Wie Cyberkriminelle KI für Ihre Zwecke nutzen Drei KI-basierte Angriffsvarianten, die Sie kennen müssen

Anbieter zum Thema

Splunk Services Germany GmbH

Fsas Technologies GmbH

SEPPmail - Deutschland GmbH

FTAPI Software GmbH

Künstliche Intelligenz ist für CISOs und IT-Security+Entscheider das alles beherrschende Thema, 70 Prozent von ihnen sind überzeugt, dass Angreifer mit KI einen klaren Vorteil gegenüber den Security-Teams in Unternehmen haben. Jetzt tauchen zudem Tools wie WormGPT und FraudGPT auf und bergen weitere Risiken für die IT-Sicherheit. Daher lohnt ein Blick auf ausgewählte Angriffsvarianten, die IT-Experten kennen sollten.

Die Zukunft der KI-gestützten Technologie bleibt nach wie vor ein Geheimnis, doch Stand heute gibt es auch gute Nachrichten: IT-Experten müssen keine Angst haben. Die aktuellen Entwicklungen in den Bereichen Künstliche Intelligenz und Large Language-Sprachmodelle stellen keine unmittelbare Bedrohung für die Sicherheitsteams dar. Das Szenario, in dem jemand sagt: "ChatGPT, greife bitte das Unternehmen XY mit einem Zero-Day-Exploit an, installiere Teamviewer und gib mir die Sitzungs-ID für die Remote-Verbindung zum Domain Controller mit Admin-Zugriff", ist noch Science-Fiction.

Trotzdem werden die Fähigkeiten der Künstlichen Intelligenz unsere allgemeine Cyberresilienz schneller herausfordern, als jemand "NIS-2-Umsetzungs- und Cyber­sicherheits­stärkungs­gesetz" aussprechen kann. Der folgende Artikel soll dabei helfen, eine Risikobewertung für das eigene Unternehmen zu planen, um festzustellen, in welchen Bereichen und inwieweit diese Taktiken eine hohe oder niedriger Priorität haben. Diejenigen, die in den letzten Jahren bereits eine Cyberabwehrstrategie und -fähigkeiten entwickelt haben, um Nachrichtendienstlich-geführten Angriffen standzuhalten, können diesen Artikel dagegen ganz entspannt lesen.

Hochentwickelte Spear Phishing und Social Engineering Angriffe

Die Verwendung umfangreicher Sprachmodelle ermöglicht Cyberkriminellen die Erstellung von hochgradig personalisierten Spear Phishing-Angriffen und Social Engineering-Manövern. Diese gehen weit über die Vermeidung bloßer Grammatikfehler hinaus und beinhalten extrem plausible Kontextinformationen, gewonnen etwa aus Geschäftsberichten und sozialen Medien. Im Falle eines Sicherheitsvorfalls können Cyberkriminelle mit minimalem Aufwand authentisch wirkende E-Mail-Konversationen nachbilden. In unserer hochtechnisierten Welt ist Phishing nach wie vor das Einfallstor Nummer eins, um selbst gut geschützte Unternehmen zu infiltrieren.

Im Umfeld von Cyberattacken steht die präventive Aufklärung der Anwender im Mittelpunkt. Außerdem geht es darum, eine strikte Disziplin bei der IT-Sicherheit hinsichtlich der Entdeckung, Meldung und Response zu etablieren. Dabei ist die Einführung einer Meldepflicht ein wichtiger Baustein und Ausdruck davon, im Unternehmen klare Zuständigkeiten im Falle von Cyberattacken zu definieren. Wer aber übernimmt die Verantwortung für die Bekämpfung von Phishing-Angriffen, die nicht das klassische "Enterprise IT-Territorium“ betreffen? Das ist eine zentrale Frage, die beantwortet werden muss, um die digitale Abwehr zu stärken.

Ihre Anwendbarkeit müssen diese Regelungen dann zeigen, wenn neue, bösartige Angriffe gegen das Unternehmen gefahren werden: "Smishing", bei dem User über SMS kontaktiert werden, "Vishing", bei dem KI-optimierte Stimmen legitimer Personen per Telefonanruf zum Einsatz kommen, oder "Quishing", bei dem QR-Codes als Waffe genutzt werden. Die Verteidigung gegen solche üblen Angriffsformen muss klar geregelt sein.

Was die Awareness-Trainings betrifft, lohnt es sich, Mitarbeitern selbst ein LLM an die Hand zu geben. Lassen Sie diese einmal in die Welt des Phishings eintauchen und eine E-Mail verfassen – natürlich unter Aufsicht und mit einigen hilfreichen Hinweisen. Das Resultat ist ein echter "Aha-Effekt". Die Sensibilisierung ist nicht nur wirkungsvoll, sondern auch nachhaltig. Wenn ein Mitarbeiter im Namen seines Chefs eine E-Mail mit einer Gehaltserhöhung und einer überzeugenden Begründung von einem LLM verfassen lässt, bleibt das sicherlich im Gedächtnis. Es ist Zeit, die IT-Welt zu einem sicheren Ort zu machen – und zwar mit Wissen, Entschlossenheit, aber auch einem Hauch von Kreativität.

