Angreifer zielen auf vernetzte IT-Umgebungen

Der aktuelle Acronis TRU Cyber Pulse Report zeigt, wie sich die Angriffsmethoden weiterentwickeln und warum Unternehmen ihre Sicherheitsmaßnahmen stärker auf Identitäten, Cloud-Dienste und vernetzte IT-Infrastrukturen ausrichten müssen.

KI ermöglicht komplexere Angriffsketten

Die Threat Research Unit (TRU) von Acronis beobachtet, dass KI Angreifern zunehmend dabei hilft, verschiedene Phasen eines Cyberangriffs miteinander zu koordinieren. Ein Beispiel dafür sind die untersuchten BOSSAI-Aktivitäten. Dabei verknüpfte ein einzelner Angreifer mehr als zehn KI-Modelle mit unterschiedlichen Angriffswerkzeugen und MCP-Servern.

Die eingesetzten KI-Agenten konnten dadurch eigenständig Ziele untersuchen, Schwachstellen identifizieren, Systeme angreifen, Befehle ausführen und die benötigte Infrastruktur verwalten. Damit lassen sich auch komplexe Angriffsschritte mit vergleichsweise geringem manuellem Aufwand koordinieren.

Gestohlene Zugangsdaten öffnen weitere Angriffswege

Neben der Automatisierung rückt der Missbrauch digitaler Identitäten stärker in den Mittelpunkt. Infostealer sammeln nicht nur Passwörter, sondern auch Sitzungstokens, API-Schlüssel und weitere Authentifizierungsinformationen. Mit diesen Daten können Angreifer von einem zunächst kompromittierten Endgerät auf Cloud-Dienste, Entwicklungsumgebungen und andere verbundene Systeme zugreifen.

Die von Acronis untersuchte IronWorm-Kampagne verdeutlicht diese Entwicklung. Die Angreifer hatten es unter anderem auf Zugangsdaten und API-Schlüssel von KI-Entwicklungswerkzeugen wie Claude, Codex, Cursor und Gemini abgesehen.

Damit steigt das Risiko, dass eine einzelne Infektion weitreichendere Folgen für die gesamte IT-Umgebung hat.

Sicherheitsfunktionen werden gezielt ausgeschaltet

Ein weiterer Trend betrifft die gezielte Beeinträchtigung vorhandener Schutzmechanismen. Ransomware-Gruppen versuchen zunehmend, Endpoint-Sicherheitslösungen und Protokollierungsfunktionen auszuschalten. Dadurch erschweren sie es den Sicherheitsteams, verdächtige Aktivitäten rechtzeitig zu erkennen und nachzuvollziehen.

MITRE ATT&CK führt entsprechende Eingriffe seit April 2026 unter der eigenen Taktik „Defense Impairment“. Auch bei der von der TRU untersuchten Windows-Variante der Qilin-Ransomware wurden solche Vorgehensweisen festgestellt.

Gleichzeitig verkürzt KI das Zeitfenster für Gegenmaßnahmen. Angreifer können neu bekannt gewordene Schwachstellen teilweise innerhalb weniger Stunden analysieren und entsprechende Exploits entwickeln.

GitHub und Telegram als Infrastruktur für Cyberangriffe

Cyberkriminelle missbrauchen zunehmend legitime Plattformen, um ihre Aktivitäten zu organisieren und Schadsoftware zu verbreiten. Dienste wie GitHub oder Telegram bieten ihnen eine vorhandene Infrastruktur, die sich nur schwer von regulärer Nutzung unterscheiden lässt.

Bei einer Kampagne mit dem Infostealer Vidar 2.0 entdeckte die Acronis-Forschung Hunderte GitHub-Repositories, über die Schadsoftware verbreitet wurde. Klassische Maßnahmen wie Domain-Sperren und Zertifikatsprüfungen reichen deshalb nicht immer aus, um solche Aktivitäten zuverlässig zu erkennen.

Ransomware nimmt virtuelle Infrastrukturen ins Visier

Auch die Zielauswahl von Ransomware-Gruppen verändert sich. Neben klassischen Windows-Systemen geraten zunehmend Linux-Umgebungen und VMware-ESXi-Server ins Visier.

Als Beispiel nennt der Report die ESXi-Variante von LockBit 5.0. Mit ihr können Angreifer laufende virtuelle Maschinen herunterfahren und deren Dateien verschlüsseln. Die Auswirkungen reichen damit über einzelne Arbeitsplätze hinaus und können geschäftskritische Anwendungen sowie zentrale Unternehmensdienste betreffen.

MSPs müssen gemeinsam genutzte Zugänge absichern

Besonders weitreichende Folgen können Sicherheitsvorfälle bei Managed Service Providern (MSPs) haben. Diese verwalten häufig mehrere Kundenumgebungen über gemeinsame Administratorzugänge und Remote-Management-Werkzeuge. Wird ein entsprechendes Konto oder eine zentrale Verwaltungsplattform kompromittiert, können Angreifer unter Umständen auf mehrere Kundeninfrastrukturen zugreifen.

Eine Analyse von mehr als 1,8 Millionen Geräten mit installiertem Acronis Remote Monitoring and Management (RMM) ergab, dass auf 63,1 Prozent mindestens ein weiteres RMM- oder Fernzugriffswerkzeug vorhanden war. Die Vielzahl unterschiedlicher Verwaltungsprogramme erschwert die Kontrolle über Zugriffe und potenzielle Angriffswege.

Für Dienstleister wird es deshalb wichtiger, eingesetzte Fernzugriffswerkzeuge vollständig zu erfassen und deren Berechtigungen regelmäßig zu überprüfen.

Sicherheitsstrategien müssen vernetzte Umgebungen berücksichtigen

Aus Sicht von Acronis reicht es angesichts dieser Entwicklungen nicht mehr aus, einzelne Endgeräte isoliert zu schützen. Sicherheitsteams müssen auch untersuchen, welche weiteren Systeme und Dienste über kompromittierte Identitäten oder Anwendungen erreichbar sind.

Zu den empfohlenen Maßnahmen gehören eine kontinuierliche Überwachung von Identitäts- und Cloud-Aktivitäten, klar begrenzte Berechtigungen für KI-Agenten sowie die frühzeitige Erkennung deaktivierter Sicherheitsfunktionen. Darüber hinaus sollten Unternehmen ihre Wiederherstellungspläne regelmäßig testen und dabei auch kompromittierte Administratorzugänge berücksichtigen.

Santiago Pontiroli, Threat Intelligence Research Lead bei Acronis, sieht vor allem die zunehmende Verknüpfung verschiedener Angriffsmethoden als zentrale Entwicklung. KI ermögliche es erfahrenen Angreifern, mehr Phasen eines Angriffs miteinander zu koordinieren. Gestohlene Identitäten und vertrauenswürdige Werkzeuge erleichterten ihnen zusätzlich die Bewegung innerhalb vernetzter IT-Umgebungen.

Auch Gerald Caron, CISO bei Acronis, betont die Bedeutung eines umfassenderen Sicherheitsansatzes. Unternehmen müssten nachvollziehen können, wie Identitäten, Anwendungen und Dienste miteinander verbunden sind. Nur so ließen sich Angriffe frühzeitig eindämmen und die Wiederherstellung nach einem Vorfall zuverlässig organisieren.

(red/Acronis)