Tom (@tom.wicked.design)

#php2shell, es sind doch die langweiligen Basics. In diesem Fall: ein Softwareinventar. Wo finde ich schnell & einfach erste Infos zu installierter Software. Ich weiss, in Zeiten von "AI-Hype-Super-Agent-SOCs" uncool, aber es hilft halt.

Ein zentrales Modul unserer @wicked.design CDI Plattform ist das IT-Hygiene Modul mit Softwareinventar. Unsere Kunden:innen nutzen dies sonst primär im Alltagsbetrieb. Aber in Fällen wie jetzt wird es auch für die Sicherheit essentiell.

🔸Identifikation: Wo finden wir PHP? 🔸Triage: Wie kritisch ist der Server, wo steht er, ist er öffentlich erreichbar, etc. 🔸Reaktion: Offline nehmen, Patches planen und durchführen, wieder online nehmen. 🔸Lessons Learned: Was lief gut? Was hätte man besser machen können?

15 Dec 2025

Der Notepad++-Updater konnte umgeleitet werden und lud #Malware. Aus dem Grund kombinieren wir #Cybersecurity mit #IT-Betrieb und #Audit & #Compliance. Unsere Plattform erlaubt es tausende von Softwarepaketen einfach zu durchsuchen. Deswegen ist die Plattform auch offen für unsere Kunden:innen

15 Dec 2025

Mit @wicked.design möchte ich nicht nur mehr Sicherheit schaffen, sondern auch den Alltag in #KMU vereinfachen. Der IT-Betrieb hat mittlerweile dutzende von Tools, die Compliance Anforderungen steigen, deswegen haben wir unsere Cyber Defence & IT Operations (CDI) Plattform gebaut.

15 Dec 2025

Und im Gegensatz zu klassischen #MSSP managed security service providern ist sie keine Blackbox. Bei uns bekommt ihr Zugang zu euren Daten und könnt mit ihnen Arbeiten und für euren Alltag nutzen.

20 Oct 2025

#Scattered #LAPSUS$ #Hunters #SLH website shinyhunte[.]rs disapeared and is displaying a personal warning message. #ScatteredLAPSUS$Hunters #Cybercrime

15 Oct 2025

#Cyber ist so lange ein IT Thema bis im Betrieb nichts mehr geht. IMHO einer der wichtigsten Punkte im neuen Bericht des @ncsc.gov.uk - und etwas was in den meisten Organisationen noch immer nicht angekommen ist. #Cybersecurity ist #Business!

15 Oct 2025

Deswegen bin ich auch sehr skeptisch ob der Selbsteinschätzung der Firmen im Wirtschaftsschutz 2025 Bericht der @bitkom.org. Gerade im Mittelstand, aber auch in grossen Orgs, sehen wir noch immer einen IT Fokus. Kaum jemand verfügt über die CISO Rolle, und wenn dann meist wieder nur in der IT.

15 Oct 2025

Daraus ergibt sich ein sehr enger Blick rein auf die Technik. Und natürlich möchte man seinen eigenen Bereich auch bestmöglich darstellen. Was am Ende zu grösseren Problemen führt. 🔗: - www.ncsc.gov.uk/files/ncsc-a... - www.bitkom.org/sites/main/f...

#StreetParade, #MobileDeviceManagement und #Risiken - warum ein #MDM alleine nicht reicht 📲 >800k Leute feierten an der weltgrössten Techno Parade in Züri. Darunter auch einige Diebe mit Fokus Mobiltelefone. Den Geräten wurde direkt die SIM-Karte entfernt und sie in Alufolie gewickelt.

Somit besteht auch keine oder kaum mehr die Möglichkeit für ein MDM den angedachten remote wipe durchzuführen. Genau deswegen lohnt es ernsthaftes #Risikomanagement.

