarCloud: Authentifizierungs-Bypass
CVE-2026-107194 (CWE-288, CVSS 9.2)
Sungrow Security Incident Response
Hessenschau: Hacker entdeckt kritische Sungrow-Schwachstelle
Hessenschau: Wie kritisch war die Sungrow-Sicherheitslücke?
t3n: Ein Klick bis zum Blackout
pv magazine: Sungrow schließt Schwachstelle in seiner iSolarCloud
Security-Insider: Schwachstelle gab Adminrechte ohne Passwort
Regulatorische Einordnung
OpenKRITIS: NIS2-Umsetzungsgesetz, in Kraft seit Dezember 2025

No news roundup this time, and in English. I met Daniel at CyberChess in Riga, where we ended up on stage together, and the conversation afterwards was good enough that I asked him on the show a week later. He has spent 25 years in AI, first in academia and later running research labs at the Swedish Institute of Computer Science and the Chalmers AI Research Centre. For the past three years he has been Chief of AI at Recorded Future.
I wanted to know from someone who was doing this long before the LLM boom whether the past few years were a genuine scientific breakthrough or just very good scaling. His answer surprised me, and it reframed how I think about where the remaining headroom actually sits. We also get into what benchmarks are still worth, and why the stochastic-parrot debate says more about us than about the models.
Then agents, where my own experience is that the demos look great and reliability falls apart on anything longer than ten minutes. Daniel explains what is really holding these systems back, and why the fix has less to do with AI than most people expect. From there to the Hugging Face incident: we both think the industry latched onto the wrong part of it, and the part that should worry us got almost no attention. Plus the question I keep asking security teams without having a good answer myself: how do you know when your guardrails are enough?
Towards the end we talk about Europe, and Daniel is blunt about what is actually holding us back. It is not the AI Act. We get into Chinese open-weight models and why open weights buy you far less freedom than people assume, into chips and ASML, and into one path for Europe that sounds almost heretical but might be the most realistic option left.

Ich fange mit einem Rant an. Der Angriff auf das digitale Rathaus von Tangerhütte wird mir seit Tagen als erster KI-Angriff auf eine deutsche Kommune in die Timeline gespült, gestützt auf zwei Argumente: zu viele Kommandos für einen Menschen und Code, der sich während des Angriffs verändert hat. Beides beschreibt erstmal Automatisierung, die wir seit Jahrzehnten sehen. Das LKA Sachsen-Anhalt kann den KI-Einsatz weder bestätigen noch ausschließen. Mir geht es nicht um diesen Fall, sondern darum, was wir eigentlich als Nachweis verlangen sollten: LLM-Callbacks, API-Traffic zu Modellanbietern, Tool-Call-Logs, Provider-Telemetrie.
Dann der spannendste Bericht der Woche: Citizen Lab und Confiant dokumentieren unter dem Namen AdFection, wie kommerzielle Spyware über ganz normales Real-Time-Bidding ausgeliefert wurde. Die israelische Werbefirma Discover-Tech kaufte gezielt Werbeplätze, das JavaScript der Anzeige meldete sich beim Server, und nur bei passenden Zielen ging es weiter an Candirus Exploit-Infrastruktur. Mindestens 45 Geräte im Umfeld von Al Jazeera waren betroffen. Wichtig bleibt: ohne Browser-Exploit kein Zugriff, und die vollständige Kette konnten die Forscher nicht rekonstruieren.
Zu den französischen Supermärkten, über die auf LinkedIn viel durcheinanderging: Die Angreifer haben nicht einfach die Kühlung ausgeschaltet, sondern die Abtauprogramme missbraucht, acht Stunden statt einer, bis zu 50 Grad. Rund 700 von 10.000 Märkten betroffen, Schäden bis 200.000 Euro pro Standort. Claroty hatte im August Schwachstellen in genau diesen Controllern beschrieben, sagt aber selbst, dass der tatsächliche Angriffsweg unbekannt ist. Auch nach dem Angriff standen hunderte dieser Oberflächen noch offen im Netz.
Zum Schluss XBOW: eine vollständige Exploit-Kette gegen Chrome über V8, den WebP-Decoder und Crashpad, 250.000 Dollar Bounty. Die berühmten sechs Tage betreffen nur die letzte Phase, das Projekt lief seit Anfang des Jahres, und die erste Kette brauchte zwei Monate. Rund 40.000 Dollar Inferenzkosten. Eingesetzt wurden ausschließlich öffentlich verfügbare Modelle.
Citizen Lab: AdFection
https://citizenlab.ca/2026/10/adfection-candiru-spyware-delivered-through-targeted-advertising/
Confiant: technische Analyse zu Discover-Tech
https://www.confiant.com/news/adfection-discover-tech
BleepingComputer zur AdFection-Kette
https://www.bleepingcomputer.com/news/security/zero-click-attacks-used-targeted-ads-to-deliver-candiru-spyware/
CERT-FR: Kompromittierung von Kühlsteuerungen
https://www.cert.ssi.gouv.fr/alerte/CERTFR-2026-ALE-014/
Claroty Team82: Freeze the Controller, Defrost the Food
https://claroty.com/team82/research/freeze-the-controller-defrost-the-food
XBOW: Chrome Full-Chain in sechs Tagen
https://xbow.com/blog/xbow-built-a-chrome-full-chain-exploit
XBOW Labs: Zero to Calc in Six Days (technische Details)
https://xbow.com/blog/zero-to-calc-chrome-full-chain
MDR zum Angriff auf das digitale Rathaus Tangerhütte
https://www.mdr.de/nachrichten/sachsen-anhalt/stendal/tangerhuette/cyberangriff-rathaus-kuenstliche-intelligenz-100.html

