Die Schadsoftware, die sich umschreibt, bis sie nicht mehr gesehen wird

Seit dreißig Jahren beruht der Virenschutz auf einem einfachen Zyklus. Ein Angreifer schreibt ein Werkzeug; ein Hersteller analysiert es irgendwann und veröffentlicht eine Signatur; das Werkzeug kommt nicht mehr durch; der Angreifer muss ein neues schreiben. Dieser Zyklus verursachte dem Gegner Kosten, und genau diese Kosten machten die Verteidigung lohnend. Der erste Fall im Cyber-Kapitel des Berichts beschreibt einen Akteur, der diese Kosten abgeschafft hat.

Die Schleife, die sich von selbst schließt #

Der Akteur trägt die Kennung GTG-20006. Die Zuordnung durch Anthropic deckt sich mit öffentlichen Berichten über die russische Spionagegruppe, die unter dem Namen Midnight Blizzard bekannt ist; einer der Operatoren ist russischsprachig und agiert unter einem identifizierbaren Pseudonym. Ziele: ukrainische und europäische Militärnachrichtendienste, Ministerien, Botschaften und diplomatische Vertretungen, Denkfabriken, Rüstungsunternehmen und Personen mit Bezug zur US-Außenpolitik. Mehr als zwanzig verschiedene Organisationen wurden in Planung, Aufklärung und laufenden Operationen identifiziert, mit Schwerpunkt auf der Ukraine und Europa und Ausläufern in den Nahen Osten bis hin zu Schifffahrtsbehörden in Asien.

Der Werkzeugkasten und sein automatisches Recycling #

Der Bericht beschreibt das Arsenal im Einzelnen, und das ist wichtig, um das Folgende zu verstehen. Es besteht aus zwei Familien von Windows-Implantaten, einem Exploit-Kit für Mobilgeräte, einem Zugangsdatendieb, der die Passwortspeicher der Browser ins Visier nimmt, einer Phishing-Plattform, die vorrangige Ziele imitiert (typischerweise Regierungswebsites), und einer Verwaltungskonsole für die kompromittierten Konten. Nichts Neues auf der Liste. Neu ist: Jedes dieser Werkzeuge wurde „während der Operationen nach Bedarf von KI-gestützten Arbeitsabläufen verwaltet und umgerüstet“.

Der zentrale Mechanismus passt in drei Sätze des Berichts. Der Akteur nutzte KI, um zu überwachen, wie gut seine Werkzeuge bekannten Sicherheitsprodukten entgingen. Stellten die Überwachungsagenten fest, dass eines seiner eingesetzten Schadprogramme von einem Sicherheitsprodukt erkannt wurde, begannen sie, es selbstständig zu ändern und neu zu kompilieren, um den bestehenden Erkennungen zu entgehen. Sie waren darauf ausgelegt, so lange zu iterieren, bis das Werkzeug nicht mehr erkannt wurde. Erst dann ging das Werkzeug in den Einsatz: bereitgestellt auf Wegwerf-Hostingservern, zu denen der Verkehr der Opfer gelenkt wurde, um es abzuholen.

Das Ergebnis ist, dass die KI die Kosten wieder auf die Verteidiger abgewälzt hat. Früher konnte ein Verteidiger das operative Tempo eines Angreifers bremsen, indem er eine neue Erkennung einsetzte. Heute können fähige Gegner, zumindest in der Theorie, „die Schleife schließen“ und herkömmliche Sicherheitserkennungen schneller umgehen, als Verteidiger sie entwickeln und ausrollen können.

Das Detail, das einen frösteln lassen sollte #

Derselbe Akteur setzte neben seinen Zugangsdatendieben Begleitkomponenten mit vollständigen Fernzugriffsfunktionen ein. Ihre zusätzliche Aufgabe: die Sicherheitsupdates des Opferrechners einzufrieren, damit die neuen Signaturen der Hersteller nie auf dem Rechner abgerufen oder ausgeführt werden.

Anders gesagt: Selbst wenn Ihr Virenschutzhersteller irgendwann die richtige Signatur erstellt, erhält Ihr Rechner sie nicht. Die beiden Hälften des Aufbaus greifen ineinander: Auf der einen Seite wird das Werkzeug umgeschrieben, bis es durchkommt, auf der anderen wird sichergestellt, dass die Gegenmaßnahme nie ankommt. Das ist ein eigenständiges Anzeichen einer Kompromittierung und eines der wenigen, die jeder Organisation zugänglich sind: Ein Rechner, auf dem seit drei Wochen ohne Erklärung keine Sicherheitsupdates mehr eingespielt werden, ist als verdächtig zu behandeln, nicht als Wartungsticket mit niedriger Priorität. Eine IT-Umgebung, in der niemand sagen kann, welche Rechner aktuell sind, kann dieses Signal nicht liefern.