13 Aug 2025

Was wollen wir schützen? Was haben wir für, regulatorische, Anforderungen? Wogegen wollen wir es schützen (was kann tatsächlich passiern)? Und vor allem, was machen wir wenn es passiert? Deswegen liefern wir nicht nur Excel Listen, sondern diskutieren mit unseren Kundinnen & Kunden!💪

Häufig höre ich bei Kunden:innen: "Wir haben ein MDM, damit wir Geräte remote löschen können!" Die Idee ist gut, und häufig auch durch Compliance gefordert. Bis der Ernstfall eintritt. SIM-Karte weg, Netzverbindung getrennt 📵 Durch die Alufolie blockiert man WiFi 🛜, GPS🛰️

28 July 2025

#Aeroflot airline got hacked by two pro-ukranian groups, #SilentCrow and #Cyberpartisans. 🛫🚫 🚩 7`000 servers — physical & virtual — destroyed. 🚩 Compromise of 122 hypervisors, 43 installations of ZVIRT virtualization, ~100 iLO interfaces, & 4 Proxmox clusters. #Ukraine 🇺🇦

linkedin.comAeroflot suffers massive outage of their IT systems. | Tom H.Aeroflot suffers massive outage of their IT systems. 🛬🚫 Two groups, Silent Crow and Cyberpartisans BY, claim responsibility in support of Ukraine🇺🇦. 🚩 7,000 servers — physical and virtual — were de...

28 July 2025

🚩 Data obtained includes 12TB of databases, 8TB of files from Windows Share, and 2TB of corporate email. Passengers flight data has also been exfiltrated and is available for researchers for further analysis. www.linkedin.com/posts/wicked...

28 July 2025

Seems like quite some internal systems were infected by InfoStealers. Quite the irony given the fact that #infostealer like #Lumma, #RedLine, #Raccoon, #Vidar are russion developed and operated #CybercrimeAsaService platforms.

8 May 2025

#LockBit #ransomware got breached and leaked tonight. A hacker called "kho-kho" (allegedly from Prague 🇨🇿) breached their panel & leaked a 30MB SQL dump containing: 💶 ~ 60K BTC addresses 💬 Negotiation chats with their victims 🛠️ Build info (dating back to Dec 2024) 📈 Client lists, etc.

Lockbit confirmed: "On 7 May, someone hacked the light panel with auto registration for all comers, stole the database, but not a single decryptor and not a single company's stolen data were compromised. I'm investigating how they managed to hack it and rebuilding it now. 1/2

8 May 2025

Full panel and blog are still functioning. The hacker supposedly goes by "kho-kho" from Prague. Let me know who he is—I'll pay real money if the information is genuine." 2/2

It reveals the brutal reality of ransomware attacks. They are even attacking #schools: "Dude, we’re #non-profit, educating children,". Another victim begs: "Dear, $40k is my 6-year salary... Don't spoil my life." Just remember when #ALPHV / #BlackCat ransomed a breast cancer clinc.

After some analysis the campaign appears to use Tycoon2FA Phishing Kit. The website is loading O365 assets from oktacdn[.]com This domain has been attributed to Tycoon before. Any.Run: any.run/cybersecurit... Others like JoeSandbox or Hybrid Analysis currently label it as clean

Tom@tom.wicked.design

We currently see an uprising in Adobe QR code based phishing for MS O365 creds 🎣 Recipiens are named, TA apparently did some intel: ▶️ Company name ▶️ Employee names (First and Last) #Phishing #Adobe #O365 #Microsoft #Cybersecurity #Awareness

- hybrid-analysis.com/sample/1c808... - www.joesandbox.com/analysis/161...

hybrid-analysis.com Free Automated Malware Analysis Service - powered by Falcon Sandbox - Viewing online file analysis results for 'http://app.go.experian.com/e/er?SP_MID=23065-g&SP_RID=14130344-g&s=2448...Submit malware for free analysis with Falcon Sandbox and Hybrid Analysis technology. Hybrid Analysis develops and licenses analysis tools to fight malware.

