Anfang Juni 2025 verzeichneten Forschende Huntress einen Vorfall dokumentierten, bei dem ein unbekannter Angreifer ein mutmaßlich mit Hilfe eines großen Sprachmodells (LLM) generiertes PowerShell-Skript für die systematische Reconnaissance in einer Active Directory-Umgebung einsetzte. Parallel dazu Sygnia einen Bericht veröffentlichte über einen Cloud-Angriff auf eine große Amazon Web Services-Infrastruktur, bei dem KI dem Angreifer nach Einschätzung der Forschenden ermöglichte, innerhalb von 72 Stunden vom Erstzugang zur weitreichenden Kompromittierung zu gelangen. Beide Fälle verdeutlichen dieselbe Tendenz: KI schafft keine grundlegend neuen Techniken, beschleunigt jedoch die Umsetzung bereits bekannter Angriffsszenarien erheblich.
Anatomie des Angriffs: von RDP bis zur Exfiltration
Den Angaben von Huntress zufolge begann die Angriffskette mit einer Verbindung über das Remote Desktop Protocol (RDP) zu einem Windows-Domänenserver unter Verwendung zuvor kompromittierter Zugangsdaten. Der Angreifer platzierte seine Werkzeuge im Verzeichnis C:\ProgramData\ – ein typischer Ort zur Tarnung, da dieses Verzeichnis standardmäßig ausgeblendet und für Schreibzugriffe freigegeben ist.
Das zentrale Element war ein PowerShell-Skript mit dem charakteristischen Namen «100% Working AD Information Gathering Script – FULLY FIXED», was für sich genommen bereits auf eine iterative Interaktion mit dem Sprachmodell hindeutet. Die Forschenden von Huntress hoben mehrere Merkmale hervor, die darauf schließen lassen, dass der Code mit Hilfe von KI generiert wurde:
- Überschrift im Stil iterativer Prompt-Anpassungen
- Vorhandensein von Platzhalter-Strings (placeholder strings)
- Übermäßig komplexer Code mit mehreren Methoden zur Erkennung des Domänencontrollers
- Stilisierte Konsolenausgabe mit Farbcodierung (cyan, green, red, yellow)
- Fünfstufiger, kaskadierender Fallback-Mechanismus zur Sicherstellung der Reconnaissance
Das Skript wurde als «äußerst aggressiv» und «laut» charakterisiert. Nachdem der primäre Domänencontroller identifiziert war, sammelte es Daten zu Benutzern, Computern, Gruppen, Organisationseinheiten (OU) und Vertrauensbeziehungen und speicherte die Ergebnisse in einem temporären Verzeichnis. Bemerkenswert ist, dass das Skript automatisch die Datei AD_Report.html generierte – einen HTML-Bericht zur Inventarisierung von Active Directory. Nach Einschätzung von Huntress handelte es sich bei dieser Funktionalität höchstwahrscheinlich um eine «nützliche Zugabe» des LLM, die der Angreifer schlicht nicht entfernt hat.
Post-Exploitation-Werkzeuge
Etwa 30 Minuten nach dem Start des Reconnaissance-Skripts begann der Angreifer mit der Bereitstellung zusätzlicher Werkzeuge. Zum Einsatz kamen s5cmd – ein legitimes Werkzeug für Massen-Dateioperationen – und SharpShares, ein C#-Tool zur Auflistung freigegebener Netzwerkressourcen. Ziel war die Identifizierung der dem Benutzer zugänglichen Datenspeicher.
In der Endphase wurden die gesammelten Daten in CSV-Dateien exportiert, archiviert und an einen entfernten Server übertragen. Der gesamte Prozess – von der Reconnaissance bis zur Exfiltration – folgte einer klassischen «Schnellzugriffs»-Vorgehensweise («smash-and-grab»), jedoch mit KI-Beschleunigung in der Phase der Werkzeugerstellung.
Paralleler Fall: Cloud-Angriff auf AWS in 72 Stunden
Der Bericht von Sygnia beschreibt einen separaten Vorfall, bei dem ein KI-assistierter Angriff auf eine große AWS-Umgebung nach Einschätzung der Forschenden innerhalb von rund 72 Stunden vom Erstzugang bis zur umfassenden Kompromittierung verlief. Die Motivation des Angreifers wird als finanziell eingeschätzt – der Zugriff auf die Cloud-Infrastruktur des Opfers sollte als Hebel für Erpressung dienen.