Die Einstiegswege dagegen bleiben gewöhnlich #

Nichts Exotisches an der Art, wie dieser Akteur eindrang. Das ist wichtig, denn genau dort entscheidet sich die Verteidigung eines KMU: Die Innovation steckt in der Umgehungsschleife, nicht in der Eingangstür.

• Phishing per Gerätecode. Die wichtigste Zugangstechnik missbrauchte die legitimen Anmeldeabläufe von Cloud-Postfächern: Das Opfer gibt in gutem Glauben einen Code auf einer echten Microsoft-Anmeldeseite ein, und der Angreifer erhält das Token. Der Akteur hatte ein eigenes Framework entwickelt, um diese Kampagnen zum Token-Diebstahl zu steuern, und nutzte KI, um Domains zu registrieren, das Hosting einzurichten, die E-Mails zu versenden und erfolgreiche Kompromittierungen zu überwachen. Ergebnis: Zugriff auf und Exfiltration von E-Mails in mindestens acht Organisationen, darunter eine nationale Staatsanwaltschaft, eine militärische Bildungseinrichtung und eine regionale zwischenstaatliche Organisation.
• Köder mit falschen Updates. Windows-Zugangsdatendiebe, die als zu installierendes Update getarnt geliefert werden, und Köder der Art „fügen Sie diesen Befehl ein, um Ihr Netzwerk zu reparieren“: die Familie von Techniken, die in der Branche ClickFix heißt, bei der der Nutzer die Schadkomponente selbst ausführt.
• Hotel-WLAN. Der Akteur kompromittierte mindestens drei Dienstleister, die das Gäste-WLAN von Hotels betreiben. Mit gestohlenen Administrationszugängen änderte er die DNS-Einträge, sodass sie auf seine eigenen Server zeigten. Bei Gästen, die sich verbanden, gingen Verkehr, Gerätekennung und Netzwerkadresse an den Angreifer, danach erhielten sie Köder, die Schadsoftware für Windows, Android und iOS auslieferten. Der Akteur glich diese Daten anschließend mit Kundendaten ab, die aus Hotelverwaltungssystemen gestohlen worden waren, um seine Zielauswahl zu verfeinern. Microsoft hat im Juli 2026 einen Bericht zu dieser Methode veröffentlicht, die es CaptiveCrunch nennt.
• Messenger-Konten. Verknüpfung der Konten der Opfer als „Begleitgeräte“ über eine Flotte von Headless-Browsern, gestützt auf eine freie Automatisierungsbibliothek, mit unterdrückten Lesebestätigungen, damit das Opfer nichts bemerkt, und anschließendem Massenexport der Unterhaltungen auf Russisch und Ukrainisch. Mindestens zwei ehemalige hochrangige ukrainische Amtsträger wurden so ins Visier genommen.
• Kameradienste. Der Akteur fand Autorisierungslücken in der Programmierschnittstelle von Video-Streaming-Diensten, nutzte sie, um Nutzer aufzulisten, und sammelte die Token, die Zugang zu den Live-Kamerabildern der Opfer gaben. Kein Speicher-Exploit, keine Systemlücke: eine schlecht geschriebene Zugriffskontrolle in einer API.
• VPN-Zugangsdaten. Bei einer nordafrikanischen Regierungsbehörde: gestohlene Zugangsdaten eines VPN-Geräts, Übernahme des zentralen Kontenservers, dann Exfiltration der vollständigen Datenbank, mit mehr als 300.000 Datensätzen aus dem nationalen Identitätsregister und dem Handelsregister von über einer halben Million Unternehmen des Landes.

Die Ziele und warum sie Sie betreffen #

Man kann diese Liste von Opfern lesen und sich sagen, dass sich für eine Steuerkanzlei in Sélestat niemand interessiert. Der Bericht beschreibt jedoch ein Muster, das jedes Industrie-KMU aufhorchen lassen sollte: Der Akteur zielte nicht nur auf die Endorganisationen, er arbeitete sich ihre Lieferketten hinauf. Er scannte die E-Mail- und Fernzugriffsdienste von mehr als zwei Dutzend ukrainischen Regierungsorganisationen, doch sein wiederkehrendes Nebenziel war Drohnentechnik.

