Die Angreifer kombinierten die Ausnutzung von Webanwendungen mit dem Einschleusen von Webshells. Darauf folgten die Suche nach Konfigurationen, das Prüfen von Zugangsdaten, die Erkundung von Cloud-Diensten, der Zugriff auf Secrets und Operationen auf Speicherdiensten.
AntiFox lässt sich über GitHub herunterladen und wird als KI-gesteuerte, autonome Plattform für Penetrationstests beschrieben. Das Projekt wurde bislang 251-mal geforkt und hat 474 Sterne. Der Maintainer schreibt in der README-Datei, ein Multi-Agenten-System aus Planer, Worker und Hauptagent führe bei einem autorisierten Ziel den gesamten Auftrag aus. Grundlage sei ein doppelter Graph aus einem globalen Asset-Graphen und einem Erkundungsgraphen pro Aufgabe. Der Ablauf reiche von der Aufklärung über das Erkennen der Angriffsfläche und die Ausnutzung bis zur Erfassung der Befunde und zum Bericht und sei vollständig nachvollziehbar und interaktiv. Anders als die meisten automatisierten Pentest-Werkzeuge, die „gut im Aufspüren sind, aber beim Aufspüren aufhören“, lege AntiFox den Schwerpunkt auf das Ergebnis: Aus den Funden der KI entstehe ein Bericht, den ein Ingenieur verstehen, nachvollziehen und mit Belegen untermauern und direkt an den Kunden weitergeben könne.
Den Erstzugriff verschafften sich die Angreifer laut Arctic Wolf teilweise über eine kompromittierte, aus dem Internet erreichbare Anwendung auf Internet Information Services (IIS). Über den IIS-Worker-Prozess „w3wp.exe“ legten sie eine ASPX-Webshell an und führten Betriebssystembefehle aus, um:
- per PowerShell nach web.config-Dateien und Sicherungen von Konfigurationen zu suchen,
- Anwendungseinstellungen und Verbindungszeichenfolgen für Datenbanken auszulesen,
- Verzeichnisse für Debug- und Fehlerprotokolle aufzulisten,
- sich mit einem aus der Konfiguration gewonnenen Zugangsdatum an einer internen Produktionsdatenbank anzumelden,
- Konfigurations- und Protokolldateien in ein über das Web erreichbares Upload-Verzeichnis zu kopieren.
Arctic Wolf zufolge ermittelten die über w3wp.exe ausgeführten Befehle mit whoami den Ausführungskontext, listeten das Anwendungsverzeichnis auf, prüften mit icacls die Berechtigungen und testeten, ob sich Dateien im Web-Root ablegen ließen. Dass w3wp.exe eine ASPX-Webshell erzeugt und anschließend über denselben Prozess Befehle ausgeführt wurden, spreche für eine Kompromittierung über die betroffene Webanwendung. Welche Schwachstelle die Codeausführung auf dem IIS-Server ermöglichte, ist nicht bekannt.
Bei anderen Angriffen begannen die Täter mit gültigen AWS-Zugangsdaten, deren Herkunft noch ungeklärt ist. Sie missbrauchten gültige IAM-Identitäten, um die Zugangsdaten zu prüfen und Dutzende Dienste abzufragen, darunter IAM, EC2, S3, Lambda, Secrets Manager, KMS, RDS, ECS, EKS, Redshift, Athena, Glue, Systems Manager, API Gateway, CloudWatch, CloudFormation, DynamoDB und Amazon Bedrock. Die meisten dieser authentifizierten, dienstübergreifenden API-Anfragen scheiterten mit „AccessDenied“, einige Erkundungs- und Secret-Zugriffe gelangen jedoch. Zumindest in einigen Fällen gingen die Angreifer über das Auflisten im Secrets Manager hinaus und riefen per GetSecretValue erfolgreich ein Produktions-Secret ab. In einem anderen Fall diente eine gültige AWS-Identität für Erkundung und Objektoperationen in S3 per API. Agentenbasierte Frameworks machten Pentest-Techniken für Angreifer leichter zugänglich und erhöhten Tempo und Gleichförmigkeit, mit denen diese in echten Angriffen eingesetzt werden, so Arctic Wolf.
Zugleich setzen Angreifer zunehmend KI-gestützte Pentest-Werkzeuge wie ARTEX für breit angelegte Angriffe weltweit ein und automatisieren damit verschiedene Phasen eines Einbruchs mit minimalem menschlichem Zutun. Große wie kleine Akteure übertragen etablierte Vorgehensweisen so auf Maschinengeschwindigkeit: Vom Durchsuchen von GitHub nach Secrets bis zum Abfluss von Daten aus einem Azure Key Vault vergehen fünf Minuten.