Script & Code Entwicklung

In einer aktuellen Studie von Splunk, an der über 300 hochrangige Führungskräfte teilnahmen, kommt Erstaunliches zutage: Ganze 27 Prozent der Chief Information Security Officers (CISOs) sind der Überzeugung, dass künstliche Intelligenz dazu genutzt wird, neue Malware-Varianten zu erschaffen, die von herkömmlichen Sicherheitsmethoden unerkannt bleiben. Diese Erkenntnis wirft ein grelles Licht auf die fortschreitende Bedrohungslage im Bereich der IT-Sicherheit.

Neben den bekannten Chatbots und Generative-Pretrained Transformer-Modelle (GPTs) gibt es spezialisierte Large Language-Modelle (LLMs), die sich auf die Softwareentwicklung spezialisiert haben. Ein beeindruckendes Beispiel hierfür ist das von Georgia Tech Research Institute entwickelte LLM namens "StarCoder". Dieses Modell wurde darauf trainiert, den Quellcode der GitHub-Plattform zu verstehen und zu generieren. Die Implikationen sind besorgniserregend, da viele Remote-Access-Verwaltungstools und -Trojaner wie AsyncRAT offen auf GitHub verfügbar sind. Das legt nahe, dass diese LLM-Modelle sowohl Gutes als auch Böses „erlernt“ haben könnten, was Cyberkriminellen eine gefährliche Waffe in die Hand gibt. Bislang sind noch keine Fälle von größeren Mutationen oder sogenannten "fully undetectable Malware" (FUDs) bekannt, doch die Gefahr ist real.

Die zweite besorgniserregende Verwendung von KI und Skripting-Fähigkeiten zeigt sich in der Kombination von legitimer Software mit einfachen Skripten. Dadurch wird es für unerfahrene Hacker erheblich einfacher, Schaden anzurichten. Innerhalb weniger Minuten kann ein einsatzbereites PowerShell-Skript erstellt werden, das mit den richtigen Berechtigungen aus der Ferne ganze IT-Infrastrukturen lahmlegen und zerstören kann. Dies wird oft als "Fileless Malware" bezeichnet.

Um dieser Bedrohung zu begegnen, sind zusätzliche Prozesse und Überwachungsfunktionen im Unternehmen unerlässlich. Es sollten beispielsweise Standardverfahren für Softwareinstallationen und Systemänderungen implementiert werden. Organisatorische Standardverfahren helfen, Anomalien auf technischer Ebene schnell zu erkennen. Außerdem ist die Verwendung einer "Software Bill of Material" ratsam, nicht nur für das Patch-Management, sondern auch, um unerwünschte Software wie Systempartitionierungstools (als Ersatz für Wiper-Malware) oder Remote-Control-Software (als Ersatz für Remote-Access-Trojaner) zu erkennen.

Die dritte gefährliche Dimension von KI und Codierungsfähigkeiten betrifft die Ausnutzung von Software-Schwachstellen. Bereits heute setzen Angreifer LLMs ein, um in öffentlichen Quellcodes nach Fehlern, mangelhaften Sicherheitspraktiken und logischen Fehlern zu suchen. Dies ist für Unternehmen, die Kauf- oder Open-Source-Software einsetzen, kaum zu verhindern. Was Organisationen jedoch ernsthaft beunruhigen sollte, ist die Tatsache, dass Angreifer in der Zukunft mit Hilfe von LLMs schneller reagieren können, sobald eine Schwachstelle bekannt wird. Bei der Heartbleed-Sicherheitslücke in OpenSSL vor einigen Jahren vergingen etwa 48 Stunden, bis die ersten großangelegten und automatisierten Angriffe auf Internet-erreichbare Systeme beobachtet wurden. Mit LLMs wird diese Zeitspanne erheblich verkürzt. Das erhöht das Risiko für die IT-Sicherheit von Unternehmen erheblich.

Die Priorisierung von Systemen und Komponenten für Patching, unter Berücksichtigung von Verfügbarkeitsrisiken und IT-Sicherheitsaspekten, wird somit zu einer zweiteren zentralen Herausforderung für die IT-Sicherheit.

Content Filter / Security Tooling Bypass

Für generische Security Tools wird es inzwischen immer schwieriger, Attacken mit Standardkonfigurationen zu identifizieren. Das zeigen etwa die zielgerichtete Ansprache und skalierbare Personalisierung von Spear Phishing Angriffen oder der kurzfristige Nachbau kompletter Online-Portale von Partner- oder Zulieferer Firmen.

