LONDON (IT BOLTWISE) – Rapid7 hat einen ungeschützten Server mit 1.048 Dateien entdeckt, die zu einer KI-gestützten Phishing-Kampagne gehören. Die Angreifer nutzen WebDAV-Sicherheitslücken und täuschen dabei gefälschte Regierungsseiten vor. Besonders kritisch: Besucher sollen einen Infostealer herunterladen, der Browser-Zugangsdaten und aktive Telegram-Sitzungen ausliest. Der Vorfall zeigt, wie schnell KI-Tools und bekannte Unternehmensplattformen wie Microsoft 365 zum Angriffsziel werden.
Ein ungeschützter Server ist in der Praxis oft kein „Zufallsfehler“, sondern ein Prozessproblem: Rechte fehlen, die Exponierung bleibt lange bestehen und die Angreifer finden genug Zeit, um Payloads und Vorlagen zu sammeln. Genau das beschreibt Rapid7 in einer aktuellen Auswertung: Auf dem System lagen 1.048 Dateien, die zu einer KI-gestützten Phishing-Kampagne passten. Der Kern liegt nicht nur im klassischen Social Engineering, sondern im Zusammenspiel aus Web-Infrastruktur, ausnutzbaren Schwachstellen und einer skriptbasierten Entfaltung. Damit verschiebt sich die Angriffsgeschwindigkeit deutlich in Richtung „automatisiert und wiederholbar“.
Technisch betrachtet setzt das beobachtete Toolkit auf das WebDAV-Protokoll, um gezielt Sicherheitslücken im Web-Umfeld anzuschneiden. In der Analyse werden mehrere CVEs genannt, darunter CVE-2025-33053 mit einem CVSS-Score von 8,8, sowie CVE-2026-21513 und CVE-2025-24054. Der Betreiber testete offenbar verschiedene Angriffswege, was mit mehreren Komponenten wie Code-Vorlagen, Schadsoftware-Teilen und Test-Kits zusammenpasst. Auffällig ist außerdem der Fund von README-Dateien, die als von großen Sprachmodellen generiert gewertet werden. Diese Spuren sprechen für eine KI-gestützte Entwicklung statt für „Copy-paste“-Angriffe.
Im nächsten Schritt wird die Wirkung auf den Endnutzer orchestriert: Gefälschte Regierungswebseiten führen Betroffene in eine Falle. Besonders betroffen sind derzeit Nutzer in Mexiko, weil die Angreifer eine CURP-Identifikationsseite der Regierung imitieren. Wer auf die Seite gelangt, wird demnach nicht nur umgeleitet, sondern zum Download einer Schadsoftware gedrängt. Der Infostealer zielt auf sehr konkrete Daten ab: Browser-Zugangsdaten, Informationen aus Kryptowährungs-Wallets und aktive Telegram-Sitzungen. Aus Unternehmenssicht ist das besonders heikel, weil Session-Material häufig direkt für Folgeangriffe nutzbar ist und Sicherheitskontrollen dadurch umgangen werden können.
Der Angriff ist zudem kein Einzelfall innerhalb der breiten „KI-Phishing“-Welle. Microsoft meldete zwischen Ende April und Mitte Juni 2026 einen starken Anstieg bei ACR-Stealer-Kampagnen und beschreibt dabei die ClickFix-Methode: Nutzer sehen gefälschte Fehlermeldungen und werden zum Ausführen von Schadcode gebracht. Dabei setzen die Akteure auf zwei Hauptpfade, unter anderem das Laden von DLL-Dateien über WebDAV in Verbindung mit PowerShell-Ladeprogrammen sowie den Einsatz von MSHTA und dateilose Ausführung, um Sicherheitssoftware auszutricksen. Auch Zscaler und weitere Research-Teams berichten über vergleichbare Muster auf macOS. Daneben identifizierte Elastic modulare Malware (TELEPUZ) mit Dutzenden Remote-Befehlen, was die Angriffe stark skalierbar macht.
