Generative KI, die Malware-Entwicklung „in freier Wildbahn“ unterstützt: Cyber-Kriminelle nutzen GenAI bereits, um überzeugende Phishing-Köder zu erstellen. Bislang gibt es aber nur wenige Hinweise, dass Bedrohungsakteure GenAI-Tools zum Schreiben von Codes nutzen. Das HP Team identifizierte eine Kampagne, die auf französischsprachige Nutzer abzielt und VBScript und JavaScript verwendet – und von der die Threat Researcher annehmen, dass sie mit Hilfe von GenAI geschrieben wurde. Die Struktur der Skripte, Kommentare, die jede Codezeile erläutern, und die Wahl von Funktionsnamen und muttersprachlichen Variablen sind deutliche Hinweise darauf, dass der Bedrohungsakteur GenAI verwendete, um die Malware zu erstellen. Der Angriff infiziert Anwender mit der frei erhältlichen AsyncRAT-Malware, einem leicht zu erlangenden Infostealer, der die Bildschirme und Tastatureingaben der Opfer aufzeichnet. Die Aktivität zeigt, wie GenAI die Hürde für Cyberkriminelle senkt, Endgeräte zu infizieren.
Raffinierte Malvertising-Kampagnen, die zu bösartigen, aber funktionsfähigen PDF-Tools führen: ChromeLoader-Kampagnen werden immer umfangreicher und ausgefeilter. Sie nutzen Malvertising für beliebte Suchbegriffe, um die Opfer auf gut gestaltete Websites zu leiten, die funktionale Tools wie PDF-Reader und -Konverter anbieten. Diese funktionierenden Anwendungen verstecken den bösartigen Code in einer MSI-Datei. Gültige Code-Signaturzertifikate umgehen die Windows-Sicherheitsrichtlinien und Benutzerwarnungen – und erhöhen die Chancen einer Infektion. Durch die Installation dieser gefälschten Anwendungen sind Angreifer in der Lage, den Browser des Opfers zu übernehmen und Suchanfragen auf von Cyberkriminellen kontrollierte Websites umzuleiten.
Dieses Logo ist ein No-Go – es versteckt Malware in SVG-Bildern (Scalable Vector Graphics): Einige Cyberkriminelle widersetzen sich dem Trend, indem sie von HTML-Dateien auf Vektorbilder umsteigen, um Malware zu schmuggeln. Vektorbilder – im Grafikdesign weit verbreitet – verwenden in der Regel das XML-basierte SVG-Format. Da sich SVGs automatisch in Browsern öffnen, wird während der Bildanzeige jeder eingebettete JavaScript-Code ausgeführt. Während die Opfer denken, dass sie ein Bild betrachten, interagieren sie mit einem komplexen Dateiformat, das zur Installation mehrerer Arten von Infostealer-Malware führt.
Patrick Schläpfer, Principal Threat Researcher, HP Security Lab, kommentiert: „Spekulationen, dass Angreifer künstliche Intelligenz einsetzen, sind weit verbreitet. Allerdings gibt es bislang kaum Beweise, daher ist diese Erkenntnis von Bedeutung. Normalerweise verschleiern Angreifer gerne ihre Absichten, um ihre Methoden nicht zu verraten. Dieses Verhalten deutet also darauf hin, dass ein KI-Assistent beim Schreiben des Codes unterstützte. Solche Fähigkeiten senken die Einstiegshürde für Bedrohungsakteure weiter und ermöglichen es Anfängern ohne Programmierkenntnisse, Skripte zu schreiben, Infektionsketten zu entwickeln und schädlichere Angriffe zu starten.“
HP Wolf Security verfügt über eine besondere Expertise im Bereich der Cybersicherheit, da das Unternehmen in der Lage ist, Bedrohungen zu identifizieren, die von gängigen Erkennungstools auf PCs nicht erkannt werden, jedoch eine sichere Detonation von Malware ermöglichen. Dadurch erhalten wir einen einzigartigen Einblick in die neuesten Techniken von Cyberkriminellen. Bis heute haben Kunden von HP Wolf Security auf mehr als 40 Milliarden E-Mail-Anhänge, Webseiten und heruntergeladene Dateien geklickt, ohne dass ein Verstoss gemeldet wurde. Der Bericht untersuchte Daten aus dem zweiten Quartal 2024 und zeigt, wie Cyberkriminelle ihre Angriffsmethoden weiter diversifizieren, um Sicherheitsrichtlinien und Erkennungstools zu umgehen. Dazu zählen beispielsweise:
- Mindestens zwölf Prozent der von HP Sure Click identifizierten E-Mail-Bedrohungen umgingen einen oder mehrere E-Mail-Gateway-Scanner. Dies war auch im vorherigen Quartal der Fall.
- Die wichtigsten Bedrohungsvektoren waren E-Mail-Anhänge (61 Prozent), Downloads von Browsern (18 Prozent) und andere Infektionsvektoren wie Wechseldatenträger, zum Beispiel USB-Sticks und freigegebene Dateien (21 Prozent).
- Archive waren die beliebteste Art der Malware-Verbreitung (39 Prozent), 26 Prozent davon waren ZIP-Dateien.
HP Wolf Security führt risikoreiche Aufgaben in isolierten, hardwareverstärkten virtuellen Maschinen auf Endgeräten aus. Das Ziel besteht in der Gewährleistung des Schutzes der Anwender, ohne dabei die Produktivität zu beeinträchtigen. Darüber hinaus werden von HP Wolf Security detaillierte Aufzeichnungen von Versuchen, die Systeme zu infizieren, erstellt. Die HP-Technologie zur Anwendungsisolierung entschärft Bedrohungen, die anderen Sicherheitstools entgehen können, und bietet einzigartige Einblicke in die Methoden der Eindringlinge sowie das Verhalten der Bedrohungsakteure. Die Daten wurden mit Zustimmung von HP Wolf Security-Kunden von April bis Juni 2024 erhoben.