LONDON (IT BOLTWISE) – In dieser ThreatsDay-Runde zeigt sich ein Muster: Angriffe wirken wie alltägliche Software, Berechtigungen oder harmlose Entwickler-Workflows. Von einer npm-Installation, die auf macOS Infostealer nachlädt, bis zu einer VS-Code-Erweiterung mit versteckter Fernsteuerung reichen die Beispiele. Besonders brisant ist auch die neue GhostCommit-Technik, bei der eine PNG-Datei im Pull Request versteckte Kommandos für einen KI-Reviewer transportiert. Für Security-Teams verschiebt sich damit der Fokus von reiner „Sicherheit prüfen“ hin zu „Was passiert, wenn es missbraucht wird?“
Diese Woche in der ThreatsDay-Zusammenstellung wirkt wie ein Lehrbuch darüber, wie Angreifer Vertrauen operationalisieren. Mehrere Vorfälle drehen sich nicht um „neue“ Exploits, sondern um bekannte Schnittstellen: Installationsprozesse, Marketplace-Extensions, Standard-Paketpfade und sogar das, was Entwicklerteam-interne Review-Schritte ohnehin als vertraut ansehen. Der gemeinsame Nenner ist dabei die Manipulation von Erwartungshaltungen. Ein Paket, das beim Installieren „nur“ Dinge einrichtet, eine Browser-Erweiterung, die wie ein harmloses Tool aussieht, oder ein Pull Request, der wie Code-Review-Arbeit aussieht, können als Transportvehikel dienen – bis hin zu einem versteckten Auftrag für eine KI-Instanz.
Besonders greifbar wird das im Supply-Chain-Teil. Für GitHub Enterprise Server (GHES) kündigt GitHub an, dass Support-Bundle-Uploads ab dem 18. August 2026 blockiert werden, wenn die Appliance nicht mit den erforderlichen Security-Patches aktualisiert wurde. Konkret nennt GitHub als Mindeststände unter anderem die Patch-Versionen 3.21.3, 3.20.5, 3.19.9, 3.18.12 und 3.17.18. Für Organisationen ist das mehr als ein Wartungshinweis: Es zwingt Teams, ihre Update-Fenster so zu planen, dass auch Tooling- und Support-Prozesse nicht „hinterrücks“ zu einem Risiko werden. Auf der Paketebene zeigt sich das gleiche Prinzip bei npm: Das Paket @copilot-mcp/apex soll als postinstall Dropper fungieren und dabei unter macOS eine mehrstufige Infostealer-Logik starten, die unter anderem Login-Daten über gefälschte System-Prompts, Browser-Credentials sowie eine Reihe von geheimnisnahen Artefakten ausliest. Bei solchen Abläufen ist die „harmlos wirkende“ Phase der Installation besonders gefährlich, weil sie häufig ohne zusätzliche Nutzerinteraktion oder Sicherheitsprüfung in bestehende CI- und Developer-Workflows eingebettet ist.
Auch in der Entwicklungsumgebung bleiben die Grenzen fließend. Eine VS-Code-Marketerweiterung namens „Markdown All Pro“ wurde als anlegende Tarnung für „Markdown All in One“ beschrieben, obwohl sie laut den Berichten über eine sehr große Downloadbasis verfügt. Nach der Installation sollen Details wie Username und Hostname an eine fest kodierte IP über unverschlüsselten HTTP-Kanal übermittelt werden und zusätzlich ein Remote-File nachgeladen werden, ohne dass der Nutzer aktiv werden muss. Wichtig ist hier weniger die Größe der Extension als die Strategie: Der Angreifer platziert eine wiederverwendbare „Tür“, über die weitere Aktionen nachgeladen werden können, statt alles auf einmal auszurollen. Selbst der Umstand, dass nach einer Entfernung eine Extension mit identischem Namensmuster wieder auftaucht, verweist auf ein typisches Vorgehen gegen Sichtbarkeit und manuelle Blocklisten. Auf der Paketplattform-Logikebene arbeitet auch PyPI an „Umgebungshärtung“: Neue Uploads zu Releases, die älter als 14 Tage sind, werden abgestellt. PyPI begründet das damit, dass alte, lange stabile Releases sonst leichter als Ziel für Poisoning-Ketten dienen könnten, falls Publishing-Tokens oder Workflows kompromittiert werden. Technisch ist das eine Reduktion der Angriffsfläche, operativ aber eine Verschiebung: Release-Prozesse müssen schneller und sauberer werden, statt „alt = sicher“ vorauszusetzen.
Während diese Punkte die Angriffslogistik im Entwickleralltag abbilden, zeigt ein anderer Strang, wie sehr auch „freie“ Plattformannahmen ausgenutzt werden. Die GhostCommit-Technik verbindet Pull Requests, Bilddaten und KI-gestützten Review in einer Weise, die bei rein textbasierten Prüfern leicht durchrutscht. In der beschriebenen Variante versteckt eine PNG-Datei die eigentliche Anweisung, .env-Dateien byteweise auszulesen, als ASCII-Codes zu kodieren und anschließend einen Selbsttest einzubauen, der nur bei Übereinstimmung mit dem echten.env-Wert zum Commit-Schritt „durchschaltet“. Danach liegt der Payload-Teil still im Repository, bis ein Opfer in einem thematisch anderen Kontext einen Coding-Agent anstößt, der beim Start verarbeitungsrelevante Dateien und Prozeduren aus dem merged Pull Request konsumiert. Damit entsteht ein gefährlicher Kreis: Der Review wird nicht nur „umgangen“, sondern in eine Art verborgenen Datenkanal verwandelt, der sich erst im Agentenlauf erschließt. Genau in dieser Lücke setzt die Frage nach Sicherheitsgrenzen an: Wenn ein Agent auf Repository-Inhalte vertraut, wird die Integrität der Artefakte selbst zur Sicherheitskontrolle.