Markt- und Branchenperspektiven zeigen dabei weniger die „neue Technik“, sondern die neue Kombination. Statt einzelne Schwachstellen isoliert auszunutzen, werden Web-Exposition, KI-gestützte Erstellung von Texten und Artefakten, sowie mehrstufige Entfaltung zu einem durchgängigen Prozess. Für Unternehmen bedeutet das: Sicherheitsprogramme, die nur auf Signaturen oder isolierte Awareness-Schulungen setzen, greifen zu kurz. Eine marktübliche Sicherheitsanalyse fragt deshalb zunehmend, wie robust Deployments gegen missbräuchlich verwendete Protokolle wie WebDAV sind, wie schnell Patches wirklich im Betrieb ankommen und ob Monitoring auch fehlkonfigurierte Server vor dem Missbrauch erkennt. In diesem Kontext werden auch Wettbewerber wie Microsoft, Zscaler oder Elastic relevant, weil sie ähnliche Angriffsketten und Abwehrmuster wiederholt beobachten.
Aus regulatorischer und Datenschutzsicht verschärft der Fall die Prioritäten. Wenn ein Infostealer Browserdaten, Wallet-Informationen oder Sitzungstokens abgreift, entsteht in der Regel ein unmittelbares Risiko für personenbezogene Daten und Betriebsgeheimnisse. In der EU ist das besonders wegen der Pflichten zur Datensicherheit und Meldeprozessen relevant; technische Maßnahmen wie Segmentierung, restriktive Zugriffsrechte, Logging und schnelle Incident-Response sind nicht nur „Best Practice“, sondern Teil einer belastbaren Compliance-Strategie. Ebenso wichtig ist der Nachweis, dass Systeme wie Storage- und Web-Services nicht versehentlich öffentlich erreichbar sind. Denn ein ungeschütztes Ziel ist oft der erste Dominoeffekt, der trotz vorhandener Tools aus Compliance-Sicht teuer wird.
Ein weiterer Punkt ist die Entwicklung „weg vom Werkzeug, hin zum Akteur“. Hugging Face berichtete von einem Einbruch, bei dem ein autonomer KI-Agent eine Schwachstelle in einem schädlichen Datensatz ausnutzte und in Produktionsinfrastruktur eindrang. Zwar blieben öffentliche Modelle laut den Angaben unversehrt, aber interne Datensätze und Zugangsdaten wurden kompromittiert. Für die Praxis ist das ein Warnsignal: KI-Ökosysteme bringen eigene Angriffsflächen mit, etwa durch Datenpipelines, Ausführungsrechte und Automatisierungsschritte. Während sich viele Abwehrmaßnahmen auf klassische Phishing-Mails fokussieren, rückt damit auch die Absicherung von ML- und Cloud-Workflows in den Vordergrund.
Für die nächsten Monate zeichnet sich damit eine klare Priorisierung ab. Erstens sollten Unternehmen WebDAV- und Reverse-Proxy-Zugriffe konsequent begrenzen, Patch- und Schwachstellenprozesse beschleunigen und Exponierungen systematisch scannen. Zweitens muss „Credential-Schutz“ mehr bedeuten als MFA: Session-Tokens, Cookies und Daten aus Browser-Speichern müssen durch harte Zugriffskontrollen, kurze Lebensdauern und Monitoring abgesichert werden. Drittens lohnt der Blick auf Plattformen, die häufig als Einfallstore dienen, etwa WordPress und SharePoint: Exploits werden in der Praxis teils innerhalb weniger Stunden nach Patch-Veröffentlichung aktiv ausgerollt, während SharePoint-Server durch Schwachstellen wie CVE-2026-32201 oder CVE-2026-56164 für Web-Shell-Installationen und Schlüsselabgriffe genutzt werden können. Wer jetzt in solche Maßnahmen investiert, schafft eine stabile Grundlage für den nächsten Schritt: weniger Reaktion, mehr Prävention gegenüber KI-gestützten, modulären Angriffen.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "KI-Phishing: Rapid7 entdeckt 1.048 Dateien auf ungeschütztem Server" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "KI-Phishing: Rapid7 entdeckt 1.048 Dateien auf ungeschütztem Server" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »KI-Phishing: Rapid7 entdeckt 1.048 Dateien auf ungeschütztem Server« bei Google Deutschland suchen, bei Bing oder Google News!