KI-Agenten<\/a> einsetzten, um in Echtzeit zu \u00fcberwachen, wie effektiv die Werkzeuge von Sicherheitssoftware erkannt wurden. Wurde ein Implant detektiert, initiierten die Agenten eigenst\u00e4ndig einen Prozess zur Modifikation und Neuerstellung der Malware.<\/p>\nDNS-Hijacking und CaptiveCrunch: Die Angriffsmethodik im Detail<\/h2>\n
GTG-20006 setzte auf eine mehrstufige Strategie, die mit der Kompromittierung von mindestens drei Hotel-WLAN-Anbietern begann. Mit gestohlenen Administrator-Zugangsdaten manipulierten die Hacker die DNS-Eintr\u00e4ge, sodass der Datenverkehr der Hotelg\u00e4ste auf vom Akteur kontrollierte Server umgeleitet wurde (DNS-Hijacking). Sobald die Verbindung umgeleitet war, wurden den Opfern ger\u00e4tespezifische Malware-Pakete ausgeliefert: F\u00fcr Windows-Systeme kamen Implants wie PowerChrome, WUEngine und Shadow C2 zum Einsatz, f\u00fcr Android-Ger\u00e4te der Surveillance-RAT GiftDrop und f\u00fcr iOS die Malware DarkSword. Die Auslieferung erfolgte \u00fcber ClickFix-Lures, die die Nutzer zur Interaktion verleiteten.<\/p>\n
Dieser Teil der Operation \u00fcberschnitt sich mit der als CaptiveCrunch bekannten Kampagne, die im Juli und August von ReliaQuest, Microsoft, Google und Lumen Black Lotus Labs dokumentiert wurde.<\/p>\n
Geografische und sektorale Schwerpunkte der Angriffe<\/h3>\n
Die \u00dcberwachung durch die KI-Agenten beschr\u00e4nkte sich nicht auf die reine Malware-Erkennung. GTG-20006 nutzte die Workflows auch f\u00fcr die automatisierte Registrierung von Domains, den Aufbau der Phishing-Infrastruktur und die \u00dcberwachung der Command-and-Control-Kan\u00e4le (C2) auf erfolgreiche Kompromittierungen. Mehr als 20 Organisationen waren das Ziel der Aufkl\u00e4rungs- und Angriffsoperationen. Der Fokus lag auf milit\u00e4rischen Geheimdienstzielen in der Ukraine und in europ\u00e4ischen Regierungen, diplomatischen und Verteidigungsorganisationen sowie auf mit der US-Au\u00dfenpolitik verbundenen Einzelpersonen. Betroffen waren Ministerien, Denkfabriken und R\u00fcstungsunternehmen, vorrangig in Europa und der Ukraine, aber auch im Nahen Osten und bei maritimen Beh\u00f6rden in Asien.<\/p>\n
Datendiebstahl und Kontroll\u00fcbernahme als operative Ziele<\/h2>\n
\u00dcber die Hotel-WLAN-Infrastruktur hinaus erbeuteten die Angreifer Daten aus den Hotelverwaltungssystemen und den Ger\u00e4ten der G\u00e4ste. Diese Informationen dienten der gezielten Identifizierung weiterer relevanter Personen, darunter ukrainische Regierungsbeamte und Drohnenhersteller. Ein weiterer bemerkenswerter Taktikbaustein war die \u00dcbernahme von WhatsApp-Konten. Hierzu nutzten die Hacker sogenannte Headless Browser, um die Zielkonten als Begleitger\u00e4te zu verkn\u00fcpfen. Anschlie\u00dfend wurden russisch- und ukrainischsprachige Konversationen massenhaft exportiert, w\u00e4hrend die Lesebest\u00e4tigungen unterdr\u00fcckt wurden, um nicht entdeckt zu werden.<\/p>\n
Dar\u00fcber hinaus identifizierte Anthropic Angriffe auf \u00dcberwachungsplattformen. Die Akteure fanden Autorisierungsl\u00fccken in den Schnittstellen von Kamera-Streaming-Diensten, extrahierten Tokens und verschafften sich so Zugriff auf die Live-Kamerastreams der Opfer. In einem weiteren Fall gelang es GTG-20006, bei einer nordafrikanischen Regierungsbeh\u00f6rde \u00fcber ein VPN-Ger\u00e4t in das zentrale Kontosystem einzudringen und die gesamte Datenbank mit \u00fcber 300.000 nationalen Identit\u00e4tsdaten sowie die Gewerberegisterdaten von mehr als einer halben Million Unternehmen abzugreifen.<\/p>\n
Die Embassy-Kit und die umfassende Spionageplattform<\/h3>\n
