Asset Discovery über Zertifikate

In Projekten werden wir oftmals beauftragt, sogenannte OSINT-Analysen („Open Source Intelligence“) durchzuführen, in denen je nach Anforderung unterschiedliche Aspekte der (IT-) Sicherheit anhand öffentlich zugänglicher Daten näher betrachtet werden sollen. Besonders ausführlich fällt diese Analyse bei TIBER/DORA oder Red/Purple Team Assessments aus, wobei ein möglichst ganzheitliches Bild der potenziellen Angriffsfläche bzw. der Bedrohungslage erfasst werden soll, beispielsweise hinsichtlich:

Vorhandener IT-Infrastruktur und deren Schwächen
Möglicher physischer Angriffsvektoren
Schützenswerten Informationen, die eventuell öffentlich zugänglich sind
Gestohlener Passwörter
Bedrohungslage durch reale Akteure
U.v.m.

Unabhängig davon was genau gefordert wird – das übergeordnete Ziel bleibt immer konstant: Unterschiedlichste Informationen auszumachen, die öffentlich verfügbar und für Angreifer interessant, also einem Angriff zuträglich, sein könnten.
Doch schon beim ersten Punkt (dem Identifizieren von vorhandener IT-Infrastruktur) kann man sich wundern, wie genau das eigentlich […]

Von Martin Brödl|2025-10-28T09:38:11+01:0028. Oktober 2025|

Chalk and Debug – ein Angriff im Schatten von S1ngularity und Shai-Hulud?

Spätestens seit dem SolarWinds Angriff 2020 rückt die Software Supply Chain aufgrund der von Ihr ausgehenden direkten Gefährdung von Softwareprojekten innerhalb von Unternehmen immer mehr in den Fokus der IT-Sicherheit. Innerhalb der letzten Wochen zeigte sich erneut, wie anfällig zentrale Distributionsplattformen für Open-Source-Komponenten sind: Die Paketquelle NPM wurde gleich drei Mal kompromittiert – jeweils mit dem Ziel, Schadcode über weit verbreitete Bibliotheken in Entwicklungsumgebungen einzuschleusen.

Diese Angriffe verdeutlichen eindrücklich, dass selbst weit verbreitete Paketquellen wie NPM keine absolute Sicherheit bieten und sich zunehmend zu einem attraktives Angriffsziel innerhalb der Software-Lieferkette entwickeln. Neben den bekannteren und größeren Angriffen der letzten Wochen, S1ingularity und Shai-Hulud, wurden auch in einem unbekannteren, weiteren Angriff 18 Pakete mit mehreren Milliarden Downloads pro Woche mit einem Crypto-Trojaner infiziert. In diesem Blogbeitrag […]

Von Manuel Tobies|2025-10-15T10:32:47+02:0030. September 2025|

DICOM – Das Gesundheitswesen im Visier von Angreifern

Dies ist eine aktualisierte Version unseres Blog-Artikels „DICOM – Angriffe auf den wohl wichtigsten Standard im Medizinsektor“

Der DICOM-Standard ist im Gesundheitswesen aus den meisten bildgebenden oder bildverarbeitenden Systemen nicht mehr wegzudenken. Insbesondere im klinischen und interdisziplinären Umfeld ermöglicht dieser Standard Interoperabilität zwischen Systemen verschiedener Hersteller.

Die meisten Personen sind in ihrem Leben mit DICOM auf die ein oder andere Weise schon mal in Berührung gekommen, z. B. bei MRTs oder CTs. Wurde beispielsweise nach einer Röntgenaufnahme eine CD für Folgetermine mitgegeben oder diese an einen anderen Arzt übermittelt, wurden die Bilder höchstwahrscheinlich im DICOM-Format gespeichert.

In diesen DICOM-Daten sind neben persönlichen Informationen wie Vor- und Nachname, Geburtsdatum und Geschlecht zusammen mit den Bildern der Untersuchung meist auch sensible Informationen wie Befund- und Diagnosedaten gespeichert. Dadurch fallen […]

Von Christoph Peil|2025-08-29T12:17:45+02:0029. August 2025|

Mehrere Schwachstellen in UC eBanking Prime

NSIDE hat mehrere, zum Teil kritische Schwachstellen in UC eBanking Prime (Versionen 6.1.0 und 6.2.0) gefunden. Die Schwachstellen ermöglichen Angreifern unter bestimmten Umständen unautorisierten Zugriff zur UC eBanking-Prime-Webanwendung und damit zu sensiblen Daten wie Kontoständen und der Transaktionshistorie. Leider wurden sie bisher nur zum Teil vom Hersteller adressiert.

