Symantec hat den Ursprung des Erstzugriffs nicht ermittelt und konzentriert sich auf den Ablauf, der sich bei der Untersuchung nach dem Vorfall rekonstruieren ließ. Zunächst arbeitete der Angreifer manuell, was die Ermittler etwa an Tippfehlern erkannten. Sämtliche bereitgestellten Payloads wurden jedoch von Sicherheitssoftware beendet.
Am nächsten Tag änderte sich die Vorgehensweise. „Fast zwei Stunden lang übermittelten die Angreifer lange, fehlerfreie PowerShell-Skripte mit beschrifteten Ausgabeabschnitten und stellenweise Kommentaren, die sich wie die Überlegungen eines Modells lesen“, so Symantec. In dieser zweiten Phase verschaffte sich der Angreifer Zugang zu einem Webserver und stahl Zugangsdaten aus Konfigurationsdateien der Überwachungssoftware SolarWinds Orion. Rund zehn Minuten nach der Abfrage von SolarWinds Orion gelang die laterale Bewegung auf einen zweiten Server.
Auf den KI-Einsatz schließt Symantec aus den Zeitabständen zwischen den Befehlen, die eher auf Automatisierung als auf direkte Eingabe an der Tastatur hindeuten. Allerdings passe das Timing „eher zu einem Operator, der Ausgaben an ein KI-Werkzeug weiterreicht, als zu einem autonomen Agenten“.
Die Täter waren nach Einschätzung von Symantec vermutlich finanziell motiviert: Sie durchsuchten Skripte für Kassensysteme nach Passwörtern, und eine der kontaktierten Adressen stand in Verbindung mit einer Operation, die Kartendaten von Online-Händlern stahl.
Der Fall ist nach Angaben von Symantec einer von Dutzenden KI-gestützten Angriffen, die das Unternehmen seit Mai untersucht hat, mit einer deutlichen Häufung im September. Angreifer nutzen große Sprachmodelle, seit die Technik breit verfügbar ist – anfangs für überzeugende Phishing-Köder oder einfache Aufklärung, inzwischen auch für vollständige Angriffsketten und Malware-Entwicklung. Zudem missbrauchen sie agentenbasierte Penetrationstest-Werkzeuge, um mit Maschinengeschwindigkeit in Zielumgebungen einzudringen. Neu an diesem Fall ist, dass KI in einen laufenden manuellen Angriff eingebracht wurde und eine scheinbare Niederlage womöglich in einen Erfolg verwandelte – ein Hinweis darauf, dass Sprachmodelle weniger versierten Angreifern entscheidend helfen können.
Dick O’Brien, Principal Intelligence Analyst im Symantec Threat Hunter Team, sagte, das Team habe in den vergangenen Wochen mehrere Vorfälle gesehen, in denen KI einen Angriff wiederbelebt habe. Er nennt das einen Wendepunkt für Angreifer, doch Verteidiger könnten das Muster nutzen, da KI sich auf bestimmte Weise verhalte, etwa indem sie Varianten einer Technik in schneller Folge teste. „Das Wiederholungsmuster ist selbst ein Signal“, sagte O’Brien. „Auf Basis von Verhalten statt Dateinamen oder exakten Befehlen zu blockieren, ist viel wichtiger. Einen blockierten Versuch, auf den eine Variante folgt, als hochpriorisierten Alarm zu behandeln, ist eine Überlegung wert.“
Obwohl bei dem Angriff keine Schwachstelle ausgenutzt wurde und kein Patch nötig war, beeinflusst die Beschleunigung von Angriffen durch KI laut O’Brien den Wettlauf ums Patchen. „Unserer Ansicht nach müssen Verteidiger auf die mittlere Zeit bis zur Eindämmung schauen statt auf die mittlere Zeit bis zum Patch. Patchen bleibt wichtig, darf aber nicht die einzige Gegenmaßnahme sein.“