Hacker nutzen Gemini, um Kryptowährung zu stehlen: So funktioniert der neue KI-Trick

Eine mit dem nordkoreanischen Regime verbundene Gruppe nutzt Sprachmodelle wie Gemini, um Schadcode zu generieren und digitale Daten zu stehlen. Google hat mit Sperrungen und neuen Sicherheitsmaßnahmen reagiert, doch der Fall markiert einen Wendepunkt im Einsatz künstlicher Intelligenz bei Cyberangriffen.

Jahrelang galten Sprachmodelle wie Gemini als Produktivitätswerkzeuge, mit denen sich E-Mails verfassen, Dokumente zusammenfassen oder nützlicher Code schreiben ließ. Doch in den falschen Händen kann genau diese Fähigkeit missbraucht werden. Der Fall der nordkoreanischen Hackergruppe verdeutlicht dies. UNC1069Auch bekannt als Masan, das begonnen hat, Gemini zu verwenden Generieren von Phishing-Skripten und Stehlen digitaler Vermögenswerte.

Nach berichten Die Hackergruppe Google Threat Intelligence Group (GTIG) hat KI aktiv in ihre Operationen integriert. Es geht nicht mehr nur darum, KI für Forschungszwecke oder zur Automatisierung von Aufgaben einzusetzen; sie nutzen sie nun auch während der Ausführung ihrer Angriffe, um… in Echtzeit bösartigen Code generiereneine Technik, die Google als „Code-Erstellung nach Bedarf“.

Für Forscher stellt dies einen bedeutenden Wandel gegenüber herkömmlicher Malware dar, deren Logik typischerweise statisch codiert ist. Durch die dynamische Codegenerierung können Angreifer sich an die Umgebung anpassen, Erkennungssysteme umgehen und ihre Angriffe zielspezifisch gestalten. Mit anderen Worten: Malware „denkt“ jetzt.

Was haben es die Hacker von Masan auf sich? Wallets, Passwörter und mehrsprachiges Phishing.

Das Ziel von UNC1069 ist laut der Studie: Kryptowährung stehlenUm dies zu erreichen, haben Hacker das KI-Modell Gemini genutzt, um sehr spezifische Aufgaben auszuführen, die ihre Angriffe verbessern. Dazu gehören:

• Speicherort der Krypto-Wallet-Daten: Die Angreifer forderten das Modell auf, Dateipfade und Einstellungen im Zusammenhang mit Anwendungen zur Speicherung digitaler Assets zu identifizieren.

• Zugriffsskripte generieren: Gemini wurde verwendet, um Skripte zu generieren, die den Zugriff auf verschlüsselten Speicher oder die Datenextraktion ermöglichen. private SchlüsselAutomatisierung der Erstellung von Schadcode.

• Verfassen von Phishing-E-Mails: Ebenso besorgniserregend ist der Einsatz dieses KI-Modells zum Verfassen hochgradig überzeugender Phishing-E-Mails, die in mehreren Sprachen verfasst sind und sich an Mitarbeiter von Kryptowährungsbörsen und -plattformen richten, mit dem Ziel, Zugangsdaten zu erlangen oder in interne Systeme einzudringen.

Diese Angriffsarten stellen einen bedeutenden Fortschritt im Bereich der Cybersicherheit dar. Künstliche Intelligenz ermöglicht nicht nur die Skalierbarkeit dieser Operationen, sondern automatisiert auch komplexe Aufgaben und reduziert das Risiko menschlicher Fehler. Durch die Erstellung dynamischen und adaptiven Codes werden diese Skripte zudem deutlich effektiver. schwieriger zu erkennen durch traditionelle Antivirensysteme, die üblicherweise auf festen Mustern basieren, um bestehende Bedrohungen zu erkennen.

Der von Google erstellte Bericht hebt zudem hervor, dass es sich hierbei nicht um einen Einzelfall handelt. Andere Malware-Familien verfolgen ähnliche Ansätze mit hochentwickelten Sprachmodellen. So verwendet beispielsweise PROMPTFLUX Gemini, um seinen eigenen VBScript-Code stündlich umzuschreiben, während PROMPTSTEAL, das mit der russischen APT28-Gruppe in Verbindung steht, das Qwen2.5-Coder-Modell nutzt, um Windows-Befehle in Echtzeit zu generieren. 

Kurz gesagt, diese Entwicklung bei KI-basierten Angriffstechniken stellt eine neue Herausforderung für die digitale Sicherheit im Bereich der Kryptowährungen und darüber hinaus dar.

