LONDON (IT BOLTWISE) – Ein von Anthropic beschriebenes Vorgehen zeigt, wie russische Akteure KI nutzen, um Malware nach einer Entdeckung automatisch neu zu bauen und erneut einzusetzen. Im Zentrum steht ein AI-gestützter Ablauf, der die Wirksamkeit statischer Erkennungen untergräbt. Laut den Angaben verknüpfen Angreifer dabei Domain-Registrierung, Hosting-Aufbau und Phishing-Delivery zu einem weitgehend automatisierten Betrieb. Besonders relevant ist das für Teams, die stark auf Signaturen und klassische Artefakt-Blockaden setzen.
Anthropic hat laut eigenen Angaben eine Kampagne gestört, die von einem russisch verknüpften Bedrohungsakteur gespeist wurde und dabei auch ein KI-gestütztes Workflow-Konzept für die Malware-Entwicklung verwendete. Der Kernpunkt der Meldung: Der Angreifer soll nicht nur schneller Code erzeugen, sondern auch nach einer erfolgreichen Erkennung durch Security-Produkte automatisch Anpassungen auslösen. Damit rückt das Thema weg von isolierten „Payloads“ und hin zu einem operativen Kreislauf, in dem Künstliche Intelligenz (KI) die Reaktionsgeschwindigkeit der Angreifer erhöht und die Verteidigung an ihre Grenzen bringt, wenn sie vor allem auf statische Muster setzt.
Benannt wird der Cluster als GTG-20006, wobei „GTG“ für Generative Threat Group steht. Die Zuordnung wird in der Meldung in eine größere Linie eingeordnet, die in früheren Berichten mit Midnight Blizzard (APT29 und Cozy Bear) in Verbindung gebracht wurde. Aus technischer Sicht beschreibt Anthropic einen AI-gestützten Prozess, der die Toolkit-Komponenten im Fall einer Erkennung rekonstruiert und re-deployt, sodass statische Detektionen die Artefakte nur kurzfristig zuverlässig blockieren können. Zusätzlich soll eine Monitoring-Komponente auswerten, wie gut die eingesetzten Tools bekannte Abwehrmechanismen umgehen, und bei festgestelltem Trefferbild erneut Umbau und Build-Iteration anstoßen. Genau diese Schleife ist aus Verteidigersicht gefährlich, weil eine einzelne neue Signatur zwar kurzfristig drosselt, aber die „Kosten“ der Anpassung in Richtung Defenders verschiebt.
Die operative Ausgestaltung verbindet dabei mehrere Phasen, die in vielen heutigen Angriffsketten ohnehin vorkommen, jedoch durch Automatisierung stark „zusammengezogen“ werden. Laut den Angaben werden die umgebauten Dateien auf wegwerfenden Hosting-Servern bereitgestellt, während Opfer über Phishing-Mechanismen weitergeleitet werden. Dazu gehören sowohl ClickFix-ähnliche Social-Engineering-Lures als auch DNS-Hijacking-Schemata. Besonders deutlich wird der Ansatz bei der Infrastruktur: Der Akteur soll KI-Workflows genutzt haben, um Domains zu registrieren, Hosting-Strukturen aufzusetzen, die Phishing-Mails zu versenden, sowie die Command-and-Control-(C2)-Kanäle auf erfolgreiche Kompromittierungen zu überwachen. Insgesamt seien mehr als 20 Organisationen über Reconnaissance und Live-Operationen hinweg ins Visier genommen worden, darunter Ministerien, diplomatische Vertretungen, Thinktanks und Einrichtungen mit Bezug zu Militär und Verteidigungsindustrie, überwiegend in der Ukraine und in Europa; die Aktivitäten sollen außerdem bis in den Nahen Osten sowie auf maritime Behörden in Asien ausgeweitet worden sein.
Ein weiterer Schwerpunkt betrifft den Einstiegspunkt über kompromittierte Hotel-Gast-WLAN-Umgebungen. Laut Anthropic sollen mindestens drei Hospitality-Anbieter kompromittiert worden sein, die Hotelgästen Wi-Fi bereitstellen. Dabei sollen Angreifer über erbeutete Admin-Zugänge DNS-Einträge so verändert haben, dass sie auf Dienste zeigten, die zum Angreifer gehören (DNS hijacking). Der Effekt: Sobald Gäste mit dem WLAN verbunden waren, sollen Datenverkehr und gerätebezogene Informationen wie Device-Identifier und IP-Adresse an die Server des Angreifers geflossen sein. Danach folgte eine geräte- und plattformspezifische Auslieferung von Malware: Für Windows wird eine Reihe von Komponenten genannt, für Android ebenfalls, während für iOS ein separates Schadprogramm beschrieben wird. Ergänzend soll der Angreifer aus Daten aus Hotelverwaltungssystemen und aus den Endgeräten selbst weitere Zielpersonen abgeleitet haben, insbesondere Personen mit Bezug zur Ukraine, etwa Regierungskontakte oder Unternehmen aus dem Umfeld von Drohnen.
