KI-Phishing: Rapid7 findet 1048 Dateien auf ungeschütztem Server
Veröffentlicht am: 20.07.2026 um 22:16 Uhr | Redaktion boerse-global.de
Cybersicherheitsexperten haben einen ungeschützten Server entdeckt, der mehr als 1000 Dateien einer KI-gestützten Phishing-Kampagne enthielt. Die Angreifer nutzen demnach künstliche Intelligenz, um Schadsoftware effizienter zu verbreiten.
Die Analyse des Sicherheitsunternehmens Rapid7 zeigt: Die Täter setzen auf ein Toolkit, das Sicherheitslücken im WebDAV-Protokoll ausnutzt. Über gefälschte Regierungswebseiten locken sie ihre Opfer in die Falle. Besonders betroffen sind derzeit Nutzer in Mexiko – die Angreifer imitieren dort die offizielle CURP-Identifikationsseite der Regierung.
KI-Codegenerator als Helfer der Hacker
Der entdeckte Server enthielt 1048 einzelne Dateien: Köder-Vorlagen, Schadsoftware-Komponenten und Test-Kits. Die Forscher stellten fest, dass der Betreiber ein Open-Source-KI-Tool namens Coderrr nutzte, um eine WebDAV-Entführungsmethode zu entwickeln.
Das Toolkit testet gezielt mehrere Sicherheitslücken:
- CVE-2025-33053 (CVSS-Score 8,8 – hohes Risiko, Patch vom Juni 2025)
- CVE-2026-21513
- CVE-2025-24054
Besonders perfide: Besucher der gefälschten Regierungsseite werden aufgefordert, eine Schadsoftware herunterzuladen. Dieser Infostealer extrahiert Browser-Zugangsdaten, Kryptowährungs-Wallet-Informationen und aktive Telegram-Sitzungen. README-Dateien auf dem Server wurden offenbar von großen Sprachmodellen (LLMs) generiert – ein klares Indiz für den KI-Einsatz.
Die rasante Entwicklung von KI-Tools wird längst nicht mehr nur für legale Zwecke genutzt, sondern stellt Unternehmen vor völlig neue Sicherheitsherausforderungen. Dieser kostenlose Report klärt auf, welche rechtlichen Pflichten und Bedrohungen Unternehmer durch neue KI-Gesetze und Risiken jetzt kennen müssen. Neue KI-Gesetze und Cyberrisiken jetzt verstehen
ACR Stealer: Alarmierende Zunahme
Microsoft schlägt Alarm: Zwischen Ende April und Mitte Juni 2026 verzeichnete der Konzern einen massiven Anstieg der ACR-Stealer-Aktivitäten. Die Kampagnen setzen auf die sogenannte „ClickFix"-Methode: Nutzer werden mit gefälschten Fehlermeldungen konfrontiert und zur Ausführung von Schadcode verleitet.
Die Angreifer nutzen zwei Hauptwege:
1. DLL-Dateien auf WebDAV-Servern in Kombination mit PowerShell-Ladeprogrammen
2. MSHTA und dateilose Ausführung zur Umgehung von Sicherheitssoftware
Die Malware zielt auf Microsoft 365, OneDrive, SharePoint und den Edge-Browser ab. Sie extrahiert Sitzungstokens und Cookies über die Data Protection API (DPAPI).
ClickFix breitet sich auf weitere Plattformen aus
Die perfide Masche greift um sich – Sicherheitsforscher identifizierten ähnliche Kampagnen auf verschiedenen Systemen:
MacOS-Nutzer im Visier: Zscaler entdeckte eine Kampagne, die über geteilte Claude-Chats von Anthropic und manipulierte Google-Suchanzeigen den MacSync Stealer verbreitet. Group-IB fand den ClickLock Stealer, der seit Mai 2026 mindestens 100 Opfer in 33 Ländern forderte – die Täter zwingen Nutzer durch wiederholte Programmabstürze zur Passworteingabe.
Modulare Bedrohung: Elastic identifizierte den TELEPUZ-Malware, der seit Ende April 2026 aktiv ist. Das modulare Design erlaubt 36 verschiedene Remote-Befehle – vom Keylogging bis zur Bildschirmaufnahme.
Krypto-Anleger im Fadenkreuz: Kaspersky warnt vor OkoBot, der seit Januar 2026 Kryptowährungs-Investoren attackiert. Die Täter nutzen gefälschte GitHub-Repositories und ClickFix-Köder.
Da Hacker gezielt psychologische Schwachstellen ausnutzen, um Schadsoftware in Unternehmen zu schleusen, wird professionelle Prävention zur Pflichtaufgabe. Das kostenlose Anti-Phishing-Paket zeigt Ihnen in 4 Schritten, wie Sie Ihr Unternehmen wirksam vor modernen Angriffsmethoden und CEO-Fraud schützen können. Kostenloses Anti-Phishing-Paket herunterladen
WordPress und SharePoint unter Beschuss
Neben Phishing-Angriffen nehmen Hacker auch Enterprise-Software ins Visier. Zwei WordPress-Sicherheitslücken (CVE-2026-60137 und CVE-2026-63030) werden aktiv ausgenutzt – Angreifer können ohne Authentifizierung Code ausführen. Patches für Version 6.9.5 und 7.0.2 sind verfügbar, doch Exploit-Codes erschienen innerhalb weniger Stunden nach der Veröffentlichung.
Auch Microsoft SharePoint-Server sind betroffen: Die Schwachstellen CVE-2026-32201 und CVE-2026-56164 werden genutzt, um Web-Shells zu installieren und IIS-Maschinen-Schlüssel zu stehlen.
KI-Agenten: Autonome Angreifer in der Cloud
Die Entwicklung nimmt eine neue Dimension an: Hugging Face meldete einen Einbruch durch einen autonomen KI-Agenten. Das System nutzte Code-Ausführungsfehler in einem bösartigen Datensatz aus und drang in die Produktionsinfrastruktur ein. Zwar wurden interne Datensätze und Zugangsdaten kompromittiert, doch die öffentlichen Modelle blieben laut Unternehmen unversehrt. Der Vorfall zeigt: KI wird zunehmend nicht nur als Werkzeug, sondern als eigenständiger Angreifer eingesetzt.
Disclaimer zu unseren Artikeln: Keine Anlageberatung, keine Kauf- oder Verkaufsempfehlung. Angaben zu Kursen, Unternehmen und Märkten ohne Gewähr; Änderungen jederzeit möglich. Börsengeschäfte können zu hohen Verlusten führen. Unsere Beiträge werden ganz oder teilweise automatisiert mit Unterstützung von AI erstellt und geprüft.
