MÜNCHEN / LONDON (IT BOLTWISE) – Sicherheitsforscher sehen eine deutliche Verschärfung: Loader-Angriffe steigen laut aktuellen Auswertungen um 98,3 Prozent, während Angreifer KI und starke Verschleierungstechniken kombinieren. Besonders kritisch sind Kampagnen, die legitime Dienste und E-Mail-Infrastrukturen missbrauchen, um Erkennungssysteme auszutricksen. Für Unternehmen bedeutet das vor allem: Threat-Detection muss verhaltensbasiert werden und Prozesse zur Incident-Abwehr enger greifen. Gleichzeitig zeigen neue Frameworks, dass KI-gestützte Gegenmaßnahmen bereits messbar helfen können.
Die Bedrohungslandschaft im Unternehmensnetz wird derzeit weniger durch einzelne „große“ Zero-Days als vielmehr durch eine wachsende Zahl zielgerichteter Kampagnen gefährlich: In den aktuellen Auswertungen steigt die Zahl der Loader-Angriffe um 98,3 Prozent. Hinter dem Trend steckt eine Kombination aus KI-gestützter Social-Engineering-Erstellung, ausgefeilter Verschleierung und einer zunehmenden Automatisierung der Angriffslogik. Für Security-Teams heißt das, dass sie nicht mehr nur auf bekannte Signaturen setzen dürfen, sondern ihre Detektion an die beobachtbaren Verhaltensmuster von Malware koppeln müssen. Gleichzeitig wird klar: Tarnung allein reicht nicht, sie muss in die jeweilige Umgebung „passen“ – von E-Mail-Workflows bis zu Cloud-Umgebungen.
Technisch auffällig sind vor allem Kampagnen, die sich wie legitime Komponenten verhalten oder solche imitieren. In mehreren Fällen wird von Schadsoftware berichtet, die sich als vermeintlich unkritische NVIDIA-bezogene Artefakte tarnt und dadurch in frühen Stufen weniger Verdacht auslöst. Solche Loader arbeiten häufig mehrstufig: Erst liefert eine scheinbar harmlose Einstiegshandlung den Initialzugriff, danach folgen Script-/Shell-Phasen, ein .NET-Loader und schließlich ein tiefgreifender Zugriff auf laufende Prozesse. Gerade Process Hollowing bleibt dabei ein zentrales Muster, weil es den Eindruck erzeugt, als würde ein legitimer Prozess normal weiterlaufen, während die Kontrolle tatsächlich umgelenkt wird.
Ein weiterer Hebel sind Umgehungsmechanismen auf Betriebssystemebene. Berichte beschreiben, dass Malware je nach Zielumgebung Instrumente wie AMSI (Antimalware Scan Interface) und Event Tracing for Windows (ETW) deaktivieren oder in ihrer Wirkung einschränken kann. Das reduziert die Wahrscheinlichkeit, dass Schutzprodukte Inhalte scannen oder Telemetrieereignisse liefern. Ergänzend wird die Persistenz über Windows-spezifische Mechanismen wie RunOnce-Registry-Schlüssel aufgebaut, wobei der Angreifer die Struktur so gestaltet, dass sie im Alltag wie normale Administrationsabläufe wirkt. Im Ergebnis entsteht eine Kette, die Erkennung verlagert: weg von „Datei-Signatur“ hin zu „Ablauf-Semantik“.
Auf Seiten der Angreifer zeigen aktuelle Fallstudien, wie stark KI die Vorarbeit für Spear-Phishing erleichtert. So wird von Kampagnen berichtet, die mit KI-gestützter Texterstellung genaue Tonalität und Kontext für Zielgruppen treffen sollen. Ein Beispiel ist eine Go-basierte Malware namens GOVERSHELL, die im Umfeld chinesisch-nahe Akteurscluster verortet wird und Spear-Phishing gegen Organisationen in Nordamerika, Asien und Europa adressiert. Besonders riskant ist dabei die Nutzung legitimer Dienste als Zwischenstationen, etwa für Dateiablagen oder Redirect-Ketten, weil diese Plattformen oft bereits als „vertrauenswürdig“ in Unternehmensregeln gelten. Experten stufen das als ein Muster ein, das Mail-Filter und Proxy-Regeln unterläuft, ohne sofort durch klassische IOC-Listen aufzufallen.
Noch deutlicher wird die Herausforderung bei länger unentdeckten Zugriffsphasen: Eine weitere Kampagne, UNC5221 (VerdantBamboo), soll sich Zugang zu Microsoft-365-Umgebungen verschafft haben und dort über 18 Monate aktiv geblieben sein. Als Angriffsziel werden dabei häufig Managed Service Provider (MSP) diskutiert, weil deren Kundenbreite die Angriffsfläche erhöht und weil kompromittierte MSP-Accounts oft als „verlässliche“ Vermittler wirken. Die beobachteten Bausteine wie Brickstorm, Plenet und AgentPSD zeigen eine Modularität, die sich gut an unterschiedliche Zielumgebungen anpassen lässt. Marktanalysten sehen hier einen Grund für die gestiegene Loader-Rate: Sobald einmal ein Einstiegspfad existiert, sinkt die Zeit bis zur nächsten Stufe – und die Kampagnen werden „prozessartig“ betrieben.