Konkret: Massenexport der Postfächer von mindestens zwei Herstellern von Drohnenkomponenten, Angriff auf einen Rüstungshersteller und Diebstahl des vollständigen, proprietären Software Development Kits eines eingebetteten Bildverarbeitungssystems. Der Akteur verbrachte dann mehrere Tage damit, es zurückzuentwickeln, und rekonstruierte dabei die Architektur des Produkts, seine Stückliste, die Liste seiner Lieferantenabhängigkeiten und Einzelheiten eines noch nicht angekündigten Produkts. Das sind genau die Informationen, die ein Tier-2-Zulieferer über seinen Auftraggeber besitzt und die er in der Regel viel schlechter schützt als dieser.

Die Regel, die sich daraus ergibt, ist einfach: Wie stark Sie exponiert sind, hängt nicht von Ihrer Größe ab, sondern davon, was Sie über andere besitzen. Pläne, Stücklisten, Fernzugänge bei einem Kunden, mit einem Auftraggeber geteilte Postfächer: Jedes dieser Elemente macht Sie zu einem Weg, nicht zu einem Endziel.

KI in jedem Schritt, wie der Bericht sie aufzählt #

Der Bericht begnügt sich nicht damit zu sagen, dass der Akteur „KI nutzte“. Er sagt, wo, und die Liste ist aufschlussreich, weil sie die gesamte Kette abdeckt, nicht nur das Schreiben von Code.

• Aufklärung: Fingerprinting von E-Mail- und Fernzugriffsdiensten, Sammeln von Informationen aus offenen Quellen, Erstellung der Ziellisten für Phishing.
• Erstzugriff: Aufbau und Betrieb der Plattform, die die Einbruchskampagnen führte, Einrichtung der Phishing-Infrastruktur und der Ausnutzungswerkzeuge, dann direkte Ausführung von Teilen des Einbruchs: Befehle gegen die Systeme des Opfers, Abgreifen von Zugangsdaten, Lateral Movement in den Netzen, unter der Leitung des Operators.
• Sammlung und Exfiltration: Extraktion und Aufbereitung von Hunderten Gigabyte gestohlener Daten; in mehreren Fällen lief die Exfiltration über Massenexporte aus den kompromittierten Postfächern.
• Aufrechterhaltung des Zugangs: Automatisierung der Registrierung von Geräten unter Kontrolle des Angreifers im Mandanten der Opferorganisation. Der Bericht erwähnt auch geplante Aufgaben, die gestohlene Zugriffstoken erneuerten und den Cloud-Speicher der Opfer ganz ohne menschliches Eingreifen abschöpften.
• In den internen Umgebungen: Überwachung von Unauffälligkeit und Persistenz der Implantate; wurden sie von einem Sicherheitsprodukt gemeldet, systematische Identifizierung, Änderung und erneute Bereitstellung der erkannten Artefakte.

Und der Mensch bei all dem? Der Bericht ist präzise: Der Operator griff „hauptsächlich ein, um die Claude-Code-Skills zu ändern, die die Arbeitsabläufe steuerten, wenn sie nachgeschärft werden mussten“. Er führte den Angriff nicht, er wartete die Maschine, die ihn führte.

Was erkennt man also, und wie? #

Eine Datei, die bei jeder Kompilierung ihre Form ändert, hat keinen stabilen Fingerabdruck. Was sie tut, bleibt dagegen bemerkenswert konstant, weil es vom Ziel bestimmt wird, nicht vom Code. Ein Implantat neu zu kompilieren ändert nichts daran, dass es einen Neustart überdauern, nach außen kommunizieren und Daten herausbringen muss. Die nützliche Erkennung verlagert sich also von „wie sieht es aus“ zu „was tut es“. Hier sind die Signale, die wir bei unseren Kunden instrumentieren und die ein KMU ohne das Budget eines Großkunden einrichten kann.