Die Entwicklung einer Cloud-E-Mail-Spionageplattform stellt einen weiteren H\u00f6hepunkt der Aktivit\u00e4ten dar. Das als Embassy Kit bezeichnete Framework nutzte Device-Code-Phishing, um Microsoft-365-Tokens von Diplomaten und Regierungsmitarbeitern zu stehlen. Diese Kampagne f\u00fchrte zum unbefugten Zugriff und zur Exfiltration von E-Mail-Daten aus mindestens acht Organisationen, darunter eine Staatsanwaltschaft, ein milit\u00e4risches Bildungsinstitut und eine regionale zwischenstaatliche Organisation. Flankiert wurde dies durch Social-Engineering-Angriffe mit gef\u00e4lschten Update-Benachrichtigungen, die Windows-Credential-Stealer auslieferten, sowie durch Hilfswerkzeuge, die Remote-Zugriff erm\u00f6glichten und die Sicherheitsupdates auf den Opfersystemen manipulierten, um eine Erkennung der Schadsoftware zu verhindern.<\/p>\n
Die Kostenverschiebung durch KI: Eine Z\u00e4sur f\u00fcr die Verteidigung<\/h2>\n
Anthropic betont, dass der Einsatz von KI die Kostenstruktur des Konflikts fundamental zuungunsten der Verteidiger verschoben hat. W\u00e4hrend es fr\u00fcher ausreichen konnte, durch das Ausrollen neuer Signaturen die operative Geschwindigkeit eines Angreifers zu drosseln, erm\u00f6glicht die KI-gest\u00fctzte Automatisierung nun eine nahezu sofortige Anpassung der Werkzeuge. Die Angreifer setzen KI in jeder Phase ihrer Operationen ein \u2013 von der \u00dcberwachung der Tarnung ihrer Implants bis hin zur Sicherung ihrer Persistenz in den kompromittierten Netzwerken. F\u00fcr Sicherheitsverantwortliche bedeutet dies, dass reaktive, signaturbasierte Ans\u00e4tze allein nicht mehr ausreichen. Die Zukunft der Abwehr liegt in verhaltensbasierter Analyse, Echtzeit-Threat-Intelligence und einer Architektur, die Angriffe nicht nur erkennt, sondern die operative Schlagkraft des Angreifers durch aktive Gegenma\u00dfnahmen und systemische H\u00e4rtung nachhaltig beeintr\u00e4chtigt.<\/p>\n","protected":false},"excerpt":{"rendered":"
Der russische staatlich gesteuerte Bedrohungsakteur GTG-20006, der dem bekannten Kollektiv Midnight Blizzard (APT29) zugerechnet wird, hat eine Kampagne durchgef\u00fchrt, bei der k\u00fcnstliche Intelligenz eingesetzt wurde, um entdeckte Schadsoftware automatisiert wiederherzustellen. Ziel war es, die Erkennungsf\u00e4higkeit von Sicherheitsl\u00f6sungen systematisch zu unterlaufen und die operative Schlagkraft der Angreifer drastisch zu erh\u00f6hen. KI-gest\u00fctzte Automatisierung als neues Paradigma der […]<\/p>\n","protected":false},"author":5,"featured_media":54806,"comment_status":"closed","ping_status":"","sticky":false,"template":"","format":"standard","meta":{"fifu_image_url":"https:\/\/cards.overcentral.com\/cards\/de\/53166.png","fifu_image_alt":"Russische Hacker nutzen Claude zum Wiederaufbau entdeckter Malware","footnotes":""},"categories":[6671],"tags":[],"class_list":["post-53166","post","type-post","status-publish","format-standard","has-post-thumbnail","category-scherheit"],"fifu_image_url":"https:\/\/cards.overcentral.com\/cards\/de\/53166.png","fifu_image_alt":"Russische Hacker nutzen Claude zum Wiederaufbau entdeckter Malware","_links":{"self":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/53166","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/users\/5"}],"replies":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/comments?post=53166"}],"version-history":[{"count":2,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/53166\/revisions"}],"predecessor-version":[{"id":53170,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/53166\/revisions\/53170"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/media\/54806"}],"wp:attachment":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/media?parent=53166"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/categories?post=53166"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/tags?post=53166"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}