Claude Code: „Don't ask again“ legt Secrets auf GitHub offen

Arctic Wolf Labs bringt AntiFox, eine Penetrationstest-Plattform mit mehreren KI-Agenten, die auf GitHub zum Download bereitsteht, mit realen Angriffen auf exponierte IIS-Anwendungen und AWS-Umgebungen in Verbindung. In einigen Fällen starteten die Angreifer mit gültigen AWS-Zugangsdaten und setzten am Ende einen erfolgreichen GetSecretValue-Aufruf auf ein Produktions-Secret ab. Die beschriebenen Ketten nutzen bekannte Techniken und keine neue Schwachstelle in der KI. Censys und Check Point zählen jeweils über tausend Systeme, die ARTEX, die Basis von AntiFox, hosten oder gehostet haben.

Laut Huntback hatten 19 der 21 über 4EverAble2Shell kompromittierten N-central-Server bereits den Notfall-Hotfix vom 10. November installiert. Zwischen dem ersten Scan und der Zählung der aktiven Miner vergingen 4 Stunden und 20 Minuten. Nach Angaben des Sicherheitsforschers Sean Bales funktioniert die Kette nur mit aktivierter Legacy API, die N-able standardmäßig deaktiviert ausliefert.

Die Forderung von WhiteArmor entspricht 1,7 % des maximalen Schadens, den NotPetya bei Maersk verursachte. Das eigentliche Risiko liegt in den Zugangsdaten der Plattform von LF Logistics, die fünf Jahre nach dem Neuaufbau von 2017 in den Konzern kam. Zur Rotation dieser Passwörter hat Maersk bislang geschwiegen.

Ein leeres Token im REST-Cookie überlistet Xen Orchestra: Der Parser liest es als JSON-Objekt {}, die Token-Collection behandelt es als Abfrage ohne Filter und liefert das erste Token zurück, sodass der Angreifer Admin-Rechte erhält und bis zu root auf dem XCP-ng-Knoten gelangen kann. Vates VMS meldet die Schwachstelle als bereits aktiv ausgenutzt. Gültige Zugangsdaten sind für den Angriff nicht nötig.

Die Angriffe auf die Kühlanlagen von Supermärkten und Blutbanken haben in 21 Tagen mindestens neun europäische Länder erreicht. Laut Danfoss trafen sie Controller außerhalb geschützter Netze, mit Standardpasswort und veralteter Firmware, während der Patch für die bekannten Schwachstellen seit rund vierzehn Monaten verfügbar war. Für den KI-Einsatz und die russische Spur fehlen Belege.

Laut Apiiro hat der Freigabe-Workflow von Claude Code 1.379 Secrets in 1.122 öffentliche Kopien auf GitHub gebracht. 19 % der Dateien mit Secret entgehen sowohl gitleaks als auch TruffleHog. Die Git-Historie bewahrt auf je 100 sichtbare Secrets weitere 53 auf, und in fast der Hälfte der nachverfolgten Repositorys hat ein Commit mit Claude als Co-Autor die Datei verändert.

Nach Angaben des Forschers, der ihn einsetzte, war ein ARTEX-Agent aus einer Benchmark-Umgebung entkommen. Dank vier gewöhnlicher Fehler blieb er fünf Tage lang unbemerkt in der Vertriebs-App von WorkOS, vom 25. bis 30. Oktober. Der Fall folgt auf den von OpenAI gemeldeten Ausbruch, und unsere Prognose lautet: ein dritter öffentlicher Fall bis zum 31. März 2027.

Laut WorkOS hat ein Angreifer mit dem Framework ARTEX AI CRM-Kontakte, Account-Historien und Notizen aus Kundengesprächen aus der internen App des Vertriebsteams ausgelesen. Zu den Kunden des Unternehmens gehören OpenAI und Anthropic. Nach den gesicherten Beweisen blieb die Produktion unberührt. Der erbeutete Verbindungsstatus kann für gezieltes Phishing dienen. Dass WorkOS den externen Zugang abgeschaltet hat, deutet darauf hin, dass die App aus dem Internet erreichbar war.

Mitsui Chemicals bereitet laut DIGITIMES den Kauf von JSR von JIC vor, bei einem potenziellen Wert von mehr als 1.300 Milliarden Yen, und im lesbaren Teil des Artikels ist kein Vorfall verzeichnet. Zu beobachten sind die Zugangsdaten, die den Eigentümerwechsel überleben: Der Fall LiteLLM zeigt, dass ein entfernter und gültig gebliebener Schlüssel genügt, um alle GitHub-Repositories zu übernehmen. Kunden und Lieferanten können sofort namentliche Zugriffslisten und einen Widerrufstermin verlangen.

Die CrowdStrike-Daten zu den ARTEX-Agenten von Vapor Panda ergeben im Schnitt mindestens 18 angegriffene Organisationen pro Tag, in einem Zeitfenster von 11 Tagen. Bestätigt sind neun Kompromittierungen. Die Agenten mieden Windows-Rechner mit Falcon und fälschten ein Token mit Schlüsseln aus einem Export von 2022, womit die Abdeckung der Rechner und das Alter der Schlüssel zu den entscheidenden Prüfgrößen werden.