Damit eng verbunden ist ein zweiter, stark wachsender Bereich: Angriffe, die Google-nahe Infrastrukturen als Transport- oder Tarnebene missbrauchen, um E-Mail-Sicherheitslösungen zu umgehen. Konkret wird beschrieben, dass die DoubleClick-Infrastruktur in Kampagnen missbraucht wird, während der Einstieg über scheinbar harmlose HTML-Anhänge erfolgt, die als harmloser Dateiname wie „Bestellung_2026.html“ wirken können. Dahinter steht eine mehrstufige Infektionskette von HTML über JScript und PowerShell hin zu einem .NET-Loader und schließlich Process Hollowing. Im Vergleich zu klassischem „One-Shot“-Phishing sinkt damit die Wahrscheinlichkeit, dass ein einzelner Schutzlayer den Angriff stoppt, weil jede Stufe nur Teilinformationen preisgibt.
Gleichzeitig wächst die Gegenbewegung: KI ist nicht nur Werkzeug der Angreifer, sondern auch Bestandteil neuer Abwehrmechanismen. Ein Beispiel ist YATSIDroid, ein Framework zur Android-Malware-Erkennung, das auf zweistufigem maschinellem Lernen basiert. In den beschriebenen Ergebnissen werden demnach 98,5 Prozent der infizierten Apps erkannt, selbst wenn nur 60 Prozent der Stichproben gekennzeichnet sind. Für Unternehmen ist das relevant, weil es zeigt, wie sich fehlende Labels und unvollständige Trainingsdaten in der Praxis abfedern lassen. Die zweite Ebene ist dabei entscheidend: Nicht nur Klassifizierung, sondern die Robustheit gegenüber untypischen Varianten entscheidet darüber, ob ein Modell im Feld zuverlässig bleibt.
Allerdings ist der Risikoaspekt mindestens ebenso groß: Aus Forschungskreisen wird über Prototypen berichtet, in denen ein KI-gesteuerter Wurm autonomen Netzwerkausbreitungs- und Anpassungsmechanismen nachgebildet werden. Genau an dieser Stelle kippt KI vom „Segen“ zum „Fluch“, weil sie Angreifern hilft, Parameter schneller zu lernen und Umgebungsunterschiede dynamisch zu berücksichtigen. Der ANY.RUN-Bericht für das erste Quartal 2026 unterstreicht den Trend, indem ein Anstieg der Loader-Angriffe um 98,3 Prozent und ein weiterer Zuwachs bei LOLBAS-Techniken (Living off the Land) um 58,4 Prozent beschrieben werden. Besonders alarmierend ist die kurze Zeit bis zur Etablierung dauerhafter Präsenz: bereits nach 21 Sekunden nach erstem Zugriff soll eine Persistenzphase möglich sein.
Die Marktreaktion fällt entsprechend zweigleisig aus. Einerseits setzen Spezialplattformen auf beschleunigte Penetrationstests, etwa indem KI-Agenten einzelne Schritte des Prüfprozesses in der Praxis verkürzen sollen; im Raum steht dabei eine Größenordnung von rund 20 Prozent schnellerer Analyse. Andererseits verstärkt die Trainingslandschaft den Fokus auf Fähigkeiten, die für moderne Kampagnen nötig sind: Reverse Engineering von Malware, tiefergehende Netzwerkforensik und das Verständnis, wie Verhaltenssignale aus mehrstufigen Ketten entstehen. Das SANS Institute adressiert diese Lücke mit einem fortgeschrittenen Kursangebot in München vom 8. bis 13. Juni. Für IT-Leiter ist das mehr als Schulung: Es ist eine Antwort auf die Tatsache, dass klassische Signaturansätze bei modularen Loadern ihre Grenzen erreichen.
Für die Zukunft lässt sich daraus ein klarer Handlungsdruck ableiten. Erstens sollten Security-Teams Detektion und Response so gestalten, dass sie nicht nur Dateien, sondern Abläufe bewerten: etwa die Kombination aus Script-Interpretern, anomalem Prozessverhalten und dem gezielten Umgang mit Telemetrie. Zweitens wird die Hardening-Strategie wichtiger, insbesondere bei Microsoft-365- und Cloud-Workloads, weil Langzeitzugriffe dort besonders wertvoll sind und die Ausbreitungslogik oft von legitimen Diensten lebt. Drittens verschiebt sich die „Skill-Strategie“: Neben Automatisierung braucht es Fachwissen, um KI-Modelle sinnvoll einzubinden und Fehlalarme wie auch Blindspots zu managen. Wenn sich der Trend zu schnell etablierter Präsenz fortsetzt, werden Unternehmen 2026 verstärkt in verhaltensbasierte Überwachung, schnellere Triage und realistische Übungsumgebungen investieren müssen.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Loader-Kampagnen nehmen zu: 98,3 Prozent mehr Malware mit KI-Umgehung" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Loader-Kampagnen nehmen zu: 98,3 Prozent mehr Malware mit KI-Umgehung" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Loader-Kampagnen nehmen zu: 98,3 Prozent mehr Malware mit KI-Umgehung« bei Google Deutschland suchen, bei Bing oder Google News!