Angreifer nutzen KI-Tools wie Claude Code und die ChatGPT-Desktop-App, um Befehle auf kompromittierten Systemen auszuführen. Das geht aus einem neuen Quartalsbericht von Elastic Security Threat Command hervor. Gestohlene Zugangsdaten werden durchschnittlich acht Minuten nach einer Infektion verwendet. Legitime Software für die Fernwartung wie ScreenConnect dient dazu, den Zugriff aufrechtzuerhalten.
Der Bericht threats, etc basiert auf bestätigten Angriffen und eigenen Untersuchungen von Elastic aus dem Zeitraum von April bis einschließlich September 2026. Kern der Erkenntnisse ist, dass Angreifer das Vertrauen und die weitreichenden Systemzugriffe ausnutzen, die Unternehmen KI-Tools, KI-Agenten und IT-Verwaltungssoftware gewähren. Laut Elastic enthält der Bericht auch die Forschungsdaten und Erkennungsregeln, mit denen Sicherheitsteams dieselben Aktivitäten aufspüren können.
KI-Tools als Ausführungsebene
Elastic-Forscher beobachteten bei realen Angriffen, dass Befehle über Claude Code unter Windows und die ChatGPT-Desktop-App unter macOS ausgeführt wurden. Bei einem Angriff auf macOS las ein Befehl zunächst ein internes Dokument über die IT-Infrastruktur und extrahierte anschließend gespeicherte Passwörter aus dem Schlüsselbund des Benutzers. In einem Fall unter Windows verband sich ein Angreifer aus der Ferne mit einem Computer, stellte mit Claude Code Tools bereit und nahm über eine verdeckte Verbindung Kontakt zu einem externen Server auf.
Mike Nichols, General Manager Security bei Elastic, weist darauf hin, dass der Missbrauch vorhandener Software an sich keine neue Technik ist. MITRE ATT&CK führt dafür sogar eine eigene Taktik. Neu ist ihm zufolge, dass Unternehmen KI-Agenten einsetzen, die Sicherheitsteams nur schwer überwachen, verwalten oder durchschauen können. Ein Agent mit Zugangsdaten und Internetzugang stellt eine zusätzliche Angriffsfläche dar, ob er nun falsch konfiguriert ist oder missbraucht wird. Steuert ein Angreifer den Agenten, ähnelt diese Aktivität dem Verhalten des Mitarbeiters, der den Agenten installiert hat. Nichols betont deshalb, dass die Frage nicht lautet, ob ein Tool genehmigt ist, sondern was es tatsächlich tut.
Acht Minuten bis zum ersten Login
In 27 bestätigten Fällen mit Infostealern maß Elastic die Zeit zwischen der Infektion und der ersten Nutzung gestohlener Zugangsdaten. Im Durchschnitt waren es acht Minuten. Das häufigste Einfallstor war ein ClickFix-Köder: eine gefälschte Meldung, die Benutzer dazu bringt, selbst einen schädlichen Befehl einzufügen und auszuführen. Das war in 12 der 27 Fälle (44 Prozent) der Ausgangspunkt. Danach erfolgte der Datendiebstahl über Software, der das Gerät bereits vertraute, etwa Browser-Updater und die integrierten Skript-Tools von Apple. In einem Fall im Gesundheitswesen befand sich die Malware etwa 16 Sekunden, nachdem der Benutzer auf den Köder hereingefallen war, auf dem System.
Spuren eines KI-Agenten bei Hugging Face
Elastic rekonstruierte zudem auf Basis forensischer Untersuchungen das Datenleck bei Hugging Face vom Juli 2026. Das Unternehmen gibt an, Hinweise darauf gefunden zu haben, dass dabei ein KI-Agent aktiv war. Befehle wurden teils innerhalb weniger Sekunden doppelt ausgeführt, und auf einen funktionierenden Angriff folgte unmittelbar ein einfacher Programmierfehler. Laut den Forschern macht es diese Art anhaltender Aktivität Sicherheitsteams schwer, in großem Maßstab zwischen normalem Agentenverhalten und böswilligen Aktionen zu unterscheiden.
Darüber hinaus bestätigte Elastic 23 Fälle, in denen Angreifer legitime Fernwartungssoftware installierten, um den Zugriff auf ein Gerät aufrechtzuerhalten. Meist handelte es sich um ScreenConnect.
Verhalten bewerten statt Genehmigung
Elastic Security Threat Command empfiehlt, eine Übersicht vertrauenswürdiger KI-Tools, IT-Tools und digital signierter Software zu erstellen und alles andere als verdächtig zu behandeln. Auch vertrauenswürdige Software sollte laut den Forschern danach beurteilt werden, was sie tut – etwa welche Programme ein KI-Tool startet oder mit welchen Systemen sich ein RMM-Tool verbindet. Außerdem raten sie, das normale Verhalten auf Systemen zu erfassen und Signale aus Cloud-, Endpoint- und Identitätsdaten zu kombinieren. Elastic gibt an, dass das eigene Produkt Elastic Security Aktivitäten auf Systemebene überwacht und darauf ausgelegt ist, Verhaltensweisen wie Proxy-Tunneling und Speichermanipulation zu erkennen, unabhängig davon, welche Anwendung dieses Verhalten verursacht.
threats, etc ist eine Reihe von Quartalsberichten, die den jährlichen Global Threat Report von Elastic ersetzt. Das Unternehmen setzt auf einen Quartalsrhythmus, weil sich die Vorgehensweisen von Angreifern laut Elastic schneller ändern, als ein Jahresbericht abbilden kann. Die Zahlen beruhen auf bestätigten Befunden und geben ausdrücklich kein Bild der weltweiten Verbreitung wieder.
Der vollständige Bericht ist unter threats, etc abrufbar.
Dieser Artikel ist ursprünglich auf Niederländisch bei MSP Business erschienen. Zum Originalartikel →