Neben klassischem Phishing kommt die Meldung auf weitere Angriffslinien, die vor allem gegen Kommunikations- und Überwachungsplattformen sowie Identitäts- und Token-Umgebungen zielen. So wird beschrieben, dass Angreifer WhatsApp-Konten mit headless Browsern übernehmen sollen, um Opfer-Accounts über „Kompagnon“-Geräte zu verknüpfen und anschließend in größeren Mengen Konversationen aus dem Russisch- und Ukrainischsprachraum zu exportieren. Parallel dazu soll das Ausnutzen von Schwachstellen in Anwendungsoberflächen von Kamera-Streaming-Diensten erfolgt sein: Die Angreifer hätten Nutzer auflisten und Tokens abgreifen können, die Zugriff auf Live-Kamera-Streams erlauben. Darüber hinaus nennt die Meldung weitere Spuren, bei denen Credentials und VPN-Appliances eine Rolle spielen sollen, inklusive einer Exfiltration von großen Mengen an Identitäts- und Unternehmensregisterdaten in einem Fall, der auf eine nordafrikanische Technologiebehörde zurückgeführt wird. Ergänzend wird ein cloudbasiertes E-Mail-Espionage-Setup genannt, das über eine „Embassy Kit“-Codierung den Ablauf eines Microsoft-365-Token-Diebstahls orkestriert haben soll, um Mailaufzeichnungen mehrerer Organisationen unautorisiert zu erlangen.
Für Unternehmen liegt der strategische Hebel in der Frage, wie gut Sicherheitskontrollen auf „statische Artefakte“ allein vertrauen. Wenn Angreifer Bauteile nach Entdeckung nachbauen und erneut ausrollen können, reichen klassische Signaturen und File-Hashes als alleinige Schutzschicht selten aus. Stattdessen wird aus der Beschreibung vor allem ein Bedarf an verhaltens- und kontextbasierten Detektionsansätzen sichtbar: Integrierte Telemetrie aus Netzwerkverhalten, Domain- und Hosting-Mustern, sowie Prozess- und Authentifizierungsanomalien können besser zwischen „bekannten, einmalig zufälligen“ Artefakten und echten Angriffsmustern unterscheiden. Auch die Härtung von Authentifizierungswegen, der Umgang mit Token-Risiken und die Begrenzung lateral nutzbarer Identitäten gewinnen dadurch an Gewicht. Interessant ist zudem die Parallele zu einer weiteren Kampagne, die unter dem Namen CaptiveCrunch beschrieben wird und sich in der Vergangenheit ebenfalls über mehrstufige Automatisierung und kompromittierte Drittumgebungen definiert hat.
Die Meldung unterstreicht damit, wie KI-gestützte Entwicklungs- und Betriebsabläufe die Angriffs-Iterationen beschleunigen können. Anthropic formuliert sinngemäß, dass AI am „jeden Punkt“ der Operation eingesetzt worden sei, etwa zur Beobachtung von Stealth- und Persistenzwirkungen in On-Premises-Umgebungen. Für Verteidiger bedeutet das: Jede neue Erkennung kann zwar kurzfristig die Angriffsrate drücken, aber wenn der Angreifer intern schon einen Build- und Evasion-Loop hat, sinkt die Wirkung der reaktiven Anpassung. In der Praxis sollten Security-Teams daher stärker darauf setzen, dass Detektionen nicht nur „wie das Objekt aussieht“, sondern „wie sich der Ablauf verhält“ bewerten. So wird die KI-gestützte Rekonstruktion der Angreifer zumindest teilweise in eine zähe, kostenintensive Kette zurückverwandelt, die nicht allein durch erneutes Repackaging sofort wieder erfolgreich ist.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Russische Hacker: KI-Workflows rekonstruieren Malware nach Erkennung" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Russische Hacker: KI-Workflows rekonstruieren Malware nach Erkennung" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Russische Hacker: KI-Workflows rekonstruieren Malware nach Erkennung« bei Google Deutschland suchen, bei Bing oder Google News!