LONDON (IT BOLTWISE) – In einer aktuellen Sicherheitsanalyse wurde ein offen zugänglicher Delivery-Server entdeckt, auf dem ein komplettes KI-gestütztes Phishing-Toolkit mitsamt Testnotizen lag. Rapid7 beschreibt, wie der Betreiber die Kampagne nicht nur ausrollte, sondern sie im selben Repository parallel weiterentwickelte – inklusive fehlgeschlagener Experimente und detaillierter Abdeckungslogik. Besonders brisant: Ein WebDAV-Working-Directory-Hijack startet signierte Windows-Binaries ohne typische Warnhinweise, bis Microsoft die Lücke im Juni 2025 schloss. Jetzt zeigt das Material, wie der Angreifer die Methode auf weitere 59 Kandidaten ausdehnt und damit die nächste Welle bereits vorformatiert.
Ein offener Delivery-Server hat einen Blick auf die „Build-Pipeline“ eines Phishing-Betriebs freigegeben: Zwischen 1.048 Dateien fand sich nicht nur fertiger Schadcode, sondern ein vollständiger Werkzeugkasten mit Lure-Templates, Testszenarien, Builder-Notizen und zwei zusammenhängenden Kampagnenketten. Entscheidend ist, dass das Material einen Entwicklungszustand dokumentiert – mit Logauszügen, gescheiterten Experimenten und einer Testsystematik, die man eher aus Software-Engineering als aus Angreifer-Handbüchern kennt. Im Zentrum steht ein WebDAV-basiertes Vorgehen, das Windows-Fehlannahmen ausnutzt und über eine.url-Verknüpfung signierte Binaries missbraucht, um schrittweise zum Infostealer zu gelangen.
Technisch baut das Muster auf dem WebDAV-Working-Directory-Hijack auf, einer Schwachstelle, die Check Point bereits im Zusammenhang mit einem CVE-Set beschrieb und die später im CISA-KEV-Katalog auftauchte. Die Idee wirkt simpel, aber sie ist effektiv: Eine.url-Shortcut startet eine legitime, signierte Windows-Anwendung. Gleichzeitig wird das „Working Directory“ so gesetzt, dass Windows auf einer vom Angreifer kontrollierten WebDAV-Freigabe eine scheinbar lokale Abhängigkeit findet. In der Originalkette startet die Verknüpfung ein Internet-Explorer-Diagnose-Tool; dieses lädt dann Helper-Komponenten wie eine Route-Logik per Dateiname, sodass Windows die Angreifer-Datei statt die System32-Version priorisiert. Dass Microsoft im Juni 2025 nachgezogen hat, zeigt: Die Lücke war real in Produktion und nicht nur ein theoretisches PoC.
Wo es über den reinen Payload hinausgeht, ist die Skalierungslogik. Laut Rapid7 konzentrierte sich der „ausgereifte“ Testset auf CVE-2025-33053, doch daneben lag ein Verzeichnis mit kleineren Kandidatensets für weitere Dateihandling-Probleme, darunter MSHTML- und NTLM-bezogene Schwächen. Noch wichtiger: Ein „comprehensive test kit“ vergrößerte die WebDAV-Hijack-Idee auf 59.url-Dateien. Statt bestätigter Hijacks waren es Kandidaten: Je Shortcut existiert eine Theorie, warum die Arbeitsverzeichnishijack auch bei anderen signierten Binaries funktionieren dürfte – inkl. einer tierierten Reihenfolge der Tests. Der Kontext liefert auch die Motivation: Windows 11 24H2 entfernt die Internet-Explorer-Komponente, wodurch die ursprüngliche Kette bricht. Der Betreiber reagiert darauf, indem er die Methode auf neue Windows-Bestandteile überträgt.
Der Markt- und Prozessbezug wird in den Artefakten besonders sichtbar. Rapid7 beschreibt READMEs, Lure-Generierung und Matrix-ähnliche Testauswertungen, die in Format, Wortwahl und dem auffälligen Emoji-Stil stark an LLM-Ausgaben erinnern. Dazu kommt eine _MAPPING.csv, die Testdateien konkret mit Zielbinaries verknüpft. Auch die Kommentare und Ordnernamen – etwa „testik“ – deuten auf einen russischsprachig geprägten Arbeitskontext hin, ohne dass die Person klar identifiziert wird. Als Wettbewerbs-Referenz ordnet Rapid7 den Workflow als „LLM-Produktteam“-Ansatz ein: Anstelle eines klassischen Malware-Operators wirkt das Repository wie eine Engineering-Umgebung, die generative KI für Produktion, Prüfung und Dokumentation nutzt. Der Vergleich mit etablierten Agenten-Ansätzen wie CodeRRR/Claude Code oder Copilot CLI ist dabei eher methodisch als quelloffenheitsbezogen.
