Der Schlagabtausch begann mit einer Warnung von ReliaQuest vor einer laufenden ShinyHunters-Kampagne mit gefälschten Unternehmensdomains. Die Gruppe konterte öffentlich mit Screenshots eines mutmaßlich übernommenen Okta-Zugangs und listete den Anbieter auf ihrer Leak-Seite – dort fanden sich jedoch lediglich einige Screenshots.
ReliaQuest veröffentlichte daraufhin eine detaillierte Aufarbeitung: Ein Mitarbeiter fiel auf einen Telefonanruf herein und gab seine Zugangsdaten auf einer nachgebauten SSO-Seite ein. Der Zugriff blieb nach Unternehmensangaben auf eine reine Lesefunktion im SSO-Portal beschränkt, sensible Daten seien nicht betroffen gewesen, die Versuche zur lateralen Bewegung scheiterten an vorhandenen Sicherheitskontrollen.
Alex Culafi ordnet das Vorgehen in die Tradition von Lapsus$ ein – ShinyHunters wird häufig als „Shiny Lapsus$ Hunters" bezeichnet. Lapsus$ sei in seiner Anfangsphase für Einbrüche mit geringer Wirkung bekannt gewesen: schnell etwas Quellcode abgreifen, in ein Portal gelangen, einen Screenshot machen und damit prahlen. Formal, so Culafi, sei ReliaQuest über das Okta-Portal durchaus kompromittiert worden, passiert sei aber praktisch nichts – für ihn eher ein Beleg dafür, dass Zero-Trust-Konzepte funktionieren. Rob Wright hält manche der ersten Reaktionen für überzogen: ReliaQuest habe selbst betont, dass man mit erfolgreichen Phishing-Versuchen rechne; entscheidend sei, was danach passiere. Nicht jeder Einbruch sei gleich zu bewerten, deshalb brauche es Kontext – wer nur die Überschrift lese, halte ReliaQuest womöglich für schwer getroffen.
Zweites Thema der Folge ist eine Untersuchung von Unit 42, der Forschungsabteilung von Palo Alto Networks, zu Schadsoftware mit KI-Bezug – von KI-generiertem Code über KI-Themen als Köder bis zu agentischen Malware-Konzepten. Von 405 analysierten Samples tauchten nur zwölf auf tatsächlich produktiven, mit Cortex XDR geschützten Endpunkten auf; 97 Prozent wurden ausschließlich in Sandboxes, auf VirusTotal oder in Forschungsarchiven gesehen. Alle zwölf realen Fälle wurden von bestehenden Schutzmechanismen erkannt und blockiert, darunter überwiegend zusammengeklickte Ransomware.
Die Fazit der Forscher: KI beschleunigt die Entwicklung von Schadsoftware, doch etablierte Kontrollen reifer Sicherheitsorganisationen greifen weiterhin. Ein Großteil der gefundenen Samples dürfte aus Forschungsexperimenten oder frühen Versuchen von Angreifern stammen. Wright verweist zugleich auf kommende Frontier-Modelle, die diese Rechnung deutlich verändern könnten. Culafi ergänzt, die Untersuchung erinnere an die realen Engpässe eines Angriffs: Persistenz halten, Geld verdienen und unentdeckt bleiben seien ebenso Teil der Kette wie das Ausführen eines Exploits.
Dritter Punkt: In Westaustralien, im Raum Perth, wurden zwei mutmaßliche Mitglieder der Gruppe TeamPCP festgenommen – Ruben Ian Thomson (21) und Lewis Michael Gaebler (23). Thomson gilt als mutmaßlicher Kopf der Gruppe und wurde in den USA bundesrechtlich angeklagt. KrebsOnSecurity hatte die Beschuldigten über Social-Media-Handles und Online-Aktivitäten mit ihren echten Identitäten verknüpft; auch das Threat-Intelligence-Unternehmen Flare veröffentlichte eine eigene Untersuchung. Ob TeamPCP hinter dem Shai-Hulud-Wurm beziehungsweise dessen kleinerer Variante steckt, ist laut Wright weiter unklar – eine Beteiligung an Lieferkettenangriffen wie den Kompromittierungen rund um Trivy und Aqua Security gilt jedoch als gesichert genug, um von einem wichtigen Ermittlungserfolg zu sprechen.