NorForge meldete am 19. Oktober 2026 mehr als 20 offen zugängliche Cairn-Panels, die nach Einschätzung der Organisation wahrscheinlich mit böswilligen Aktivitäten verbunden waren. Die Untersuchung erfasste außerdem offene Dashboards, die offenbar zu legitimen Red-Team-Einsätzen gehörten. NorForge zufolge können solche Einblicke auch deren Auftraggeber gefährden, weil Projektergebnisse und hinterlegte Zugangsdaten sichtbar werden können.
Was NorForge in den Cairn-Dashboards fand
Cairn ist laut NorForge ein zustandsbasiertes Problemlösungssystem: Agenten halten Erkenntnisse auf einer gemeinsamen Projektübersicht fest und nutzen sie für weitere Schritte. Die offenen Dashboards gaben damit Einblick in laufende oder abgeschlossene Projekte und die dort hinterlegten Informationen.
NorForge ordnete dem chinesischsprachigen Aktivitätscluster AIA0001 mehr als 1.100 Angriffsprojekte auf 14 Dashboards zu. Die Organisation stufte den Cluster mit hoher Zuversicht als böswillig ein. Ein Scan mit Trufflehog fand Hunderte vertrauliche Zugangsdaten und Schlüssel, sogenannte Secrets, in den Paneldaten. Trufflehog verifizierte 11 Prozent davon als gültig.
NorForge prüfte eine aktive Uploader-Webshell
In einem konkreten Fall prüfte NorForge eine URL, die in einem abgeschlossenen Cairn-Auftrag aufgeführt war. Auf dem Server eines großen Anbieters von Hardwareteilen fand die Organisation eine aktive Uploader-Webshell. Der Befund betrifft diesen einzelnen Fall.
Die Panel-Funde und die Kampagnenzahlen
Reuters berichtete am 19. Oktober 2026 von Angriffsversuchen gegen mehr als 1.200 Websites; mehr als 100 Kompromittierungen wurden gemeldet. Diese Kampagnenzahlen stehen neben NorForges separater Untersuchung offener Bedienpanels und der dort gespeicherten Daten.