Der Erstzugang wurde über eine Schwachstelle in einer internet-exponierten Anwendung erlangt, wodurch der Zugriffsschlüssel für eines der AWS-Konten extrahiert werden konnte. Anschließend agierte der Angreifer in einem zyklischen Muster: Jeder neue Satz von Zugangsdaten löste erneut Reconnaissance, das Sammeln von Secrets, Persistenzversuche (Erstellung von Access Keys und IAM-Benutzern) und Exfiltration aus. Ein Teil der Artefakte wurde als Pentest oder Red-Team-Übung getarnt.
Zur Druckausübung auf das Opfer wurden destruktive Maßnahmen eingesetzt:
- Sperren des Zugriffs auf S3-Buckets
- Setzen der Kapazität für Services und Container in ECS auf null
- Erstellen von ACL-Regeln zur Blockierung des Netzwerkzugriffs
- Leeren von SQS-Queues
Sygnia betont: Der Angreifer setzte weder neue Malware noch Zero-Day-Schwachstellen ein. Sämtliche beobachteten Aktionen entsprachen seit Langem bekannten Techniken. Das entscheidende Unterscheidungsmerkmal war die Geschwindigkeit, mit der jeder neue Zugriff in gezielte Aktionen umgewandelt wurde: Ermittlung von Berechtigungen, verfügbaren Ressourcen und den jeweils optimalen nächsten Schritten.
Wirkungsanalyse: KI als Kraftmultiplikator
Beide Vorfälle führen zu derselben Schlussfolgerung: KI erzeugt keine neuen Angriffsklassen, senkt jedoch den Einstieg erheblich und beschleunigt die Durchführung. Im Fall des PowerShell-Skripts erhielt ein Angreifer mit minimalen Programmierkenntnissen ein funktionsfähiges AD-Reconnaissance-Werkzeug, wenn auch ein «lautes». Im Cloud-Fall weist die Geschwindigkeit der Anpassung an neue Zugangsdaten und Ressourcen auf eine Automatisierung der analytischen Phasen des Angriffs hin.
Am stärksten gefährdet sind Organisationen mit unzureichender Überwachung von Active Directory und Cloud-Umgebungen, insbesondere dort, wo:
- RDP-Zugriff ohne Multi-Faktor-Authentifizierung offensteht
- kein Monitoring von massenhaften LDAP-Abfragen an Domänencontroller erfolgt
- Cloud Access Keys weder rotiert noch in ihren Privilegien beschränkt werden
- keine Benachrichtigungen über die Erstellung neuer IAM-Benutzer oder Access Keys existieren
Praktische Empfehlungen
Zum Schutz von Active Directory:
- Alarme für massenhafte Enumerationsanfragen von AD-Objekten (Benutzer, Gruppen, OU, Vertrauensbeziehungen) innerhalb kurzer Zeiträume konfigurieren
- Ausführung von PowerShell-Skripten aus untypischen Verzeichnissen, insbesondere
C:\ProgramData\, überwachen - das Auftreten von HTML- und CSV-Dateien mit charakteristischen Namen (AD_Report, Inventory) in Staging-Verzeichnissen monitoren
- RDP-Zugriff durch verpflichtende MFA und Netzsegmentierung einschränken
Zum Schutz von AWS-Cloud-Umgebungen:
- Alarme über CloudTrail für die Erstellung neuer IAM-Benutzer und Access Keys einführen
- Erkennung anomal wirkender API-Aufrufmuster konfigurieren: massenhafte Ressourcenenumeration, schneller Kontextwechsel zwischen Services
- das Prinzip minimaler Privilegien auf Access Keys und Rollen anwenden
- internet-exponierte Anwendungen regelmäßig auf Leaks von Secrets und Schlüsseln prüfen
Beide betrachteten Vorfälle zeigen, dass Verteidigungsteams ihre zeitlichen Erwartungen im Incident Response überdenken müssen: Benötigte ein Angreifer früher Tage für Reconnaissance und die Vorbereitung von Werkzeugen, schrumpft diese Phase mit KI-Assistenz auf Minuten. Vorrangige Maßnahme ist, sicherzustellen, dass Erkennungsregeln für massenhafte Enumerationen von AD-Objekten und für anomale Aktivität in Cloud-APIs korrekt konfiguriert und aktiv sind und dass die Reaktionszeit auf entsprechende Alarme 30 Minuten nicht übersteigt.
