KI-unterstützter Phishing-Baukasten durch offenen Server enttarnt

Ein offener Server von Angreifern enthüllte Rapid7 einen KI-gestützten Baukasten für Phishing-Kampagnen. Ziel war unter anderem Mexiko.

Das Sicherheitsunternehmen Rapid7 hat nach der Entdeckung eines ungeschützten Auslieferungsservers den vollständigen Entwicklungs-Baukasten einer Angreifergruppe analysiert. Der Server enthielt 1.048 Dateien, darunter Vorlagen für Täuschungsseiten, Tests zur Dateinamensmanipulation, Ausführungsskripte sowie Protokolle. Aus den vorgefundenen Artefakten und Pfadbeschreibungen geht hervor, dass der Betreiber quelloffene KI-Programmierwerkzeuge wie Coderrr nutzte, um Phishing-Infrastrukturen und Schadsoftware beschleunigt zu entwickeln, zu testen und zu dokumentieren. Auch die Administrationsoberfläche der Auslieferungsplattform namens Simba Service befand sich ungesichert auf dem Server. Rapid7 fasste das Vorgehen des Angreifers wie folgt zusammen:

„Der Angreifer nutzte LLMs, um mehr wie ein modernes Software-Produktteam zu agieren.“

Rapid7

Ausnutzung der WebDAV-Schwachstelle und Testreihen

Der Schwerpunkt der Entwicklungsarbeiten lag auf der Reproduktion und Erweiterung der Sicherheitslücke CVE-2025-33053. Bei dieser Methode wird eine URL-Verknüpfung genutzt, um eine signierte Windows-Datei zu starten, während das Arbeitsverzeichnis auf eine vom Angreifer kontrollierte WebDAV-Freigabe umgeleitet wird. Windows lädt dadurch schädliche Komponenten von der entfernten Freigabe nach. Da das ursprüngliche Angriffsmuster unter Windows 11 Version 24H2 nicht mehr funktioniert, erstellte der Betreiber ein Testpaket mit 59 URL-Dateien, um alternative signierte Windows-Programme wie InstallUtil oder RegAsm auf diese Schwachstelle hin zu überprüfen.

Aktive Phishing-Kampagne gegen Nutzer in Mexiko

Neben den Testdateien dokumentierte Rapid7 eine aktive Angriffswelle, die sich gegen Anwender in Mexiko richtete. Über eine gefälschte Regierungswebseite für nationale Identifikationsnummern wurden Opfer auf eine WebDAV-Freigabe geleitet. Dort wurde eine als PDF-Dokument getarnte ausführbare Datei heruntergeladen. Die Schadsoftware entpackte einen Infostealer, der Zugangsdaten für Kryptowährungs-Geldbörsen, Browser-Sitzungen und Messenger-Dienste entwendete. Zwischen dem 20. und 26. Juni 2026 registrierte das System 77.098 Anfragen von 3.892 eindeutigen IP-Adressen aus 101 Ländern, wobei 82,5 Prozent des Datenverkehrs auf Mexiko entfielen.

(red)