Forscher von SOCRadar haben einen seltenen Einblick in die Arbeitsweise von Kriminellen gewonnen. Ein offener Server, der mit Affiliates der Ransomware-Operationen INC und The Gentlemen verbunden war, enthielt 8.257 KI-Nachrichten mit Claude und Kimi, 46 Encryptor-Builds und 62 namentlich genannte Opfer. Der Fund ist ein konkretes Beispiel dafür, dass Ransomware-Banden KI-Assistenten als Teil ihrer täglichen Routine nutzen, und er bietet nützliche Lehren für Einzelpersonen und kleine Unternehmen.

Der Quellbericht ist knapp, daher beschränkt sich dieser Artikel auf das, was veröffentlicht wurde, und vermeidet Spekulationen über Details, die nicht öffentlich gemacht wurden.

Was SOCRadar auf dem offenen Server fand

Laut der Zusammenfassung von SOCRadars Erkenntnissen war der Server offen zugänglich und mit Affiliates zweier Ransomware-Gruppen verbunden, INC und The Gentlemen. Drei Zahlen definieren den Fund:

  • 8.257 KI-Nachrichten, die mit den Assistenten Claude und Kimi ausgetauscht wurden
  • 46 Encryptor-Builds, also kompilierte Versionen der dateiverschlüsselnden Malware, die bereit zur Ausbringung sind
  • 62 namentlich genannte Opfer, auf dem Server identifizierte Organisationen

Ein derart exponierter Server funktioniert wie eine Werkstatt mit offen stehender Tür. Statt nur den fertigen Angriff zu sehen, können Forscher Werkzeuge, Aufzeichnungen und die dahinterstehenden Arbeitsgespräche einsehen. Operative Fehler von Kriminellen, etwa ungesichert belassene Infrastruktur, sind eine der wenigen Möglichkeiten, wie Verteidiger diese Art von Sichtbarkeit erhalten.

Wie INC und The Gentlemen Claude und Kimi nutzten

Das Schlagzeilen-Detail ist die Menge der KI-Gespräche. Mehr als achttausend Nachrichten deuten darauf hin, dass die Assistenten kein gelegentliches Experiment waren, sondern ein regelmäßiger Teil des Workflows dieser Affiliates. Das Quellmaterial bestätigt die Existenz der Chats neben den Encryptor-Builds und Opferaufzeichnungen. In den hier verfügbaren Informationen wird jedoch nicht jede Aufgabe aufgeführt, für die die Assistenten genutzt wurden, daher werden wir nicht über konkrete Prompts oder Ausgaben spekulieren.

Was die Kombination jedoch zeigt, ist, dass KI-Chat-Tools neben der Maschinerie einer Angriffskampagne stehen: Malware-Builds auf der einen Seite, eine Opferliste auf der anderen und ein langer Datensatz von KI-Gesprächen dazwischen. Für Verteidiger ist die praktische Erkenntnis, dass KI routinehafte Arbeit für Kriminelle beschleunigen kann, was den Aufwand für die Vorbereitung und Durchführung von Angriffen senken kann.

Es ist auch von Bedeutung, dass zwei verschiedene Assistenten auftauchen. Claude und Kimi stammen von unterschiedlichen Entwicklern, was darauf hindeutet, dass Affiliates nicht an ein einziges Tool gebunden sind und möglicherweise zwischen ihnen wechseln.

Was die 62 namentlich genannten Opfer über die Zielauswahl verraten

Zweiundsechzig namentlich genannte Opfer neben 46 Encryptor-Builds deuten auf eine organisierte, wiederholbare Operation hin statt auf eine einmalige Intrusion. Viele bereitstehende Builds deuten darauf hin, dass Angreifer maßgeschneiderte oder variierte Versionen ihrer Malware im Voraus vorbereiten, was eine einfache signaturbasierte Erkennung weniger zuverlässig machen kann.

Die Quelle schlüsselt nicht auf, welchen Branchen oder Regionen die Opfer angehören, daher wäre es falsch, feste Schlüsse über die Branchenauswahl zu ziehen. Eine angemessene Lesart ist enger: Ransomware-Affiliates führen Arbeitslisten von Zielen und bereiten Tooling im Voraus vor. Dieses Muster steht im Einklang mit dem breiteren Trend, dass Crews Organisationen angreifen, die leichter unter Druck zu setzen sind – ein Thema, das wir in unserer Betrachtung dazu untersucht haben, wie Qilin- und Akira-Ransomware-Banden Supply-Chain-Angriffe eskalieren.

Was das für Sie bedeutet

Wenn Sie ein kleines Unternehmen führen oder Ihre eigenen Geräte verwalten, können sich die Nachrichten fern anfühlen, aber die Lehre ist praktisch. KI-Unterstützung erfindet nicht so sehr neue Wege, sich Zugang zu verschaffen, als dass sie bestehende Methoden schneller vorzubereiten macht. Das bedeutet, dass die Grundlagen mehr denn je zählen.

  • Einzelpersonen: Angreifer sind weiterhin auf gestohlene Passwörter, ungepatchte Software und getäuschte Nutzer angewiesen. Starke, einzigartige Logins und aktualisierte Geräte bleiben wirksame Barrieren.
  • Kleine Unternehmen: Klein zu sein ist kein Schutz. Affiliates führen Opferlisten, und die Vorbereitung ist günstig, wenn das Tooling bereits gebaut ist.
  • Alle: Gehen Sie nicht davon aus, dass Sie einen Angriff an schlampiger Formulierung oder ungeschickter Technik erkennen können. KI kann beides polieren.

So reduzieren Sie Ihr Ransomware-Risiko mit Backups, Patches und MFA

Drei Gewohnheiten leisten die meiste Arbeit gegen Ransomware, wer oder was auch immer dem Angreifer hilft:

  1. Halten Sie Offline- oder unveränderliche Backups bereit. Ransomware ist darauf ausgelegt, Ihre Dateien zu verschlüsseln, und ein Backup, das Angreifer nicht erreichen können, verwandelt eine Krise in eine Unannehmlichkeit. Testen Sie Wiederherstellungen regelmäßig, denn ein ungetestetes Backup ist eine Vermutung.
  2. Patchen Sie umgehend. Installieren Sie Updates für Betriebssysteme, Browser, VPN-Appliances und Fernzugriffstools so schnell wie möglich. Priorisieren Sie alles, was dem Internet ausgesetzt ist.
  3. Aktivieren Sie Multi-Faktor-Authentifizierung (MFA). Aktivieren Sie sie für E-Mail, Fernzugriff, Administratorkonten und Cloud-Dienste. Gestohlene Passwörter allein werden dann weit weniger nützlich.

Fügen Sie einige unterstützende Schritte hinzu: Beschränken Sie Administratorrechte, trennen Sie wichtige Systeme von alltäglichen und schreiben Sie auf, wen Sie anrufen, wenn Sie getroffen werden.

Das Fazit

SOCRadars Entdeckung ist eine Erinnerung daran, dass Ransomware-Banden, die KI-Assistenten nutzen, bereits in einem Ausmaß operieren, das in Tausenden von Nachrichten, Dutzenden von Malware-Builds und Dutzenden von Opfern gemessen wird. Sie können nicht kontrollieren, was Kriminelle mit diesen Tools tun, aber Sie können kontrollieren, wie vorbereitet Sie sind. Richten Sie diese Woche Offline-Backups ein, patchen Sie schnell und aktivieren Sie MFA. Um den breiteren Druck auf Organisationen zu verstehen, lesen Sie unseren Beitrag darüber, wie Ransomware-Banden wie Qilin und Akira Lieferketten ins Visier nehmen.