Das Sicherheitsunternehmen NorForge stieß im Internet auf etwas, das niemals öffentlich sichtbar sein sollte. Mehr als zwanzig Steuerungsoberflächen des Tools Cairn, über die Cyberkriminelle künstliche Intelligenz bei Angriffen auf Online-Shops steuern, waren für jedermann frei zugänglich. Die Forscher konnten den Angreifern somit buchstäblich über die Schulter schauen und beobachten, wie sie ihre Opfer auswählten, automatisierten Systemen Aufgaben erteilten und wie diese Bots selbstständig nach Schwachstellen suchten und in fremde Netzwerke eindrangen.
Die Spur begann im September, als das Sicherheitsunternehmen Gambit Security eine Kampagne beschrieb, die auf Online-Marktplätze abzielte. Auf einem Server, der den Angreifern als Infrastruktur diente, fand es mehrere Programme, die künstliche Intelligenz nutzten, darunter auch Cairn. Solche Programme verfügen üblicherweise über eine Weboberfläche, die häufig völlig ungesichert bleibt.
Die Forscher von NorForge testeten daher die Suchmaschinen Shodan und Censys, die mit dem Internet verbundene Geräte durchsuchen. Die meisten gefundenen Oberflächen erforderten eine Anmeldung. Doch nicht alle. Am nachlässigsten abgesichert war offenbar ausgerechnet Cairn. Zunächst tauchten nur wenige offene Zugänge auf, doch schnell kamen weitere hinzu. Anhand der verwendeten Sprache, der Ziele und der Anweisungen war außerdem erkennbar, dass viele von ihnen denselben Gruppen gehörten.
Wie ein KI-Hacker denkt
Cairn wird häufig als autonom arbeitendes Werkzeug für Penetrationstests beschrieben, also für Tests, ob sich in ein System eindringen lässt. Tatsächlich kann es ganz allgemein Probleme Schritt für Schritt lösen. Es erhält einen Ausgangspunkt und ein Ziel und sucht anschließend selbstständig nach einem Weg dorthin.
Jede Aufgabe bildet ein eigenständiges Projekt. Während der Arbeit wechselt der virtuelle Agent zwischen zwei Tätigkeiten. Entweder findet er etwas heraus, was Cairn als Fakt bezeichnet, oder er entscheidet, was er als Nächstes tun wird, was als Absicht bezeichnet wird. Alle Erkenntnisse trägt er auf einer gemeinsamen Pinnwand ein, auf die andere Kräfte zugreifen, die an derselben Aufgabe arbeiten. Auch der Mensch, der die Aktion steuert, kann dort seine Hinweise ergänzen. Anschließend stellt das Programm den gesamten Ablauf als verzweigte Karte dar, auf der manche Wege in Sackgassen enden und andere zum Erfolg führen. Eine solche Grafik endete mit der Meldung über einen erfolgreichen Angriff auf einen großen US-amerikanischen Händler, auf dessen Website die Angreifer ein verstecktes Werkzeug für den Fernzugriff eingeschleust hatten.
Tausende Angriffe gleichzeitig
Die Forscher teilten die Angreifer in Gruppen mit der Abkürzung AIA ein. Die aktivste von ihnen, AIA0001, kommuniziert auf Chinesisch und kontrolliert vierzehn Oberflächen mit mehr als 1.100 Angriffsprojekten. Sie zielt vor allem auf Online-Shops und Zahlungssysteme in den USA, Japan und Australien. Sie stiehlt nicht sofort, sondern will sich dauerhaften Zugang verschaffen, den sie später zu Geld machen kann.
Die Gruppe hat ihre Arbeit weitgehend automatisiert. Eine typische Aufgabenstellung für die künstliche Intelligenz besagt, dass es sich um überprüfte Shops in den USA, Kanada, Japan und Australien mit 200.000 bis 1,5 Millionen Besuchern handelt. Das System soll einen Weg finden, ohne Anmeldung eigene Befehle auf dem Server auszuführen. Noch bevor die Website überhaupt analysiert wird, prüft ein anderes Programm, ob sich dort tatsächlich Waren bestellen lassen.
Die Automatisierung hat auch ihre Tücken. Bei vielen Zielen fehlt am Anfang des Namens der Buchstabe w, sodass aus dem englischen wholesale holesale wird. Vermutlich liegt dies an fehlerhaftem Code, der beim Entfernen der Abkürzung www einen Buchstaben zu viel löscht. Das erleichterte den Forschern die Suche nach weiteren Websites derselben Gruppe.
