Unabhängige Forschungsgruppe für defensive Cybersicherheit. Wir analysieren aktive Angriffskampagnen, entwickeln Detection-Regeln und veröffentlichen technische Berichte für Betreiber kritischer Infrastrukturen.
Schwerpunkt liegt auf APT-Gruppen, die europäische Energie- und Finanzunternehmen angreifen. Alle Erkenntnisse werden nach Responsible Disclosure weitergegeben.
Beispiel einer aktuellen Suricata-Regel zur Erkennung von Cobalt Strike Beacon-Traffic über HTTPS:
alert tls $HOME_NET any -> $EXTERNAL_NET any ( msg:"NULLSEC Possible Cobalt Strike Beacon"; flow:established,to_server; tls.subject; content:"www.microsoft.com"; nocase; tls.issuerdn; content:"DigiCert"; nocase; ja3.hash; content:"a0e9f5d64349fb13191bc781f81f42e1"; classtype:trojan-activity; sid:2026111201; rev:2; )
Die Regel basiert auf beobachteten JA3-Hashes und gefälschten Zertifikaten aus einer laufenden Kampagne gegen deutsche Energieversorger.
2026-11-12 11:47:03 IP 185.234.219.47 C2 CobaltStrike 2026-11-12 11:47:03 DOMAIN update-cdn[.]net Beacon 2026-11-12 09:12:41 HASH sha256:7f3a9c...e21 Loader 2026-11-12 08:33:19 IP 91.219.236.12 Proxy SOCKS5 2026-11-11 22:01:55 DOMAIN ms-update[.]org Staging 2026-11-11 19:44:02 HASH sha1:a4c8b2...f90 Dropper
Vollständiger Feed wird täglich um 06:00 UTC aktualisiert und steht registrierten Partnern zur Verfügung.
Sicherheitsrelevante Meldungen ausschließlich über PGP (Fingerprint: 4A1E 8C3D 7F29 B6E0 1D44 9A8F C2B7 5E31 0F6A 9D22).
Keine Anfragen zu Offensivmaßnahmen. Wir arbeiten ausschließlich defensiv.