Technische Details

In einer vorherigen Version des Artikels waren weitere Informationen zu den Schwachstellen enthalten. Auf expliziten Wunsch eines Kunden haben wir uns entschieden, die Veröffentlichung technischer Details auf einen späteren Zeitpunkt zu verschieben. Schauen Sie gerne regelmäßig vorbei, um über alle Updates informiert zu bleiben.

Responsible Disclosure

Wir haben die Schwachstellen in einem Kundenprojekt Ende März 2025 entdeckt und sie mit Zustimmung unseres Kunden am 7. April 2025 an die Hypovereinsbank gemeldet. Nach initialem Zögern hat die Hypovereinsbank die Schwachstellenmeldung […]

Von Jonas Lieb|2025-09-05T14:58:53+02:0028. August 2025|

DORA TLPT in Deutschland

DORA TLPT in Deutschland: Entwicklungen, Zusammenhänge und nächste Schritte

Die Finanzbranche steht vor bedeutenden Veränderungen im Bereich der Cybersicherheit. Mit dem Inkrafttreten des Digital Operational Resilience Act (DORA) und der Einführung von verpflichtenden Threat-Led Penetration Tests (TLPT) müssen Finanzinstitute ihre digitale Widerstandsfähigkeit nachweisen. Als erfahrener TIBER-Provider möchten wir Ihnen einen Überblick über die aktuellen Entwicklungen, die Zusammenhänge zwischen TIBER und DORA sowie die nächsten wichtigen Schritte geben.

DORA und TLPT: Was bedeutet das für Finanzinstitute?

Der Digital Operational Resilience Act (DORA) ist am 16. Januar 2023 in Kraft getreten und wird seit dem 17. Januar 2025 offiziell angewendet. DORA ist eine EU-Verordnung, die darauf abzielt, die digitale Betriebsstabilität im Finanzsektor zu stärken. Ein zentrales Element von DORA sind die verpflichtenden Threat-Led Penetration Tests (TLPT), die von bestimmten Finanzinstituten […]

Von NSIDE|2025-07-04T14:06:34+02:006. Mai 2025|

Vorteile eines eigenen C2-Frameworks für Red-Teaming-Assessments

Was sind C2 Frameworks und wofür werden sie eingesetzt?

Zuerst einmal: Was bedeutet eigentlich „C2“? „C2“ steht für „Command and Control“ und beschreibt eine Software, die Angreifer nutzen können, um einen infizierten Rechner über das Internet fernzusteuern. Hierüber können weitere Angriffe geplant und durchgeführt werden. Fast in jedem größeren Cyber-Angriff kommt daher eine Schadsoftware mit C2-Funktion zum Einsatz. Da während eines Red-Teaming-Projekts realistische Angreifer simuliert werden sollen, nutzen dementsprechend auch professionelle Red-Teams solche C2-Frameworks.

Kommerziell oder Open Source?

Während Cobalt Strike lange der Platzhirsch unter den kommerziellen „Adversary Simulation“ Programmen war, kamen in den letzten Jahren einige kommerzielle Frameworks (Nighthawk, Brute Ratel C4), sowie einige OpenSource Frameworks (Mythic Agents, Sliver, Havoc, …) hinzu. Doch das Problem von öffentlich bekannten und quelloffenen Schadsoftware-Frameworks […]

Von Marius Schwarz|2024-06-18T15:46:37+02:003. Juli 2024|

Common Vulnerabilities and Exposures (CVE)

Einleitung

In der Welt der Informationstechnologie ist die Sicherheit von entscheidender Bedeutung. Doch mit zunehmender Komplexität und der schieren Menge verschiedener Software und Hardware sind auch die potenziellen Schwachstellen in den Systemen häufiger und vielfältiger geworden. Die eindeutige Identifizierung und Kommunikation dieser Sicherheitslücken wurde immer schwieriger und war oft uneinheitlich und inkonsistent. Wurden Sicherheitslücken über mehrere Produkte hinweg bewertet und katalogisiert, kam es zu Verwirrung und Doppelungen, sodass nur ineffektiv und ineffizient auf Bedrohungen reagiert werden konnte.

Was ist CVE?

