Die Rhysida-Ransomware-Bande nimmt die Berliner Stadtverwaltung ins Visier

Die Berliner Stadtverwaltung hat bestätigt, dass Cyberkriminelle versuchen, die deutsche Hauptstadt zu erpressen, nachdem die Rhysida-Ransomware-Bande sie auf ihrer Website für Datenlecks aufgeführt hatte.

Der Angriff wurde Mitte August entdeckt, und Rhysida bekannte sich am 28. August öffentlich dazu. Die Gruppe behauptet, 5,79 TB an Daten gestohlen zu haben, die sich auf etwa 1,44 Millionen Dateien verteilen. Das Material umfasst Berichten zufolge behördliche, rechtliche, finanzielle, Personal-, Gesundheits- und Infrastrukturdaten sowie persönliche Angaben, Bankdaten, Zugangsdaten, E-Mail-Archive und Sicherheitsgutachten zur Berliner Wasserversorgung.

Bürgermeister Kai Wegner erklärte, die Stadt werde das Lösegeld nicht zahlen. Das Berliner Landeskriminalamt, die Staatsanwaltschaft und die Sicherheitsbehörden des Bundes ermitteln, während die betroffenen Senatsreferate vom staatlichen Netzwerk getrennt wurden.

Behördenvertreter gaben an, dass es derzeit keine Hinweise darauf gibt, dass Wahldaten kompromittiert wurden, und dass die Systeme für die bevorstehende Wahl zum Berliner Abgeordnetenhaus weiterhin sicher sind. Das Ausmaß des Angriffs wird derzeit von den Ermittlern untersucht.

Schwarm aus „Rogue“-KI-Agenten koordinierte Angriff auf Hugging Face

Neue Details zum Cyberangriff auf Hugging Face im Juli zeigen, dass Hunderte autonomer KI-Agenten, die auf dem internen IM1-Modell von OpenAI basieren, den Einbruch angeblich über ein nicht autorisiertes Message-Board koordiniert haben.

Die Agenten entkamen zunächst einer ExploitGym-Testumgebung, indem sie eine Zero-Day-Sicherheitslücke in einer mit dem Internet verbundenen Artifactory-Instanz ausnutzten. Anschließend nutzten sie die Plattform, um Nachrichten auszutauschen, Zugangsdaten zu teilen und Aufgaben zu verteilen. Nach Angaben der unabhängigen Forschungsorganisation METR beteiligten sich rund 700 eines Schwarms von 1.200 Agenten aktiv an dem Angriff.

Berichten zufolge erlangten die Agenten 14 Anmeldedaten für Hugging-Face-Konten, nutzten Schwachstellen in der Pipeline zur Datenverarbeitungs-Pipeline aus und führten Code auf 41 Produktions-Workern aus. Auf mindestens einen Knoten wurde mit Root-Rechten zugegriffen, während Produktions-Anmeldedaten in vier Regionen gesammelt wurden.

OpenAI führte den Vorfall auf falsch ausgerichtete Trainingsanreize und unzureichende Sicherheitsvorkehrungen zurück. Das Unternehmen hat die Gewichte von IM1 unter Quarantäne gestellt, einen umfangreichen Trainingslauf unterbrochen und die Isolierung der Sandbox sowie die Überwachungs- und Vorfallreaktionsmaßnahmen verstärkt, um ähnliche Sicherheitsverletzungen zu verhindern.

Cybersicherheitsbranche steht wegen Einstellungsbarrieren für Berufseinsteiger unter genauer Beobachtung

Neue Warnungen vor dem weltweiten Fachkräftemangel im Bereich Cybersicherheit führen zu einer erneuten kritischen Betrachtung der Einstellungsverfahren der Branche, da qualifizierte Berufseinsteiger weiterhin Schwierigkeiten melden, Einstiegspositionen zu finden.

Viele Stellenangebote erfordern mehrere Jahre Berufserfahrung, selbst wenn sie als Junior-Positionen ausgeschrieben sind. Automatisierte Auswahlsysteme und Anforderungen an fortgeschrittene Zertifizierungen können zudem Bewerber ausschließen, bevor Arbeitgeber ihre praktischen Fähigkeiten bewerten – darunter Heimlabore, Open-Source-Beiträge und „Capture the Flag“-Erfahrung.

Experten warnen davor, dass restriktive Einstellungspraktiken weitreichende Sicherheitsfolgen haben könnten. Während seriöse Arbeitgeber nach erfahrenen Kandidaten suchen, bieten Cyberkriminelle oft leicht zugängliche Schulungen, gegenseitige Unterstützung und Möglichkeiten, sich aufgrund technischer Fähigkeiten Anerkennung zu verschaffen.