Abseits der Entwicklerwege zeigen die Meldungen, wie konsequent Angreifer Standard-Nutzerpfade durch Designentscheidungen kapern. Bei Android-„AfterCall“-Apps wird berichtet, dass Nutzer durch aufwändig getarnte Permission-Workflows Overlay-Rechte vergeben, wodurch unmittelbar nach dem Telefongespräch intrusive Werbung erscheinen kann. Solche Ad-Fraud-Ketten funktionieren nicht nur über technische Tricks, sondern über Timing und Erwartung: Der Nutzer assoziiert den Moment nach dem Gespräch mit „normaler App-Aktivität“, obwohl im Hintergrund eine Rechteausnutzung stattfindet. Ähnlich operieren Fake-Alert-Apps, die sich als öffentliche Sicherheitsanwendung ausgeben sollen, um sich in einem installationsbereiten Moment zu platzieren. In den beschriebenen Fällen werden dann Daten wie Sperrbildschirm-Inputs, SMS- und Einmalcode-Zugriffe, Kontakte und Screenshots abgegriffen, außerdem soll eine Remote-Steuerung ermöglicht werden. Das ist ein typischer Trade-off zwischen „Branding“ und „Berechtigungen“: Je glaubwürdiger das Frontend wirkt, desto weniger Prüfung passiert im Moment der Installation.
Für OT-Umgebungen, also für internetangeschlossene Operational-Technology-Systeme, führt derselbe Vertrauensansatz zu anderen Wirkungen. In einem Update eines Hinweispapiers wird vor iranisch-affiliierter Aktivität gewarnt, die auf OT-Geräte abzielt, und es werden speziell Erkennungshinweise für wiederverwendbare Code-Module in Rockwell-Automation-PLC-Programmen genannt. Darüber hinaus weitet die Mitteilung den Herstellerfokus unter anderem auf Schneider Electric und Siemens aus. Inhaltlich geht es dabei nicht um neue Softwarefeatures, sondern um die kontrollierte Abkopplung von direkten Internetzugriffen und um sichere PLC-Deployments. Wenn Angreifer Projektdateien laden und Datenmanipulationen auf HMI- und SCADA-Displays versuchen, wird deutlich, warum Security hier nicht „nur Patch Management“ ist, sondern eine Frage von Segmentierung, Zugriffspfaden und überprüfbaren Projektartefakten. Als Kontrast lohnt sich auch ein Blick auf Cisco: Dort wird ein Ansatz namens Antares vorgestellt, der Vulnerability-Triage in Codebasen schneller machen soll, indem mehrere kleine Sprachmodelle iterativ nach passenden Code-Mustern suchen. Das stellt eine alternative „Agentenlogik“ bereit: statt Agenten für das Ausführen fremder Anweisungen zu missbrauchen, sollen sie bei der Analyse helfen. Der Kern ist trotzdem derselbe Sicherheitsgedanke: Vertrauen in Entscheidungen muss durch überprüfbare Schritte abgesichert werden.
In Summe zeigt ThreatsDay nicht nur eine Sammlung einzelner Malware- und Toolchains, sondern eine gemeinsame Arbeitsweise: Angreifer nutzen das, was Nutzer und Systeme bereits routinemäßig akzeptieren. In der Konsequenz rückt für Security-Teams die Frage nach Limits in den Vordergrund: Wenn ein Schritt klein wirkt, sollte er enge Grenzen bekommen – ob das der Remote-Fetch einer Extension ist, ein postinstall Hook in npm, eine Bilddatei im Pull Request oder eine Android-Permission, die Overlay-Rechte öffnet. Für Unternehmen bedeutet das praktisch, dass Monitoring und Policies nicht ausschließlich auf „bekannte“ Exploits ausgerichtet sind, sondern auf Abweichungen in Erwartungsmustern: unerwartete Netzwerkzugriffe in Installationsphasen, persistente Mechanismen wie Scheduling- oder LaunchAgent-Setups, oder Agentenverhalten, das aus scheinbar unkritischen Artefakten (wie Binary-Assets) Handlungsanweisungen ableitet. Dass die Bedrohungen „dressed as something useful“ erscheinen, macht die Abwehr anspruchsvoller – aber auch planbarer, weil die Angriffsflächen oft genau in den gleichen Integrationspunkten liegen.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "ThreatsDay: Wie Angreifer mit Vertrauen umgehen – von Android bis zu KI-Prompt-Injection" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "ThreatsDay: Wie Angreifer mit Vertrauen umgehen – von Android bis zu KI-Prompt-Injection" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »ThreatsDay: Wie Angreifer mit Vertrauen umgehen – von Android bis zu KI-Prompt-Injection« bei Google Deutschland suchen, bei Bing oder Google News!