Auf Kampagnenebene wird die Verbindung zur Praxis schnell greifbar. Das MDR-Alert führt zu einer Typosquatting-Domain „gobf[.]mx“, die einen mexikanischen National-ID-Flow (CURP) nachbildet. Der Trigger ist eine fake „Record Retrieval“-Seite: Ein Klick startet eine search-ms: -Abfrage, die den WebDAV-Share des Angreifers öffnet. Dort landet der Nutzer in einer Windows-Explorer-Ansicht, die auf.scr-Dateien filtert. Eine zentrale Masche kombiniert dabei Namens-Tricks: Ein CURP-ähnliches PDF-Layout soll Vertrauen erzeugen, während eine.scr-Datei geliefert wird. Durch RTL-Override (U+202E) liest der Name wie „.pdf.exe“ oder „.pdf.scr“ – je nach Anzeige – und der Inno-Setup-Installer entpackt anschließend einen Loader, der eine.NET-Infostealer-Komponente „in memory“ nachlädt und dabei einen signierten Prozess missbraucht (u. a. über einen Qihoo-360-ähnlichen Mechanismus).
Die Infostealing-Kette zielt auf hochwertige Daten: Kryptowallets, Browser- und Browserdaten, Session-Cookies sowie Telegram-Sessions. Parallel dokumentiert Rapid7 eine zweite Kampagnenstruktur namens „DlrtyGames“, die einen anderen Weg nutzt: Über ein trojanisiertes DLL-Sideloading in Verbindung mit einem signierten Ubisoft-Binary wird eine modulare.NET-RAT nachgeladen. Für die Einordnung in die „Kill-Chain“ ist außerdem relevant, was als „Launch Event“ zählt. Rapid7 sieht im Delivery-Panel 77.098 Requests in rund 5,5 Tagen (20. bis 26. Juni 2026, UTC) von 3.892 IPs aus 101 Ländern; davon entfallen 82,5% der Traffic-Anteile und 96,9% der Launch-Aktivität auf Mexiko. Die 97,7% durch einen einzelnen CURP-Lure beziehen sich auf Auslieferungssignale und nicht auf verifizierte Infektionen – und der Musterabgleich (Cluster in mexikanischen Arbeitszeiten) legt nahe, dass ein Teil der Zugriffe eher echten Nutzern als automatischem Scanning entspricht.
Für Verteidiger verschiebt sich der Fokus damit: Der Juni-2025-Patch schließt den ursprünglichen iediagcmd-Pfad, aber das 59-Dateien-Set zeigt, dass der Betreiber die gleiche Working-Directory-Idee auf weitere signierte Kandidaten abbildet. Rapid7 empfiehlt daher, die von ihnen veröffentlichten Indikatoren für die beiden Kampagnen zuerst zu blockieren – inklusive C2-Endpoints und Hashes. Doch selbst wenn IOCs nicht greifen, nennt das Material das Verhalten, das man in Telemetriedaten früh erkennen sollte: Start des WebClient-Dienstes und Zugriffe von davclnt.dll auf Remote-Hosts; anschließend ein signiertes Binary, das ein Child-Prozess-Image startet, dessen Pfad auf einen WebDAV- oder UNC-Share zeigt. Dazu kommen Namensindikatoren wie RTLO, Doppel-Endungen und Auffüllung vor.exe/.scr. Genau diese Muster sind für enterpriseweite Detection-Workflows über mehrere Endgeräteklassen hinweg wertvoll.
Der Ausblick richtet sich auf den systematischen Charakter des Angriffs. Wenn ein Angreifer „commodity“ KI-Coding-Agents so nutzt, dass Testkits, Mapping-Tabellen und Lure-Templates wie Produktartefakte funktionieren, verschiebt sich der Aufwand vom Exploit-Bau zur Wiederverwendung von Engineering-Prozessen. Für Organisationen bedeutet das: Incident Response und Secure Development Lifecycle müssen stärker auf „Agenten-ähnliche“ Delivery-Logiken reagieren, etwa durch EDR-Korrelation zwischen Web-Intent, WebDAV-Zugriffen und Child-Spawn-Pfaden. In regulatorischer Hinsicht bleibt das Thema außerdem datenschutzrelevant, weil Infostealer häufig personenbezogene Konten- und Sessiondaten erfassen; hier sind Logging-Richtlinien und Aufbewahrungsfristen so zu gestalten, dass Compliance und Forensik zusammenpassen. Die nächsten Schritte werden vermutlich weniger „eine große Lücke“ sein, sondern mehrere schnelle Varianten innerhalb derselben generativen Pipeline – passend zu Windows-Update-Zyklen und neuen Zielbinaries.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Offener Server enttarnt WebDAV-Phishing: KI-gestütztes Toolkit mit 59 Testfällen" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Offener Server enttarnt WebDAV-Phishing: KI-gestütztes Toolkit mit 59 Testfällen" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Offener Server enttarnt WebDAV-Phishing: KI-gestütztes Toolkit mit 59 Testfällen« bei Google Deutschland suchen, bei Bing oder Google News!