Offengelegter Server enthüllt KI-Ransomware-Angriffe für nur 4 Dollar

Forscher haben einen offengelegten Server entdeckt, der angeblich eine KI-Ransomware-Operation unterstützte, die auf mehr als 30 Unternehmen abzielte. Die Infrastruktur enthielt 3,1 TB gestohlene Daten, mit Malware verbundene Tools, KI-generierte Skripte und Aufzeichnungen, die Angriffe vom ersten Zugriff bis hin zu Lösegeldforderungen dokumentierten.

Cybernews brachte den Server mit einem Affiliate der Ransomware-Gruppe The Gentlemen in Verbindung. Den Forschern zufolge stützte sich die Operation stark auf KI-Automatisierung, wodurch die geschätzten Token-Kosten eines Angriffs auf 0,40 bis 4 Dollar pro Opfer sanken.

Offengelegter Server enthielt gestohlene Unternehmensdaten

Forscher von Cybernews entdeckten die offengelegte Infrastruktur am 22. Juli. Sie umfasste einen virtuellen privaten Windows-Server sowie Verbindungen zu weiteren Servern in anderen Ländern.

Das System speicherte Berichten zufolge Daten, die von Organisationen aus den Bereichen Gesundheitswesen, Marketing, Beratung, Immobilien, Softwareentwicklung, Telekommunikation, Fertigung und Transport gestohlen worden waren.

Die Forscher fanden Tools für Fernzugriff, Daten-Uploads und die Bereitstellung von Payloads sowie aktive Reverse-Shell-Dienste. Der Server enthielt außerdem 86 KI-generierte Python-Skripte, die mit Endpunkten der Opfer konfiguriert waren.

Die Materialien deuten darauf hin, dass die Angreifer die Infrastruktur nutzten, um Daten zu sammeln, den Zugriff auf kompromittierte Systeme aufrechtzuerhalten und Erpressungsforderungen vorzubereiten.

KI-Agent automatisierte Angriffe auf GitLab

Die mutmaßliche KI-Ransomware-Operation konzentrierte sich auf anfällige oder falsch konfigurierte GitLab-Instanzen. GitLab speichert häufig privaten Quellcode, Deployment-Informationen und sensible Zugangsdaten, was die Plattform zu einem attraktiven Ziel für Erpressergruppen macht.

Den Forschern zufolge begannen die Angreifer mit kompromittierten GitLab-Zugangsdaten, die wahrscheinlich aus Protokollen informationsstehlender Malware oder über Access Broker stammten. Anschließend übermittelten sie einem KI-Agenten Informationen zum Ziel und wiesen ihn an, Aufklärung, Datendiebstahl und weitere Aktivitäten nach der Kompromittierung durchzuführen.

Der Agent passte Berichten zufolge Skripte an die jeweilige Umgebung des Opfers an und generierte Dateien für Aufgaben wie das Sammeln von Daten, das Erstellen von Archiven und die Bewertung des gestohlenen Materials.

Anstatt Systeme zu verschlüsseln, scheint sich die Operation auf Erpressung durch Datendiebstahl konzentriert zu haben. Die Angreifer nutzten angeblich KI-generierte Berichte, um Lösegeldforderungen zu berechnen und den Druck auf die Opfer zu erhöhen.

Niedrige Kosten könnten zu mehr Cyberkriminalität führen

Traditionelle Ransomware-Angriffe erfordern technische Fähigkeiten, Zeit und manuelle Überwachung. Dieser Fall deutet darauf hin, dass KI-Tools es Kriminellen ermöglichen könnten, mit deutlich weniger Aufwand viele Angriffe gleichzeitig durchzuführen.

Die gemeldeten Kosten von 0,40 bis 4 Dollar in KI-Tokens pro Unternehmen umfassen weder Infrastruktur noch gestohlene Zugangsdaten oder andere Betriebskosten. Dennoch zeigt die Zahl, wie Automatisierung opportunistische Angriffe günstiger skalierbar machen kann.

Die Forscher warnen außerdem davor, dass KI-generierte Skripte signaturbasierte Sicherheitstools umgehen könnten, da sich der Code von Ziel zu Ziel verändern kann.

Der offengelegte Server zeigt gleichzeitig, dass Bedrohungsakteure weiterhin operative Fehler machen. Fehlkonfigurierte Infrastruktur kann ihre Tools, gestohlenen Daten und Angriffsabläufe offenlegen.

So können Unternehmen das Risiko reduzieren

Organisationen sollten offengelegte Zugangsdaten ändern und GitLab-Konten auf verdächtige Aktivitäten überwachen. Sie sollten ungewöhnliches massenhaftes Klonen von Repositories, unbekannte Fernzugriffstools und nicht autorisierte Aktivitäten auf CI/CD-Runnern untersuchen.

Teams sollten außerdem den öffentlichen Zugriff auf GitLab und andere sensible Systeme einschränken. VPN-Allowlists und der Zugriff über vertrauenswürdige Netzwerke können die Exposition interner Entwicklerplattformen reduzieren.

Unternehmen sollten vermeiden, Geheimnisse in privaten Repositories zu speichern, und ihren Code, ihre CI/CD-Konfigurationen und Zugriffskontrollen regelmäßig überprüfen. GitLab und damit verbundene Software vollständig auf dem neuesten Stand zu halten, bleibt ebenfalls entscheidend.

Die KI-Ransomware-Operation verdeutlicht eine wachsende Sorge: Angreifer können inzwischen größere Teile des Eindringens und des Erpressungsprozesses automatisieren. Eine sichere Verwaltung von Zugangsdaten, Netzwerkkontrollen und kontinuierliche Überwachung bleiben die wirksamsten Schutzmaßnahmen.