REDMOND / LONDON (IT BOLTWISE) – Microsoft warnt vor einer aktiven Cryptojacking-Kampagne, die KI-Chatbot-Interaktionen als Einstieg für manipulierbare Download-Empfehlungen nutzt. Angreifer tarnen ihre Seiten mit scheinbar legitimen System-Tools und nutzen pro Nutzer-Dialog generierte Links zu kompromittierenden Domains. Das Vorgehen kombiniert SEO-Poisoning mit einer weiteren Stufe: Empfehlungsschleifen über Large-Language-Model-Anwendungen. Zusätzlich missbrauchen die Täter ScreenConnect für persistente Fernsteuerung und laden erst zur Laufzeit den passenden Miner.
Microsoft macht auf eine neue Form des Cryptojackings aufmerksam, die nicht primär über klassische Werbe- oder Phishing-Kanäle funktioniert, sondern über den „Empfehlungsstrom“ moderner KI-Chatbots. In der beschriebenen Kampagne werden Nutzer beim Suchen nach vertrauenswürdigen System-Utilities und Hardware-Monitoring-Tools auf präparierte Downloadseiten geleitet. Besonders kritisch ist dabei, dass die Umleitung inzwischen nicht mehr nur über manipulierte Suchmaschinenergebnisse erfolgt, sondern über Links, die in Antworten von Large-Language-Model-(LLM)-basierten Tools generiert werden. Damit verschiebt sich die Angriffsfläche vom Browser-Tab direkt in die digitale Assistenz, die für viele Teams bereits zur schnellen Problemlösung gehört.
Technisch baut die Masche auf mehreren Mechanismen auf, die zusammen die Entdeckungswahrscheinlichkeit senken. Die Angreifer imitieren bekannte Anwendungen wie CrystalDiskInfo, HWMonitor oder HW-ähnliche Diagnose-Utilities, einschließlich Codecs- und PDF-Werkzeugen, und setzen auf rund 150 identifizierte bösartige Domains, die jeweils einen prominent platzierten „Download“-Button anbieten. Dahinter liegt ein ZIP-Archiv, das eine legitime ausführbare Datei enthält, aber beim Start eine schädliche DLL per Sideloading nachlädt. Diese Rogue-Komponente installiert anschließend weitere Malware über msiexec.exe und verpackt damit den eigentlichen Infektionsweg in eine Kette, die für Nutzer „nach normaler Installation“ aussieht. Gerade für Systeme mit leistungsstarker GPU-Ausstattung zielt das Vorgehen darauf, pro kompromittiertem Endpoint maximale Mining-Erträge zu erzielen.
Im nächsten Schritt wird die Persistenz vorbereitet, und hier kommt ein zweiter, besonders relevanter Baustein ins Spiel: ScreenConnect. Laut Microsoft wird nach der Installation kontinuierlich versucht, eine Verbindung zu einem angreiferseitigen Server aufzubauen, um den kompromittierten Host als Ausgangspunkt für Folgeschritte zu nutzen. Der eigentliche Miner wird dabei nicht zwingend „blind“ dauerhaft ausgeliefert, sondern passend zur Zielumgebung nachgeladen und ausgeführt. Zusätzlich sorgt die Malware dafür, dass Persistenzartefakte erneuert und Microsoft Defender-Ausnahmen wiederhergestellt werden, falls Sicherheitskomponenten diese bereits entfernen. Diese Kombination aus Remote-Zugriff, Defensive-Bypass und adaptiver Miner-Auswahl ist im Kern ein „Staging“-Ansatz: erst die Infrastruktur sauber verankern, dann die monetäre Komponente nach Bedarf aktivieren.
Auf Angreiferseite spielt dabei auch der Prozess- und Analyse-Umgehungsgrad eine große Rolle. Microsoft beschreibt, dass die Malware Registry Run-Keys und geplante Tasks nutzt, Anti-Analysis-Checks ausführt sowie Prozess Hollowing verwendet, um Mining-Code unter dem Mantel einer vertrauenswürdig signierten Binärdatei starten zu lassen. Für Defender ist das anspruchsvoll, weil weniger eindeutig „die Malware-Executable“ im Fokus steht, sondern ein legitimer Prozess, in den nachträglich Code verlagert wird. In ausgewählten Fällen wird der Installer sogar über PowerShell von einem entfernten Storage geholt, lokal als scheinbar unauffällige Datei abgelegt und anschließend via Self-Delete wieder entfernt. Parallel greift die Malware zu einer Art Deaktivierungslogik: Erkennt sie Tools wie taskmgr.exe, Process Hacker oder Process Explorer, wird der Miner umgehend beendet, um Beobachtbarkeit während des Untersuchungsfensters zu reduzieren.
