KI-Tool „Hermes" treibt Ransomware-Angriffe für 4 Dollar an, wie ein Bericht zeigt

KI-gestützte Ransomware-Angriffe sind deutlich billiger geworden

Sicherheitsforscher haben einen Ransomware-Server aufgedeckt, der zeigt, wie weit die Automatisierung in die Cyberkriminalität vorgedrungen ist. Laut einem Bericht von Cybernews betreibt ein Ransomware-Partner ein KI-Agentensystem namens Hermes, das mehrere Opfer gleichzeitig kompromittieren und erpressen kann – und der gesamte Betrieb kostet etwa 4 Dollar an KI-Tokens pro Angriff. Die Entdeckung bietet einen seltenen, direkten Einblick darin, wie KI-gestützte Ransomware-Angriffe die wirtschaftlichen Grundlagen der Erpressung neu gestalten – und sie sollte als Weckruf für jede Organisation dienen, die annimmt, dass Cyberkriminelle weiterhin tiefgreifendes technisches Fachwissen oder erhebliche Budgets benötigen, um Schaden anzurichten.

Was diesen Fall bemerkenswert macht, ist nicht nur der geringe Preis. Es ist der Umfang dessen, was das Hermes-Agentensystem offenbar eigenständig getan hat. Die Forscher fanden heraus, dass das Tool in jeder Phase eines Angriffs eingesetzt wurde – von der ersten Kompromittierung bis hin zur Berechnung und Festlegung der Lösegeldforderungen. Mit anderen Worten: Aufgaben, die einst einen qualifizierten menschlichen Bediener oder ein kleines Team davon erforderten, werden nun an ein automatisiertes System delegiert, das dasselbe Vorgehen parallel gegen mehrere Ziele ausführen kann.

Von Verschlüsselung zu reiner Datendiebstahl-Erpressung

Die vielleicht bedeutendste Veränderung in diesem Fall ist strategischer, nicht technischer Natur. Der Partner hinter Hermes hat Berichten zufolge die traditionelle Ransomware-Verschlüsselung vollständig aufgegeben. Statt die Dateien eines Opfers zu sperren und Zahlung für einen Entschlüsselungsschlüssel zu verlangen, konzentriert sich die Gruppe nun ausschließlich darauf, Daten zu stehlen und mit deren Veröffentlichung oder Verkauf zu drohen, falls kein Lösegeld gezahlt wird.

Das ist wichtig, weil es die Kalkulation für Opfer und Verteidiger gleichermaßen verändert. Verschlüsselungsbasierte Ransomware kann oft zumindest teilweise durch die Wiederherstellung von sauberen Backups bekämpft werden. Datendiebstahl-Erpressung umgeht diese Verteidigung vollständig. Selbst wenn ein Unternehmen seine Systeme wiederherstellt, ohne einen Cent zu zahlen, behalten die Angreifer weiterhin sensible Dateien – und allein die Androhung der Offenlegung kann ausreichen, um eine Zahlung zu erzwingen. Für Unternehmen, die Kundendaten, Finanzunterlagen oder Gesundheitsinformationen verarbeiten, bedeutet das, dass Backups allein kein ausreichendes Sicherheitsnetz mehr darstellen.

Dies ist nicht das erste Mal, dass KI-Tools im Zusammenhang mit dem breiteren Ransomware-Ökosystem aufgetaucht sind. vpn.social berichtete zuvor über einen Fall mit Claude Code, der bei Gentlemen-Ransomware-VPN-Angriffen eingesetzt wurde, bei dem ein KI-Programmierassistent Berichten zufolge genutzt wurde, um Phasen eines Eindringens durchzuführen. Zusammengenommen deuten diese Berichte auf ein Muster hin: Ransomware-Betreiber experimentieren zunehmend mit KI-Tools, um Arbeiten zu erledigen, die früher spezielles menschliches Fachwissen erforderten – was die Einstiegshürde senkt und die Angriffszeiten beschleunigt.

Was das für Sie bedeutet

Wenn Sie ein Unternehmen führen, IT-Infrastruktur verwalten oder einfach sensible Daten online speichern, ist dieser Fall eine Erinnerung daran, dass die Schwelle für die Durchführung eines ernsthaften Cyberangriffs ständig sinkt. Wenn eine Ransomware-Kampagne für ein paar Dollar automatisiert und skaliert werden kann, müssen Angreifer nicht mehr selektiv vorgehen. Kleinere Organisationen, die zuvor annahmen, sie seien „zu klein, um ein Ziel zu sein", sind nun problemlos in Reichweite, da die Grenzkosten für ein weiteres Opfer in einer KI-gesteuerten Kampagne vernachlässigbar sind.

Die Verschiebung hin zu reiner Datendiebstahl-Erpressung bedeutet auch, dass Prävention früher in der Angriffskette erfolgen muss. Sobald Daten Ihr Netzwerk verlassen haben, gibt es kein Zurück mehr – Sie können sich nicht aus dem Problem herausrestaurieren. Das legt zusätzliches Gewicht auf Dinge wie Netzwerksegmentierung, strenge Zugriffskontrollen und die Überwachung ungewöhnlicher ausgehender Datenübertragungen, da dies die Kontrollen sind, die eine Exfiltration stoppen können, bevor sie passiert – und nicht erst im Nachhinein.

Wichtigste Erkenntnisse

Angesichts der Tatsache, wie billig und automatisiert diese Angriffe geworden sind, stechen einige praktische Schritte zur Risikominderung hervor:

• Gehen Sie davon aus, dass Ihre Organisation unabhängig von der Größe ein realistisches Ziel ist, da KI-gesteuerte Angriffe kostengünstig über viele Opfer gleichzeitig skaliert werden.
• Priorisieren Sie die Verhinderung von Datencxfiltration, nicht nur die Systemwiederherstellung, da Backups nicht vor leckbasierter Erpressung schützen.
• Segmentieren Sie Netzwerke und begrenzen Sie Zugriffsrechte, damit ein einzelnes kompromittiertes Konto nicht Ihren gesamten Datensatz offenlegt.
• Überwachen Sie ungewöhnliche ausgehende Verkehrsmuster – dies ist oft das klarste frühe Anzeichen für einen laufenden Datendiebstahl.
• Überprüfen Sie Ihre Incident-Response-Pläne, um spezifisch Erpressungsdrohungen auf Basis gestohlener Daten zu adressieren – nicht nur Ransomware-Verschlüsselung.

KI-gestützte Ransomware-Angriffe sind kein Zukunftsszenario mehr; sie laufen bereits in freier Wildbahn – zum Preis einer Tasse Kaffee. Dieser Entwicklung einen Schritt voraus zu bleiben, bedeutet, Datenschutz – nicht nur Wiederherstellung – als oberste Priorität zu behandeln und die Verteidigung Ihrer Organisation zu überprüfen, bevor ein automatisierter Angreifer zuerst die Lücke findet.