1. Zentralisierte Protokolle, außerhalb der Maschine, die sie erzeugt. Das ist die Voraussetzung für alles andere: Ein Angreifer, der Administratorrechte erlangt, löscht die lokalen Protokolle. Unsere gehen laufend an einen dedizierten Collector.
2. Persistenz. Eine neu angelegte geplante Aufgabe, ein geänderter Autostart-Schlüssel, ein installierter Dienst, eine hinzugefügte systemd-Unit. Das sind seltene Ereignisse in einer stabilen IT-Umgebung; jedes verdient einen eigenen, benannten Alarm.
3. Zugänge. Ein SSH-Schlüssel, der einem Konto hinzugefügt wird, ein neu angelegtes Administratorkonto, ein generiertes Anwendungstoken, ein im Verzeichnis registriertes Gerät. Der oben beschriebene Fall automatisierte genau die Registrierung von Geräten unter Kontrolle des Angreifers im Mandanten des Opfers.
4. Ausgehender Netzverkehr. Ein Skriptprozess, der mit der API eines Messengers spricht, ein Tunnel, der sich nach der Installation eines Dienstes öffnet, ein Büro-PC, der einen Hoster kontaktiert, mit dem er noch nie Kontakt hatte. Der Bericht führt diese Art von Verhalten als Indikator auf, ohne den Dateinamen zu brauchen.
5. Zustand der Abwehr. Virenschutz deaktiviert, Updates blockiert, Überwachungsagent seit X Stunden stumm. Angesichts der oben beschriebenen Begleitkomponente ist dieser Punkt keine Hygiene, sondern eine eigenständige Erkennung. Ein stiller Agent ist keine gute Nachricht.
6. Datenmengen. Ein Postfachexport, Zugriff auf Tausende Objekte in wenigen Minuten, eine Abfrage, die eine ganze Tabelle liest. Massenexfiltration hinterlässt eine massive Spur, und das ist das einzige Signal, das der Angreifer nicht beseitigen kann, weil es der Zweck der Operation ist.

Genau das ist die Aufgabe eines SIEM, und deshalb haben wir eines in unserer gesamten IT-Umgebung eingeführt; über diese Integration berichten wir in einigen Tagen ausführlich. Eine Ebene darunter erledigt Fail2Ban im Produktivbetrieb das Grundrauschen und speist dieselben Protokolle; und das werkzeuggestützte Patch-Management verkleinert die Fläche, auf die all das zutrifft, und liefert nebenbei die Liste der Rechner, die sich nicht mehr aktualisieren.

Die Umkehr der Kosten und was man daraus macht #

Man sollte das Fazit des Berichts lesen, ohne es zu dramatisieren. Es sagt, dass die KI die Kosten auf den Verteidiger abgewälzt hat und dass fähige Gegner die Umgehungsschleife schneller schließen können, als die Branche ihre Erkennungsregeln veröffentlicht. Es sagt nicht, dass Verteidigung unmöglich geworden ist. Es sagt, dass die Verteidigung nach Katalog (eine Signatur gegen eine bekannte Bedrohung) ihre Hebelwirkung verloren hat.

Der Bericht formuliert übrigens selbst zwei nützliche Vorbehalte. Autonomie und Schwere sind zwei getrennte Achsen: Autonomie vervielfacht Umfang und Geschwindigkeit und senkt die Kosten, aber mehrere der schwersten Kompromittierungen im Bericht stammen aus Operationen, bei denen ein Mensch jeden Schritt lenkte. Und die Menschen haben behalten, was ihnen wichtig ist: die Wahl der Ziele, die Prüfung der Ergebnisse, die Monetarisierung. Es ist also kein Wettlauf um das Wunderwerkzeug.

Was in Ihrer Hand bleibt, ist also immer noch derselbe Dreiklang, nur die Rangfolge hat sich geändert. Die Einstiegswege verringern, weil sie sich nicht verändert haben: Sicherheitsupdates, zweiter Faktor, unnötige Anmeldeabläufe deaktiviert, wenige und personengebundene Administratorkonten. Verhalten statt Fingerabdrücke beobachten, weil Fingerabdrücke nicht mehr halten. Und in Stunden reagieren können, weil der Gegner in diesem Maßstab arbeitet. Ein KMU, das diese drei Linien hält, steht besser da als viele Organisationen, die ein weiteres Produkt gekauft haben.

Morgen: der französischsprachige Akteur, der über WordPress eindrang, eine Webshell in Schriftdateien versteckte und die Backups vergiftete, um die Wiederherstellung zu überleben.

Quellen #

• Anthropic, Detecting and countering misuse of AI: September 2026 (10. September 2026): Kapitel Cyber operations, Abschnitt GTG-20006 Russian espionage: Werkzeugkasten, autonome Umgehungsschleife, eingefrorene Updates, Einstiegswege, Ziele und Mengen, Einsatz von KI Schritt für Schritt.
• Derselbe Bericht, Abschnitt Prevailing trends für die beiden Vorbehalte zu Autonomie und Schwere und für die Rollenverteilung zwischen Mensch und Modell.
• Microsoft zum Phishing per Gerätecode und zur Kampagne mit gekaperten Captive-Portalen (CaptiveCrunch, Juli 2026), zitiert im Bericht.
• Die bisherigen Folgen der Serie: der Überblick, die gestohlenen API-Schlüssel, der Einbruch in zwei Stunden.
• Verwandte Artikel: Fail2Ban im Produktivbetrieb, Patch-Management, mehr als der regionale Standard.