Be cautious: As the QR code is ment to be scanned via smartphone, DNS and firewall blocking might have a limited effect! IOCs: ▶️ [01] no-reply@nepalpottery[.]com ▶️ [02] https://864b5744a8e3e6f83afff7bd2c6.altedsx[.]com/ ▶️ [03] https://w5vv.mdernstyle[.]ru/

drive.proton.meProton DriveSecurely store, share, and access your important files and photos. Anytime, anywhere.

For anyone interested, here is the sourcode of the phishing site - heavily obfuscated: drive.proton.me/urls/3Z8SZZN...

It contains a lure about an updated company handbook and a QR code. The QR code leads to Cloudflare protected website [02]. It then forwards to a Microsoft Microsoft 365 themed phishing website [03].

netzpolitik.orgmSpy-Leak: So stoppt man Spionage-AppsMit Überwachungs-Programmen wie mSpy können Privatpersonen einander ausspionieren. Wir erklären, wie man solche Angriffe aufdecken und abwehren kann.

Defender apparently picks up on it while other mail filters currently let it pass. Recommended actions: ▶️ Implement a block filter for the nepalpottery ▶️ Implementation of DNS filtering should be implemented. ▶️ Inform your organisation about the current situation.

The sender is the compromised mail account Nepal pottery [01]. The subject follows a certain pattern: <ORG-NAME>-2025 Q1 Staff Pay Adjustment Handbook-<NUMBER>

Tom reposted

netzpolitik.org

@netzpolitik.org

27 Jan 2025

Mit Überwachungs-Programmen wie mSpy können Privatpersonen einander ausspionieren. Wir erklären, wie man solche Angriffe aufdecken und abwehren kann. netzpolitik.org/2025/mspy-le... Alle Beiträge zum #mSpyLeak: netzpolitik.org/mspy-leak/

Tom reposted

Eric Geller

@ericjgeller.com

21 Jan 2025

DHS has terminated the memberships of everyone on its advisory committees. This includes several cyber committees, like CISA's advisory panel and the Cyber Safety Review Board, which was investigating Salt Typhoon. That review is "dead," person familiar says. www.documentcloud.org/documents/25...

theguardian.comTrump pardons Ross Ulbricht, founder of Silk Road drug marketplaceUlbricht, sentenced to life in prison in 2015, given ‘full and unconditional’ pardon by president

22 Jan 2025

US president pardons drug market founder and operator to “ honor of her [mother] and the Libertarian Movement, which supported me so strongly”. What a singal to law enforcement, law abiding citizens and everyone who works to make our society a safer and healthier place. #SilkRoad

Eliot Higgins@eliothiggins.bsky.social

Trump pardons Ross Ulbricht, founder of Silk Road drug marketplace www.theguardian.com/us-news/2025...

woz.chMedien und Propaganda: Die weisse KräheWie aus dem Journalisten Roger Köppel ein glühender Putin-Bewunderer wurde. Und was es bedeutet, dass er diesen Freitag das Hochamt der SVP im «Albisgüetli» zelebriert.

19 Jan 2025

Ich war in Bucha🇺🇦, habe mit den Menschen dort gesprochen, gesehen was die Russen verbrochen haben. Menschen haben mir von den Verbrechen erzählt. Und in der sicheren 🇨🇭sitzen Handlanger der Kriegsverbrecher wie Köppel. #SlavaUkraini #Ukraine

Anna Jikhareva@annajik.bsky.social

Die Maidan-Revolution nennt er einen „Staatsstreich“, die Massaker in Butscha mit hunderten ermordeten Zivilist:innen stellt er in Frage: Wie der SVP-Journalist Roger Köppel zum nützlichen Gehilfen des russischen Regimes wurde. Unsere grosse Recherche in der @woz.ch: www.woz.ch/2503/medien-...

18 Jan 2025

Apparent threat actor: agricamex[.]com 🎣 We observed this domain cloning #MS #Azure #Entra ID websites of our clients. Domain fronted by #Cloudflare, registered by #GoDaddy. Cert transparency logs shows activiy since around 2025-01-12. Inc. #Okta, #ADFS, #SCP, #outlook and #O365

crt.shcrt.sh | agricamex.comFree CT Log Certificate Search Tool from Sectigo (formerly Comodo CA)

18 Jan 2025

Right now the website simply redirects to #Google #ThreatIntel #CyberSecurity #SocialEngineering #Phishing crt.sh?q=agricamex....

