Auf den Punkt: Angreifer nutzen Open-Source-KI-Tools zur industrialisierten Entwicklung von Phishing- und Malware-Infrastruktur, um Prozesse zu beschleunigen und Varianten gegen Sicherheitslücken zu testen.
Rapid7 entdeckte einen ungeschützten Server, auf dem eine Angreifergruppe Phishing-Kampagnen mit Unterstützung von Large Language Models entwickelt und getestet hatte. Die forensischen Artefakte deuten auf systematische Infrastruktur-Entwicklung nach Art eines professionellen Software-Teams hin.
Der Sicherheitsanbieter Rapid7 analysierte nach der Entdeckung eines ungesicherten Auslieferungsservers den Entwicklungs-Baukasten einer Angreifergruppe. Auf dem Server befanden sich 1.048 Dateien: Vorlagen für Täuschungsseiten, Testsuites zur Dateinamensmanipulation, Ausführungsskripte und Ausführungsprotokolle. Die Verzeichnisstrukturen und Artefakte zeigen, dass der Betreiber quelloffene KI-Programmierwerkzeuge wie Coderrr einsetzte, um Phishing-Infrastrukturen und Schadsoftware beschleunigt zu entwickeln, zu testen und zu dokumentieren. Auch die Administrationsoberfläche der Auslieferungsplattform „Simba Service“ war ungeschützt auf dem System erreichbar.
Das zentrale Entwicklungsziel war die Reproduktion und Erweiterung der Windows-Sicherheitslücke CVE-2025-33053. Bei dieser Methode wird eine URL-Verknüpfung verwendet, um eine signierte Windows-Datei zu starten, während das Arbeitsverzeichnis auf eine vom Angreifer kontrollierte WebDAV-Freigabe umgeleitet wird. Dadurch lädt Windows schädliche Komponenten von der entfernten Ressource nach. Nachdem das ursprüngliche Angriffsmuster unter Windows 11 Version 24H2 nicht mehr funktionierte, erstellte die Gruppe ein Testpaket mit 59 URL-Dateien, um alternative signierte Windows-Utilities wie InstallUtil und RegAsm auf Anfälligkeit zu überprüfen.
Rapid7 dokumentierte parallel eine aktive Angriffswelle gegen Nutzer in Mexiko. Die Angreifer betrieben eine gefälschte Regierungswebseite für nationale Identifikationsnummern, über die Opfer auf eine WebDAV-Freigabe geleitet wurden. Dort wurde eine als PDF getarnte ausführbare Datei heruntergeladen, die einen Infostealer entpackte. Diese Malware beschaffte sich Anmeldedaten für Kryptowährungs-Geldbörsen, Browser-Sitzungen und Messenger-Dienste. Zwischen dem 20. und 26. Juni 2026 wurden 77.098 Anfragen von 3.892 eindeutigen IP-Adressen aus 101 Ländern registriert, von denen 82,5 Prozent aus Mexiko stammten.
Quelle: www.it-daily.net · Erschienen 26. Juli 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.7.3.