Folge 90 von Breach FM Flurfunk, und wenn wir jede Woche durchziehen, landet Folge 100 ziemlich genau zwischen Weihnachten und Silvester. Vorher noch ein kurzer Rant darüber, was der DMA mit MEINEM Google Maps angestellt hat, bei dem Max Imbiel mir die Zustimmung mal wieder konsequent verweigert.

Max bringt die ukrainischen Drohnenangriffe auf drei Yandex-Rechenzentren innerhalb weniger Tage. In Sasovo stehen wohl zwei der drei Supercomputer, auf denen Yandex seine KI-Modelle trainiert. Danach ging der als automatisiert klassifizierte Traffic aus dem Yandex-Netz um über 99 Prozent runter, woraus auf LinkedIn und X binnen Stunden wurde, der russische Bot-Traffic sei abgeschaltet. Mein Problem damit: Ein Search-Crawler ist auch ein Bot. Wer sich den gesamten nicht-menschlichen Traffic aus Russland im Cloudflare Radar anschaut, sieht keine Trendlinie nach unten. Dazu die größere Frage, warum wir bei Desinformation so gern so tun, als wäre der Brand ohne die Brandbeschleuniger nicht längst da.

Der NRW-Ermittlungserfolg gegen Qilin: LKA und ZAC haben die Gruppe monatelang infiltriert, bis zu den Rechnern der Täter. Als klar wurde, dass ein 28-jähriger Russe nach Japan in den Urlaub wollte, wurde er dort im Mai festgenommen und Anfang Oktober nach Deutschland überstellt, obwohl es kein bilaterales Auslieferungsabkommen gibt. Fast 4.000 betroffene Organisationen seit 2024, rund 150 in Deutschland. Ich vermische dabei live zwei Meldungen und muss mich selbst korrigieren, was die Überleitung zu den Lunar Moth Files erklärt, den geleakten Chatprotokollen der Silent Ransom Group.

Zum Schluss AgentCorruption: Zenity Labss hat gezeigt, wie ein öffentlich erreichbarer Agent auf AWS Bedrock AgentCore per Prompt dazu gebracht wird, den Metadatendienst abzufragen und seine eigenen temporären Credentials herauszugeben. Über die viel zu weitreichende Standardrolle kamen die Forscher danach an andere Agenten, deren Container-Images, fremde Konversationen und den Secrets Manager. AWS hat zweimal nachgebessert und nennt das Verhalten trotzdem dokumentiert und erwartet. Dazu die 300 Dollar, die OpenAI für einen Sandbox Escape gezahlt hat, und die Frage, wie lange Responsible Disclosure das noch aushält.

Zenity Labs: AgentCorruption
https://labs.zenity.io/p/agentcorruption-aws-bedrock-agentcore
Einordnung und AWS-Statement (CSO Online)
https://www.csoonline.com/article/4232054/awss-repeated-problems-with-ai-agent-controls-illustrates-the-autonomous-agent-dilemma.html
Unit 42 zu AgentCore-Isolation
https://unit42.paloaltonetworks.com/amazon-bedrock-agentcore-research/
Qilin-Festnahme: Statement von Innen- und Justizministerium NRW
https://www.land.nrw/node/25664
Qilin: Hintergrund zur Auslieferung aus Japan (heise)
https://www.heise.de/news/Qilin-Mitglied-aus-Japan-nach-Deutschland-ausgeliefert-11433891.html
Drohnenangriff auf Yandex Sasovo (Reuters via ThePrint)
https://theprint.in/world/drones-hit-yandex-data-centre-in-first-major-attack-on-russian-data-hub/3065222/
Zweiter Angriff in Kaluga (Meduza)
https://meduza.io/en/news/2026/10/09/several-modules-of-yandex-s-data-center-in-russia-completely-knocked-out-by-ukrainian-drone-strike
Cloudflare Radar: Bot-Traffic Russland
https://radar.cloudflare.com/ru