IT-Sicherheitsexperten stehen vor der Herausforderung, ihre Sicherheitskomponenten detailliert zu konfigurieren und kontinuierlich zu optimieren, um dieser Bedrohung zu begegnen. In der Optimierung der bereits eingesetzten Security Komponenten liegt aber auch ein enormes Potential der Wertschöpfung für die IT-Sicherheit, ohne zusätzliche Investitionen in Security Tooling aufwenden zu müssen. Der einfache "Set-and-Forget"-Ansatz ist in der heutigen Cyberlandschaft nicht mehr ausreichend.

Unternehmen haben bereits Prozesse eingerichtet, durch die Mitarbeiter ermutiget werden, verdächtige E-Mails zu melden, die von Content-Filtern oder anderen Sicherheitstools übersehen wurden. Dadurch können die Cyberexperten im Unternehmen prüfen, ob andere Mitarbeiter bereits betroffen sind und welche Response Maßnahmen bei Bedarf eingeleitet werden müssen.

Mit den Schutzmaßnahmen sind eine Fülle an Folgeaktivitäten verbunden, wie etwa Impersonation-Angriffe, welche Firmen selbst imitieren, oder bei den eingangs erwähnten Vishing/Smishing Angriffen. Zu den notwendigen Folgemaßnahmen gehören etwa, bestehende E-Mail und URL-Filter anzupassen, Takedown-Anforderungen für Webseiten und bei Webhostern zu stellen, die Blockierung von Telefonnummern bei Mobilfunkanbietern, von Bankverbindungen von Cyberkriminellen oder Money Mule Behörden anzuzeigen oder gehackte legitime E-Mail Accounts dem betreffenden Lieferanten zu melden.

In dieser neuen Ära der KI in der Cyberkriminalität stehen IT-Sicherheitsexperten vor unzähligen Herausforderungen. Doch durch kluge Strategien und proaktive Maßnahmen können sie ihre Sicherheitspraktiken weiterentwickeln und sich gegen die wachsenden Bedrohungen wappnen.

Zusammenfassung

In der spannenden Welt der Cybersicherheit stehen die Angriffstaktiken und Techniken für B2B-Unternehmen vor der nächsten Evolutionsstufe. Die Herausforderung bleibt gleich, aber die Intensität dieses digitalen Schachspiels wird auf ein völlig neues Niveau katapultiert. Ein immer breiterer Kreis von Cyberkriminellen entwickelt sich zu wahren Meistern ihres Fachs und beherrscht die Kunst erfolgreicher Angriffe in Perfektion. Dabei werden ihre Angriffe nicht nur schneller, sondern auch verheerender.

Doch in dieser Ära der digitalen Bedrohung gibt es einen Hoffnungsschimmer: die Experten professioneller Security-Teams. Auch die Hüter der digitalen Sicherheit werden nicht müde, sich ständig weiterzuentwickeln und anzupassen. Sie haben einen neuen Verbündeten an ihrer Seite, und dieser Verbündete ist keine geringere Macht als die Künstliche Intelligenz (KI).

Pioniere in der Cybersecurity-Branche haben bereits begonnen, KI-Fähigkeiten in ihre Verteidigungsarsenale zu integrieren. Mit der Hilfe von Maschinellem Lernen, das auf Telemetriedaten der IT-Umgebung basiert, werden Baselines erstellt, und Anomalien werden noch in ihren Keimstadien erkannt. Das ist jedoch nur der Anfang. Leistungsstarke KI-Modelle, oft als "LLMs" bezeichnet, stehen bereit, den Security-Teams als Co-Piloten bei der Abwehr von Cyberangriffen und Stärkung der Resilienz zu dienen.

Diese Cyber-Co-Piloten sind in der Lage, Sicherheitsalarme zu erklären, Arbeitsschritte für zielgerichtete Untersuchungen zu empfehlen und sogar bei der Jagd auf Bedrohungen in der eigenen digitalen Umgebung anzuleiten. Ihre Präsenz verspricht den Sicherheitsteams eine wertvolle Entlastung in einer Zeit, in der die Bedrohungen vielfältiger und komplexer denn je sind.

Der Wettlauf um die Vorherrschaft in der Welt der Künstlichen Intelligenz in der Cybersecurity-Branche ist im vollen Gange. Die Schlacht um die fortschrittlichsten KI-Technologien erreicht gerade ihren Höhepunkt, und es bleibt spannend, zu beobachten, welche Seite die Nase vorn haben wird. In diesem nicht endenden Wettbewerb sind diejenigen, die auf der Seite der Verteidigung stehen, auf dem besten Weg, die Oberhand zu behalten und die digitale Welt sicherer zu machen.

Über den Autor: Matthias Maier ist als Security Produkt Marketing Direktor bei Splunk für die Region EMEA tätig und hält drei prominente Zertifizierungen in der Branche: CEH, CISSP und CISM. Er beschäftigt sich kontinuierlich mit den neuesten Softwareentwicklungen und den Taktiken von Cyberangreifern, spricht regelmäßig auf IT- und Sicherheitskonferenzen, veröffentlicht Blogs und Whitepaper, führt Webinare durch und ist Autor zahlreicher Beiträge in Fachzeitschriften.

(ID:49844931)