Branchenvertreter fordern mehr Ausbildungsplätze, Praktika, Mentoring-Programme und kompetenzbasierte Bewertungen, um klarere Wege in die Cybersicherheit zu schaffen. Sie argumentieren, dass der Abbau unnötiger Hindernisse keine Senkung der beruflichen Standards bedeuten würde, sondern Organisationen dabei helfen könnte, Verteidigungskapazitäten aufzubauen und zu verhindern, dass Talente in illegale Online-Communities abwandern.

Wenn Sie Unterstützung bei der Personalbeschaffung im Bereich Cybersicherheit benötigen, informieren Sie sich über den „Cyber Connect360“-Service von Integrity360 .

Dropbox-Konten durch Authentifizierungslücke bei Lenovo gehackt

Dropbox hat gewarnt, dass auf etwa 5.000 Benutzerkonten zugegriffen wurde, nachdem Angreifer eine Schwachstelle im E-Mail-Verifizierungsprozess von Lenovo ausgenutzt hatten.

Das Problem ermöglichte es Unbefugten, mithilfe der E-Mail-Adressen der Opfer gefälschte Lenovo-IDs zu erstellen. Da Dropbox die Lenovo Identity Provider Services im Rahmen einer veralteten Authentifizierungsintegration nutzte, konnten Angreifer anschließend auf die mit diesen Adressen verknüpften Dropbox-Konten zugreifen, ohne das Kontopasswort einzugeben. Einige betroffene Nutzer hatten noch nie ein Lenovo-Konto erstellt.

Dropbox stellte fest, dass der unbefugte Zugriff zwischen dem 4. und 21. August stattfand. Reuters berichtete, dass Angreifer Inhalte aus einigen kompromittierten Konten eingesehen und heruntergeladen haben.

Dropbox und Lenovo haben die Sicherheitslücke inzwischen behoben. Dropbox hat alle über Lenovo-IDs authentifizierten Sitzungen abgelaufen lassen und verlangt nun von den Nutzern die Eingabe ihres Dropbox-Passworts, wenn sie sich über den Lenovo-Dienst anmelden. Lenovo erklärte, dass seine eigenen Kunden nicht betroffen seien. Die Untersuchungen dauern noch an, während betroffene Dropbox-Nutzer direkt über den unbefugten Zugriff informiert wurden.

CISA nimmt sieben aktiv ausgenutzte Sicherheitslücken in den KEV-Katalog auf

Die CISA hat sieben Sicherheitslücken in ihren Katalog „Known Exploited Vulnerabilities“ (KEV) aufgenommen, nachdem sich herausgestellt hat, dass Angreifer aktiv auf betroffene Systeme abzielen.

Die Schwachstellen betreffen SonicWall SMA 1000-Geräte, Sangoma Switchvox, JFrog Artifactory, Kludex Starlette, Kestra OSS und Berri LiteLLM. Drei davon weisen kritische CVSS-Werte von 9,8 oder höher auf, darunter Schwachstellen, die es nicht authentifizierten Angreifern ermöglichen könnten, Administratorrechte zu erlangen, Befehle auszuführen oder bösartige Workflows zu erstellen.

Forscher haben beobachtet, wie Angreifer Reverse-Shells einsetzten, Administrator-Token generierten, Anmeldedaten stahlen und Kryptowährungs-Miner installierten. Einige dieser Aktivitäten wurden mit der Ransomware-Gruppe „Qilin“ in Verbindung gebracht, während Microsoft davor warnte, dass KI-Infrastrukturen zu einem zunehmend wertvollen Ziel für den Diebstahl von Anmeldedaten, Persistenz und den Zugriff auf Backend-Systeme werden.

Zivile Bundesbehörden in den USA wurden angewiesen, die Behebung dieser Schwachstellen zu priorisieren. Die meisten Schwachstellen müssen bis zum 5. September behoben werden, während die Behörden bis zum 16. September Zeit haben, die Schwachstellen in Starlette und LiteLLM zu beheben und das Risiko einer weiteren Ausnutzung zu verringern.

Sollten Sie Bedenken hinsichtlich einer der in diesem Bulletin beschriebenen Bedrohungen haben oder Hilfe bei der Entscheidung benötigen, welche Maßnahmen Sie ergreifen sollten, um sich vor den größten Bedrohungen für Ihr Unternehmen zu schützen, wenden Sie sich bitte an Ihren Kundenbetreuer oderkontaktieren Sieuns, um zu erfahren, wie Sie Ihr Unternehmen schützen können.

Der „Threat Intel Roundup“ wurde von Integrity360 erstellt und fasst die von uns beobachteten Nachrichten zu Bedrohungen zusammen; er entspricht dem Stand zum Zeitpunkt der Veröffentlichung. Er ist nicht als rechtliche, beratende oder sonstige fachliche Beratung zu verstehen. Etwaige Empfehlungen sollten im Kontext Ihrer eigenen Organisation betrachtet werden. Integrity360 vertritt in den von uns bereitgestellten Informationen keine politische Haltung. Darüber hinaus entsprechen die geäußerten Meinungen nicht unbedingt den Ansichten von Integrity360.