In der neuen Folge von Breach FM melde ich mich aus dem ICE mit einem kurzen Canvas-Update zum Einstieg: Instructure hat an ShinyHunters gezahlt und dafür digitale Shredlogs als Löschbestätigung erhalten. Interessante Formulierung für "wir haben gezahlt".

Das erste Hauptthema: Rapid7 hat einen Vorfall analysiert, der zunächst wie ein klassischer Chaos-Ransomware-Angriff aussah – bis auffiel, dass trotz Erpressung und Leak-Seite keine einzige Datei verschlüsselt wurde. Mit moderater Confidence attribuieren die Forscher den Angriff an MuddyWater, eine iranische APT-Gruppe des Geheimdienstministeriums MOIS. Einstieg: Microsoft-Teams-Social-Engineering, Screensharing, Credential-Harvesting, MFA-Manipulation, Persistenz via DWAgent und AnyDesk. Das Fazit: Spionageoperation mit Ransomware-Kulisse. Iran läuft in der breiten Cyberöffentlichkeit immer noch unter ferner liefen – dabei agiert die Gruppe zunehmend aggressiv und methodisch.

Dann bringt Max zwei Berichte zu Mythos Preview in der Praxis: Mozilla beschreibt, wie sie Firefox mit Mythos-Zugang gehärtet haben – weniger Rauschen, vollständige Exploit-Ketten statt isolierter Bug-Hinweise, aber trotzdem über 100 Menschen, die den finalen Code geprüft haben. xbow nutzte Mythos aus Red-Team-Perspektive für Pentesting. Wir diskutieren, wo die Diskrepanz zwischen technisch Machbarem und vertrauenswürdig Auslieferbarem noch liegt – und warum das für Hersteller eine andere Frage ist als für interne Teams.

Kurzes Update von Max: Grafana Labs bestätigt unautorisierten Zugriff auf Teile ihres Repositories. Noch wenig Details, aber relevant angesichts der weiten Verbreitung des Tools.

Dann unser Ausflug ins Boulevard-Segment: Das OLG Hamm hat entschieden, dass Unternehmen für Falschangaben ihrer KI-Chatbots haften – auch wenn korrekte Ausgangsdaten geliefert wurden. Anlass: der Chatbot der Aesthetify GmbH (Dr. Rick & Dr. Nick) hatte den Ärzten frei erfundene Facharzttitel angedichtet. Kläger war die Verbraucherzentrale NRW. Das Gericht: Ein Chatbot ist kein Dritter, sondern Teil der Unternehmensorganisation. Revision zum BGH zugelassen. Für alle, die heute einen Chatbot kommerziell betreiben, ist das ein erster wichtiger Präzedenzfall.

Zum Abschluss ein 404-Media-Artikel von Joseph Cox: Er konnte chinesische Echtzeit-Deepfake-Software für rund 500 Dollar kaufen – kommerziell angeboten, läuft auf Gaming-Hardware, umgeht staatliche Erkennungsmodelle zu fast 100 Prozent. Der Markt für Deepfake-Betrug ist längst kein Darknet-Phänomen mehr.

Canvas/Instructure zahlt Lösegeld

https://www.insidehighered.com/news/tech-innovation/administrative-tech/2026/05/11/instructure-pays-ransom-canvas-hackers

MuddyWater / Chaos Ransomware False Flag (Rapid7)

https://www.rapid7.com/blog/post/tr-muddying-tracks-state-sponsored-shadow-behind-chaos-ransomware/

Mozilla Firefox & Mythos Preview

https://blog.mozilla.org/attack-and-defense/2026/05/06/mythospreview-firefox/

xbow & Mythos Preview

https://xbow.com/blog/mythos-preview

Grafana Labs Breach https://grafana.com/blog/2026/05/12/grafana-security-incident/

OLG Hamm – Chatbot-Haftung Dr. Rick & Dr. Nick https://www.heise.de/news/Dr-Rick-Dr-Nick-Aerzte-verlieren-wegen-KI-Halluzinationen-vor-Gericht-11293866.html

Echtzeit-Deepfake-Software (404 Media) https://www.404media.co/chinese-realtime-deepfake-software-sold-commercially/