Anfang der Woche legte VECERT Details zur Kampagne „Operation Ghost-Campus“ offen, hinter der ein chinesischer Akteur stehen soll. Er nutzt KI-Agenten, um dauerhaft und kostenlos auf große Sprachmodelle zuzugreifen, damit automatisierten akademischen Betrug zu betreiben und Daten von mehr als 5.000 Studierenden des Fengxian Campus zu stehlen. Laut VECERT legt der Agent massenhaft Konten bei der Suchmaschine fofa.info an, durchsucht das Internet nach falsch konfigurierten Servern, extrahiert API-Schlüssel für OpenAI und DeepSeek, prüft automatisch deren Guthaben und speist sie in die Entwicklungsumgebung des Angreifers ein. Diese gestohlene Rechenleistung betreibe ein interaktives GoTTY-Terminal („Pi — AI Coding Assistant“) und versorge damit auch die Skripte für Betrugsbots („Heartbeat“-Bots) sowie Werkzeuge, die Finanzdaten und personenbezogene Daten tausender Studierender abgreifen.
Nach Daten von Censys liefen am 4. November 2026 auf 1.465 Hosts offen erreichbare ARTEX-Konsolen, die meisten in den USA, Hongkong, China, Japan, Singapur und Südkorea; nicht jede Instanz ist zwangsläufig bösartig. Check Point Research identifizierte 2.557 Systeme mit ARTEX, darunter zehn falsch konfigurierte Instanzen, die ihre komplette Datenbank offenlegten. ARTEX habe in vielen Fällen erstaunlich wenig Eingriffe seiner Betreiber benötigt, sobald ein Ziel festgelegt war, so Check Point. Statt Angriffe Schritt für Schritt zu steuern, gaben die Betreiber oft nur ein Ziel vor und überließen den Rest der Agentenflotte; menschliche Eingriffe beschränkten sich weitgehend auf Fortschrittskontrollen, die Frage, ob ein Ziel kompromittiert sei, oder gelegentliche Anpassungen der Prioritäten.
Die meisten dieser Angriffe zielen darauf ab, Kryptowährung abzuziehen, Apple-Codesignaturzertifikate zu stehlen, Gaming-Konten zu kapern und Glücksspielseiten mit Denial-of-Service-Angriffen zu überziehen. Ausgenutzt werden schwache oder fest einprogrammierte Passwörter, fehlende Authentifizierung, unsichere direkte Objektreferenzen und Remote-Code-Ausführung. Bei der Kampagne gegen Apple-Zertifikate durchsuchten ARTEX-Agenten kompromittierte Systeme nach Zertifikatsdatenbanken und prüften die Beute anhand von Passwörtern, privaten Schlüsseln, Apple-Widerrufsstatus, Ablaufdaten und zugehörigen Provisioning-Profilen. Insgesamt wurden mehr als 300 Zertifikate samt Passwörtern erbeutet; drei bestanden die vollständige Prüfung und könnten beliebige iOS-Apps signieren.
Die größte Veränderung durch agentenbasiertes Hacking liegt laut Check Point in Umfang und Tempo: Auch ein technisch wenig versierter Krimineller kann KI-Agenten parallel auf zahlreiche Ziele ansetzen und diese mit bekannten und Zero-Day-Schwachstellen bei geringerem Handaufwand angreifen. CERT-EU erklärte in einer Warnung, ARTEX sei wegen seines Umfangs, seiner Geschwindigkeit und Ausdauer relevant. Es könne große Mengen einfacher Fehlkonfigurationen testen, auch solche, die ein menschlicher Tester bemerken, aber aus Zeitgründen nicht prüfen würde, und lange Angriffsketten ohne Ermüdung abarbeiten. Gleiches gelte für das Erstellen komplexer Payloads: Angriffswege, die sorgfältig angepasste Payloads erfordern, kosteten oft mehr Aufwand, als die Schwere des Befunds rechtfertige, weshalb manuelle Prüfungen sie mitunter auslassen.
AntiFox und ARTEX gehören zu rund 45 quelloffenen agentenbasierten Angriffs-Frameworks, die an ein Sprachmodell angebunden werden und dessen Ausgaben selbstständig umsetzen. Sie lassen sich in fünf Gruppen einteilen:
- Netzwerk-Kill-Chain mit Aufklärung, Ausnutzung und Post-Exploitation: PentAGI, RedAmon, DarkMoon
- Webanwendungen und APIs: Strix, Shannon, PentestGPT
- C2-integriert: Sage, echidna, Pojun, FORANG
- Harnesses: RAPTOR, CyberStrike, cyber-harness, Nebula, Cybermes
- Forschungsprototypen: Incalmo, hackingBuddyGPT, VulnBot, HackSynth, AutoPT, Ares
Laut GitGuardian ist der Quellcode jedes dieser Frameworks öffentlich, und jedes bindet ein Modell in eine Schleife ein, die Werkzeuge ausführt und auf deren Ausgaben reagiert. Da KI-Pentest-Tools ihrem Agenten eine Shell und Webzugang geben, könne das Modell zur Laufzeit eine eigene Pipeline zusammenstellen: Eine GitHub-Suche, der Download eines Scanners und die Weitergabe eines gefundenen Schlüssels an den nächsten Aufruf seien jeweils nur einen Prompt entfernt, obwohl nichts davon im Repository enthalten sei.