Google reagiert: Kontosperrungen und neue Sicherheitsvorkehrungen

Nachdem Google diese schädliche Aktivität entdeckt hatte, reagierte das Unternehmen umgehend. Laut GTIG Das Unternehmen sperrte Konten, die mit UNC1069 in Verbindung stehen, und verschärfte die Zugangsfilter für Gemini. Um den Missbrauch dieses Tools zu verhindern, implementierte das Unternehmen außerdem neue Überwachungssysteme, die verdächtige Muster bei Anfragen an seine KI-Modelle erkennen sollen.

Zu den ergriffenen Maßnahmen gehören: Beschränkungen der Kapazität ihrer APIs um sensiblen Code zu generieren oder Befehle auszuführen, die ein Risiko darstellen könnten, sowie strengere Filter was es Benutzern erschwert, schädliche Skripte zu erstellen. Ebenfalls integriert umfassende Audits um nachzuverfolgen, wie die Modelle verwendet werden, was eine genauere Identifizierung von ungewöhnlichem oder missbräuchlichem Verhalten ermöglicht.

Google weist jedoch darauf hin, dass das Problem über die eigenen Technologien hinausgeht. Viele offene Plattformen, wie beispielsweise Hugging Face, bieten uneingeschränkten Zugriff auf Systeme künstlicher Intelligenz, die für böswillige Zwecke missbraucht werden können. Das bedeutet, dass selbst bei verstärkten Sicherheitsvorkehrungen großer Unternehmen Angreifer weiterhin zahlreiche Möglichkeiten haben, diese immer fortschrittlicheren Technologien einzusetzen.

Was bedeutet das für die Zukunft der Cybersicherheit?

Der Fall UNC1069 markiert einen Wendepunkt in der Entwicklung der Cybersicherheit. Erstmals wurde der Einsatz fortschrittlicher Sprachmodelle in der operativen Phase eines realen Cyberangriffs bestätigt – nicht nur als Experiment, sondern als aktive Taktik. Google hat festgestellt, dass mindestens fünf Malware-Familien diese Technologie einsetzen, was einen Trend aufzeigt, der die Dynamik der Cyberkriminalität verändern könnte.

Angesichts dieses Szenarios stellen sich für Technologieunternehmen und Regulierungsbehörden grundlegende Fragen: Wie können wir verhindern, dass künstliche Intelligenz für illegale Zwecke missbraucht wird? Welche Verantwortung tragen die Unternehmen, die diese Modelle entwickeln? Ist es möglich, den offenen Zugang zu diesen Werkzeugen aufrechtzuerhalten und gleichzeitig die globale Sicherheit zu gewährleisten?

Der Einsatz von KI bei Angriffen erschwert zudem die Identifizierung und Zuordnung der Verantwortlichen. Wenn Schadcode dynamisch durch Algorithmen generiert wird, wird es schwieriger, seinen Ursprung zurückzuverfolgen und zwischen legitimer und böswilliger Nutzung zu unterscheiden.

Im konkreten Fall von UNC1069 scheint das Ziel darin zu bestehen, Aktivitäten des nordkoreanischen Regimes durch den Diebstahl digitaler Vermögenswerte zu finanzieren. Diese Technik könnte jedoch von verschiedenen Akteuren eingesetzt werden, von kriminellen Organisationen bis hin zu Staaten mit feindseligen Absichten. Die Fähigkeit, angepassten Code in Echtzeit zu generieren, macht künstliche Intelligenz zu einem effizienten Werkzeug, birgt aber gleichzeitig erhebliche Risiken für die globale Cybersicherheit.

Doch während der Fortschritt der künstlichen Intelligenz neue Herausforderungen für die Cybersicherheit mit sich bringt, genau wie andere revolutionäre Technologien in der Geschichte, etwa Kernenergie, Fiatgeld oder Kryptowährungen, KI ist nicht von Natur aus gut oder schlecht.Seine Wirkung hängt davon ab, wie verschiedene Akteure es nutzen. Anders ausgedrückt: Es kann zwar Innovationen, Effizienz und bahnbrechende Lösungen in Bereichen wie Gesundheit und Bildung fördern, aber auch missbraucht werden. Daher liegt der Schlüssel darin, einen ethischen und regulatorischen Rahmen zu schaffen, der seinen Nutzen maximiert und seine Risiken minimiert und so eine verantwortungsvolle und sichere Entwicklung für alle gewährleistet.