Einmal war für kurze Zeit der Arbeitsordner eines der virtuellen Agenten zugänglich. Darin fanden die Forscher eine Reihe gängiger Hackerwerkzeuge zum Scannen von Netzwerken, Erraten von Passwörtern oder Steuern eines Browsers. Eine der Nachrichten verriet zudem, dass die Umgebung aus einem von Tencent veranstalteten Wettbewerb für ethisches Hacking stammte. Laut NorForge recycelten die Kriminellen lediglich eine fertige Konfiguration, und Tencent hat mit den Angriffen nichts zu tun. Die Aufgaben wurden von einer Software mit einer Bezeichnung ausgeführt, die auf eine Verbindung des Tools Claude Code mit dem günstigen chinesischen Sprachmodell DeepSeek 4.1 Flash hindeutet.
Die zweite Gruppe, AIA0002, schreibt auf Englisch und hat es direkt auf Geld abgesehen. In ihren zehn Bedienfeldern ist offen vom Diebstahl von Zahlungskarten und Kryptowährungen die Rede. Viele Projekte enthalten keinerlei technische Anweisungen, sondern nur den knappen Befehl, Karten oder Kryptowährungen zu beschaffen. Den Rest überlassen die Angreifer der künstlichen Intelligenz. Sie zielen auf Zahlungsdienste, dubiose Websites und Online-Apotheken. Unter den Opfern befand sich sogar ein Portal, das selbst mit gestohlenen Karten handelt. Mehrere afrikanische Shops unter den Zielen deuten darauf hin, dass die Täter von Afrika aus operieren könnten. Cairn dient ihnen nicht nur zum Angriff auf Websites, sondern beispielsweise auch zum Verschieben von Geld zwischen Krypto-Wallets. Die Systeme werden erneut von DeepSeek-Modellen angetrieben, diesmal über den Dienst OpenRouter.
Die dritte Gruppe verfügt über ein einziges Bedienfeld mit 59 Projekten. Die Aufgabenstellungen geben sich darin zwar als autorisierte Tests aus, fordern im weiteren Verlauf jedoch offen Zugriff auf den Server, den Administrationsbereich oder die Datenbank.
Günstige Angriffe und offenliegende Passwörter
Die Erfolgsquote der Angriffe liegt nach Angaben der Experten bei etwa zehn Prozent. Viele weitere Versuche enden zumindest mit einem Teilerfolg oder liefern Informationen für die nächste Runde. Bei der Gruppe AIA0001 dauerte der erfolgreiche Weg von der Aufgabenstellung bis zum Ziel durchschnittlich knapp 23 Stunden, wobei das System etwa 140 Erkenntnisse sammelte. Das längste Projekt lief mehr als fünf Tage.
Geld stellt dabei kein Hindernis dar. Eine durchschnittliche Operation kostet nach Schätzung von NorForge etwa fünf Dollar, während die aufwendigsten Projekte mit mehr als tausend Schritten über hundert Dollar kosten können. Die Analysten räumen ein, dass die Schätzung sehr unsicher ist, doch günstig ist es in jedem Fall.
Dass es sich nicht nur um Theorie handelt, überprüften sie selbst. Sie öffneten die Adresse, die die Software bei einem abgeschlossenen Angriff auf einen großen Händler für Computerteile angegeben hatte, und fanden dort tatsächlich ein Formular zum Hochladen von Dateien. Die Angreifer können es jederzeit durch etwas weitaus Gefährlicheres ersetzen.
Die ungeschützten Oberflächen schaden den Opfern gleich doppelt. Sie zeigen nicht nur, dass jemand die Website angreift, sondern auch alles, was die künstliche Intelligenz auf dem Weg herausgefunden hat, sowie Passwörter aus früheren Diebstählen. Ein Scanner für vertrauliche Daten fand in den Daten Hunderte Zugangsschlüssel, von denen nachweislich 11 Prozent funktionierten. Das Problem betrifft nicht nur Kriminelle. Die Forscher stießen auch auf legitime Sicherheitsteams, die die Tests ihrer Kunden auf ebenso offen zugänglichen Seiten hinterlassen hatten.
Diese Bedienfelder ermöglichen offenbar auch die vollständige Steuerung. Theoretisch könnte somit jeder Aktionen starten und stoppen oder die Bots auf ein völlig anderes Ziel ansetzen. Aus offensichtlichen Gründen testeten die Forscher dies nicht. Mit ihren Erkenntnissen wandten sie sich an die Nachrichtenagentur Reuters, mit der sie nun die betroffenen Unternehmen warnen und versuchen, die Server abschalten zu lassen. Ob dies gelingt, hängt vor allem davon ab, wie schnell die Webhosting-Anbieter reagieren.
Quelle: norforge.com