@jasonkoebler.bsky.social

18 Jan 2025

The inspiration for the domain apparently came from agricamex[.]cl - a Chile food company. Might be a south american TA.

Tom reposted

Jason Koebler

9 Jan 2025

We had to evacuate Los Angeles. Most people I know there have also had to leave. We are safe in San Diego and our apartment is unlikely to burn down. We are very lucky. But alongside the visceral horror of the wildfires there is also the mundanity of dystopia www.404media.co/were-fine-lo...

404media.co‘We’re Fine’: Lying to Ourselves About a Climate DisasterThe dystopia of Los Angeles' fires are horrifying, mundane, and everything in between.

@matthewdgreen.bsky.social

5 Jan 2025

#VW

Flüpke@fluepke.bsky.social

Liebe:r VW Mitarbeiter:in oder Zuliefer:in! Ich verstehe Deinen Frust! 💜 Deine (anonyme) Nummer gegen Kummer: E7A8EUDW (Threema ID) (Der Screenshot ist aus einer VW Firmware, please retweet!)

Tom reposted

C3VOC releases

@media.ccc.de

29 Dec 2024

Wir wissen wo dein Auto steht - Volksdaten von Volkswagen has been released on media.ccc.de https://media.ccc.de/v/38c3-wir-wissen-wo-dein-auto-steht-volksdaten-von-volkswagen https://events.ccc.de/congress/2024/hub/event/wir-wissen-wo-dein-auto-steht-volksdaten-von-volkswagen/

Tom reposted

Matthew Green

29 Dec 2024

I love that Apple is trying to do privacy-related services, but this just appeared at the bottom of my Settings screen over the holiday break when I wasn’t paying attention. It sends data about my private photos to Apple.

29 Dec 2024

cat.exe stopped working. Resource exhaustion. Chilling after Christmas 🎄 🐈 #cat #catsofbsky #christmas #AdoptDontShop #AnimalRescue #tierschutz

events.ccc.deevents.ccc.de

27 Dec 2024

Die elektronische Patientenakte - ein jahrelanges Trauerspiel. Wie so oft "Es kann nicht sein was nicht sein darf!" 🙊🙈🙉 Politische Entscheidungen & ihre Auswirkungen auf unser aller (Cyber)Sicherheit. What about 🇨🇭 Elektronisches Patientendossier (EPDG) 🤔 ogy.de/rpag #38C3 #CCC #Gematik #ePA

Tom reposted

UK Defence Journal

@ukdefencejournal.org.uk

ukdefencejournal.org.ukLethal car ramming attack at German Christmas marketBREAKING - A tragic vehicle-ramming attack occurred this evening at a Christmas market in Magdeburg, Germany, resulting in the deaths of two people and injuries to at least 60 others.

BREAKING - A tragic vehicle-ramming attack occurred this evening at a Christmas market in Magdeburg, Germany, resulting in the deaths of two people and injuries to at least 60 others. ukdefencejournal.org.uk/lethal-car-r...

It is this time of the year again - happy holidays 🎄, merry Christmas 🎅🏻 and a lovely festive season to all our friends, partners and clients! We don’t print physical cards or send out fancy gifts, we make a donation to an amazing organisation 👉🏻 www.limon-vergessene-seelen.de

🔹In December I was able to onboard my first colleague, expanding our team to Spain 🇪🇸 What a wild ride. Never would I have thought we go international within the first year as a bootstrapped startup 🚀

Happy #CatsOfBsky #AdoptDontShop #CyberCatContent #Cat

2024 was a truly extraordinary year. 🔹In March, I founded wicked.design 🚀 - providing #cybersecurity services & consulting I wish I had when I was a #CISO. 🔹I was able to visit #Ukraine 🇺🇦, speaking at Taras Shevchenko National University of Kyiv about the risks of cyber-security & gov databases.