Für den Markt bedeutet das, dass KI-gestützte „Software Recommendation“-Szenarien zunehmend als Delivery-Kanal taugen, nicht nur als Informationsoberfläche. Damit steht die Abwehr vor einem neuen Problem: Sicherheitsgrenzen, die bisher am Suchmaschinen-Ergebnis oder an eindeutig bösartigen Domains ansetzten, sind bei KI-Interaktionen oft weiter nachgelagert. Wie ein Sicherheitsexperte aus einem großen SOC-Ökosystem in einem Interview zusammenfasste: „Wenn die Antwort-Engine selbst URLs ausgibt, muss das Schutzkonzept auch diese Kommunikationsschicht absichern – sonst bleibt der Nutzer trotz ‚richtiger‘ Suchabsicht ein Einstiegspunkt.“ Wettbewerber wie CrowdStrike oder Palo Alto Networks betonen in ihren Analysen häufig ebenfalls, dass moderne Threat-Modelle „Human-in-the-Loop“-Angriffe stärker berücksichtigen müssen. Die Kampagne zeigt genau das: Social Engineering wird nicht weniger, sondern verschiebt sich in Richtung Assistenzsysteme, die Nutzerhandlungen beschleunigen.
Der historische Kontext macht klar, dass das Muster nicht bei Cryptojacking endet, sondern methodisch anschlussfähig ist. Bereits zuvor nutzten Angreifer SEO-Poisoning, um Suchpfade zu vergiften; später kamen „zweite Ebene“-Weiterleitungen hinzu, etwa über gefälschte Update- oder Support-Seiten. Neu ist hier die Kombination mit LLM-basierten Empfehlungen, die den Nutzer in einer einzigen Interaktion von der Fragestellung zur Downloadaktion führen. Microsoft verknüpft die Warnung außerdem mit weiteren Vorfällen: In einem früheren Bericht ging es um kompromittierte F5 BIG-IP-Appliances und das Ausnutzen vertrauenswürdiger Beziehungen zur Seitbewegung; in einem anderen Fall standen Missbrauchsflächen bei Drittanbietern und integrierten IT-Management-Tools im Vordergrund. Unternehmen sollten deshalb davon ausgehen, dass Angreifer Tradecraft weiter verfeinern und Credentials sowie Remote Access nicht nur für Mining, sondern für Datendiebstahl, Lateral Movement und Ransomware „mitdenken“.
Für die Zukunft stehen vor allem konkrete Maßnahmen entlang von Security-Governance und Überwachung an. Da die Kampagne stark auf Download- und Ausführungsereignisse setzt, sollten Teams den Datenfluss aus KI-Tools zu Browsern und Installationspfaden mit Telemetrie nachverfolgen: Welche Links werden geklickt, welche Domains werden kontaktiert, welche Archive werden entpackt, und welche Signaturen bzw. Prozessketten treten beim Sideloading oder Process Hollowing auf? Zusätzlich wird die Aufmerksamkeit auf Identitäten gelenkt: Microsofts Hinweise zu überprivilegierten Konten und fehlender expliziter Persistenz machen deutlich, dass „zu viel sudo“ oder langlebige Rollen das Risiko verstärken. Wer in sensiblen Branchen tätig ist, sollte daher Trust nicht als Ersatz für Kontrolle behandeln, sondern als Ausgangspunkt für konsequente Validierung und Incident-Response-Übungen, die auch KI-Interaktionen berücksichtigen.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "KI-Chatbots lenken auf Cryptojacking-Webseiten – Microsoft warnt vor neuer Masche" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "KI-Chatbots lenken auf Cryptojacking-Webseiten – Microsoft warnt vor neuer Masche" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »KI-Chatbots lenken auf Cryptojacking-Webseiten – Microsoft warnt vor neuer Masche« bei Google Deutschland suchen, bei Bing oder Google News!