CVE steht für Common Vulnerabilities and Exposures und ist ein Verzeichnis für öffentlich bekannte Schwachstellen. CVEs oder auch CVE-IDs sind gedacht, um Schwachstellen eindeutig zu identifizieren und die Kommunikation über verschiedene Grenzen hinweg zu erleichtern. Dies soll auch die Identifikation ermöglichen, wenn z. B. eine Schwachstelle in verschiedenen Software-Versionen […]

Von NSIDE|2024-06-18T15:48:29+02:0025. Juni 2024|

Offenlegung von Sicherheitslücken

Im Rahmen von Kunden-Projekten oder Research-Projekten werden immer wieder Schwachstellen oder Sicherheitslücken aufgedeckt, die Herstellern, Kunden und Analysten unbekannt sind. Hier stellen sich berechtigterweise immer wieder Fragen zur Sinnhaftigkeit und zu Vorteilen oder Nachteilen der Veröffentlichung von Schwachstellen.

Warum sollte eine Schwachstelle veröffentlicht werden?
Wann sollte eine Schwachstelle veröffentlicht werden?
Wie schaut es mit dem Sicherheitsupdate (Patch) seitens des Herstellers aus?
Sollte eine Schwachstelle veröffentlicht werden, bevor eine Absicherung durch einen Patch verfügbar ist?
Habe ich als Hersteller Nachteile bei einer Veröffentlichung von Schwachstellen?
Gibt es Vorteile einer Veröffentlichung von Schwachstellen für Hersteller oder Anwender?
Was ist Responsible Vulnerability Disclosure (RVD) oder Coordinated Vulnerability Disclosure (CVD)?
Wann sollten Schwachstellen nicht veröffentlicht werden?

Wie eine Offenlegung von Schwachstellen gelingt und nicht […]

Von NSIDE|2024-06-18T15:49:16+02:0020. Juni 2024|

Lektionen aus der Entwicklung einer unsicheren KI-Anwendung

Im Zuge unserer Auseinandersetzung mit KI-Sicherheit, besonders in Bezug auf Large Language Models (LLMs) haben wir eine bewusst unsichere KI-Anwendung entwickelt. Diese haben wir auf GitHub veröffentlicht und nutzen Sie, um unseren Kunden Risiken und mögliche Schwachstellen beim Einsatz von KI-Anwendungen aufzuzeigen. Das fertige Projekt zum selbst Testen findet sich hier auf GitHub: https://github.com/NSIDE-ATTACK-LOGIC/Professional-Secure-AI-Bot

Die App sieht so aus:

Neben den Schwachstellen, welche die Applikation verdeutlicht, gab es auch bei der Entwicklung selbst einige spannende Erkenntnisse, welche ich in diesem Blog kurz zusammen fassen möchte.

KI kann alles außer zuhören

Um Schwachstellen zu demonstrieren, müssen (unzureichende) Sicherheitsmaßnahmen in die Anwendung eingebaut werden, welche im Anschluss überwunden werden. Da LLMs mit menschlicher Sprache funktionieren, ist es verlockend, diesen Modellen klare (so denkt man) Anweisungen in menschlicher Sprache […]

Von Paul Zenker|2024-06-24T10:02:11+02:0019. Juni 2024|

Spiderfoot – Die Spinne im Netz der Daten

Auch wenn man bei einer offensiven Sicherheitsfirma, wie wir es sind, oftmals an den Angriff selbst denkt, also das Eindringen ins Netzwerk und das Hangeln und Springen über verschiedene Accounts, Computer und Server. Aber um solche Angriffe realistisch durchzuführen, sammeln unsere Analysten erstmal viele öffentlich verfügbare Daten aus dem Internet. Über diesen Prozess haben wir in den folgenden Artikeln schon ausführlich berichtet:

Open Source Intelli g ence (OSINT)

Tar g eted Threat Intelli g ence (TTI)

Für diese Arten der Angriffsvorbereitung ist es oftmals erforderlich, eine Menge Daten aus vielen Quellen zu sammeln und geordnet zusammenzutragen. Dies erfordert unter Umständen eine große Menge manueller Arbeit und daher automatisieren wir in diesem Bereich gerne viel. […]

Von Paul Zenker|2024-06-03T10:31:25+02:0016. April 2024|

Red Team Assessment

Penetrationstest

Trainings & Workshops

Allgemein

BLEIBEN SIE AUF DEM LAUFENDEN