Der Ablauf selbst folgte weitgehend dem bekannten Ransomware-Drehbuch: Die Angreifer stahlen Zugangsdaten für die Backup-Umgebung, legten eigene Domänenadministrator-Konten an, richteten Vertrauensstellungen zwischen zuvor getrennten Active-Directory-Domänen ein, bewegten sich zwischen den Schulen, entwendeten Daten und brachten schließlich die 3AM-Ransomware zum Einsatz.
Stark vertreten waren Living-off-the-Land-Techniken, bei denen Angreifer bereits vorhandene Systemwerkzeuge missbrauchen statt eigener Schadsoftware — hier PowerShell, Windows Management Instrumentation (WMI), reg, netsh, rundll32 sowie weitere vorinstallierte Domänen- und Planungswerkzeuge. Hinzu kamen ein „Impacket-artiges Werkzeug zur Fernausführung", Mimikatz und ein bereits zuvor veröffentlichtes Veeam-Skript.
Von einem Domänencontroller aus zählte der Angreifer laut der Analyse die Vertrauensbeziehungen zwischen Domänen auf und durchsuchte SYSVOL — jenen freigegebenen Ordner, in dem Active Directory Anmeldeskripte ablegt und der für jeden Domänenbenutzer lesbar ist — nach Namen und Subnetzen weiterer Schulen.
Hinweise auf eine agentische Schleife
Bitdefender ordnet den Vorfall keiner der etablierten Kategorien zu: Es handele sich weder um einen KI-generierten Angriff, bei dem die Schadsoftware ganz oder überwiegend von einem großen Sprachmodell (LLM) stammt, noch um einen KI-unterstützten Angriff, bei dem menschliche Entwickler die Werkzeuge bauen und KI lediglich die Arbeit beschleunigt, noch um einen KI-gesteuerten Angriff, bei dem das Modell die Operation orchestriert.
Mehrere Beobachtungen sprechen nach Einschätzung der Forscher für eine agentische Schleife, also die Steuerungsstruktur, die einen KI-Agenten ausmacht. Einzelne Aktionen wirkten eher programmgesteuert als von Hand ausgeführt. „Die Befehle tragen die üblichen Spuren eines Modells: ein Aufruf der Weboberfläche der Backup-Software (Veeam, ein weit verbreitetes Backup-Produkt für Unternehmen) über einen Port und mit einer Anmeldemethode, die nicht der Herstellerdokumentation entsprechen — ein Fehler, wie er typisch ist, wenn aus dem Gedächtnis statt aus dem Handbuch geschrieben wird (Veeam REST API Authorization) —, dazu Bestätigungsdateien, selbst beschriftete Ausgaben und nummerierte Überarbeitungen desselben Skripts", heißt es in der Veröffentlichung. „Auch die Wiederholungsversuche verhalten sich wie eine Schleife."
Ein weiteres Indiz: Die Zeit zwischen den einzelnen PowerShell-Versuchen war kürzer, als ein Mensch für eine manuelle Eingabe gebraucht hätte, aber länger, als wenn ein LLM allein orchestriert hätte. Längere Abstände zwischen einzelnen Aufgaben bei kurzen Abständen zwischen Wiederholungen sei „genau das, wonach es aussieht, wenn ein Mensch den nächsten Schritt wählt und ein Modell die Wiederholungen übernimmt".
Bitdefender schränkt die Befunde selbst ein: Der Rechner, von dem aus der Angreifer arbeitete, war nicht zugänglich, sodass sich nichts Greifbares zum KI-Modell selbst dokumentieren ließ. Die Analyse versteht sich als Argument dafür, dass sich der Angriff so verhält, als arbeite ein Mensch gemeinsam mit einem Agenten — ein Arbeitsmodell, auf das sich Verteidiger einstellen könnten.
Martin Zugec, Technical Solutions Director bei Bitdefender, sagte, „ein hybrides Modell ist für finanziell motivierte Cyberkriminelle technisch wie wirtschaftlich sinnvoller als ein vollständig autonomer Angriff".
Bemerkenswert ist der Fall auch, weil das primäre Opfer eine Einrichtung aus einem kritischen Sektor war und der Affiliate den Angriff möglicherweise mithilfe eines KI-Agenten skalierte, indem dieser wiederkehrende Fehlersuche und Befehlserzeugung übernahm. Die Untersuchung zeigt allerdings keine Fähigkeiten, über die der Angreifer ohne KI nicht ohnehin verfügt hätte.
Repetition statt Tempo
Agentische Schleifen sind aus Sicht der Erkennung laut Zugec laut: Viele ihrer Aktionen seien repetitiv und von Brute-Force-Charakter. „Eine agentische Schleife macht einen Angriff nicht leise, sie macht ihn repetitiv: derselbe Befehl erneut ausgeführt, kleine Anpassungen, nummerierte Skripte und auf der Festplatte zurückgelassene Testdateien. Selbst die schnellsten Wiederholungen brauchten 40 Sekunden oder mehr. ‘Maschinengeschwindigkeit’ ist überwiegend ein Marketingbegriff für sehr teure Vorfälle; in echten Angriffen, besonders mit lokalen Modellen, erwarten wir dieses langsamere und lautere Muster. Nicht die Geschwindigkeit verrät den Angreifer, sondern die Wiederholung."
Da der Angriff weitgehend dem üblichen Ransomware-Drehbuch folgte, greifen laut Bitdefender auch die üblichen Gegenmaßnahmen. Der Hersteller empfiehlt den Schwerpunkt auf Prävention:
- Administrationszugänge verschiedener Domänen strikt getrennt halten
- Backups als mögliches Angriffsziel behandeln
- Fernausführung und administrative Freigaben auf bekannte Management-Hosts beschränken
- Interpreter und Shells auf Maschinen blockieren, die sie nie benötigen
- Endpunktschutz auf jedem Rechner installieren
„Bevorzugen Sie Kontrollen, die unabhängig von Menge und Geschwindigkeit wirken", heißt es in der Veröffentlichung, „denn sie unterbinden eine Aktion beim ersten wie beim hundertsten Mal."