Einsatzprotokolle für sieben Bezirke in Taipeh wurden von einem Angreifer mithilfe von KI-Agenten abgezogen, berichtete The Hacker News unter Berufung auf Forschungsergebnisse, die die Threat Research Unit von Acronis in der Vorwoche veröffentlicht hatte. Die Agenten entdeckten außerdem eine nicht authentifizierte Plattform der Feuerwehr Taipeh, über die Patientendaten aus dem Jahr 2018 einsehbar waren, darunter Elektrokardiogramm-Aufzeichnungen (EKG) und Videoaufnahmen von Rettungswagen.
Die Operation beschränkte sich nicht auf Notfalldienste. Acronis stellte fest, dass Hunderte Organisationen in mindestens elf Ländern ins Visier genommen worden waren, darunter Banken, Universitäten und Militärsysteme. Datenerhebungen oder Systemzugriffe fanden bei rund zehn Organisationen in Taiwan, Thailand und Mexiko statt. Taiwan erhielt mit Abstand die größte Aufmerksamkeit und erlitt den schwerwiegendsten bestätigten Schaden bei den Notfalldiensten.
Die Forscher stuften mit hoher Zuversicht ein, dass eine einzelne Person in der Stadt Hualien in Taiwan die Operation steuerte. Ihr System mit dem Namen BOSSAI verband KI-gestützten Infrastrukturaufbau mit Angriffsagenten, die größtenteils auf lokalen Modellen liefen, deren Sicherheitstraining entfernt worden war. Seine Erfolge betrafen größtenteils Systeme mit bereits bestehenden Schutzmängeln.
Notfalldaten und offengelegte Patientendaten
Die abgezogenen Einsatzdaten stammten aus einer API – einer Softwareschnittstelle zum Datenaustausch –, die mit dem 119-Notrufsystem einer Stadt für Feuerwehr und Rettungsdienst verbunden war. Sie beschrieben Einsätze anhand von Zeitstempeln, Einsatzarten, Fallstatus und Standorten auf Straßenebene. Eine Live-Ortung der Rettungswagen ermöglichten sie nicht.
Bei der Patientenplattform handelt es sich um einen anderen Befund: Ihre Datensätze waren ohne Anmeldung zugänglich. Zwar beschrieb die allgemeinere Zusammenfassung von Acronis Diebstahl medizinischer und persönlicher Daten bei Notfalldiensten und Universitäten, doch belegte die detaillierte Darstellung lediglich, dass die Patientenakten in Taipeh offen zugänglich waren, nicht dass sie abgezogen wurden.
Weitere taiwanische Ziele im Notfallbereich zeigen die Spanne zwischen erfolgreichem Zugriff, gescheiterten Angriffen und fehlerhaften Befunden:
- Das Datenbank-Administrationspanel eines Anbieters von Technik für Feuerwehreinsätze akzeptierte Standard-Root-Zugangsdaten, sodass die Agenten Zugriff auf mindestens 18 Tabellen erhielten. Ein Versuch, eine bekannte Schwachstelle auszunutzen, um eine Web-Shell zu installieren – ein Skript für den Fernzugriff –, scheiterte.
- Das browserseitige JavaScript eines Notfallmanagement-Informationssystems enthielt einen fest codierten AES-256-Verschlüsselungsschlüssel. Damit ließen sich Inhalte von Session-Cookies einsehen, die Informationen über die Sitzung eines Nutzers enthalten, darunter die Identität eines Administrators. Eine Kompromittierung wurde nicht bestätigt.
- Ein Scanner meldete, ein nationales Zentrum für Katastrophenschutz habe eine kritische Apache-Schwachstelle, die Remote Code Execution erlaube. Die gemeldete Schwachstelle existierte nicht.
- Versuche, Passwörter für das Single-Sign-on-Portal einer nationalen Feuerwehrbehörde zu erraten, führten zu keinem bestätigten Zugriff.
- Feuerwehrsysteme in fünf Städten wurden gescannt, um die eingesetzte Software zu identifizieren, ohne dass eine Kompromittierung bestätigt wurde.
Anderswo in Taiwan riefen die Agenten Kontentabellendaten eines Kreditgebers über SQL-Injection ab, eine Technik, die Datenbankabfragen über anfällige Eingaben in Anwendungen manipuliert. Außerdem sammelten sie Daten von drei thailändischen Universitäten per SQL-Injection, nachdem sie 489 potenzielle Ziele an 45 Einrichtungen ausgewählt hatten.
Die Aktivität in Mexiko lieferte rund 206.800 Datensätze zu Festnetzanschlüssen mit Namen und Adressen, die unter Verwendung amtlicher Statistiken, Postleitzahllisten und Daten der Telekommunikationsbehörde erstellt wurden. Rund 15 weitere Organisationen waren Angriffen ausgesetzt, ohne dass ein Eindringen bestätigt wurde. In mindestens acht weiteren Ländern endete die Aktivität beim Scannen oder bei der Vorbereitung von Angriffen, die zum Zeitpunkt der Untersuchung durch die Forscher nicht ausgeführt worden waren.
Ein Mensch koordinierte die KI-Agenten
Acronis rekonstruierte die Aktivitäten anhand des Servers des Angreifers. Der Rechner wirkte zunächst wie ein fehlkonfiguriertes Entwicklungssystem, enthielt aber tatsächlich seine operative Angriffsumgebung: mehr als 90.000 Dateien mit Gesprächen mit Agenten, Befehlsverläufen, Angriffswerkzeugen, Zugangsdaten und Opferdaten.
Die Forscher beobachteten die Operation zwölf Tage lang. Ein aufgezeichnetes Gespräch verortet den Angreifer am 25. Juli bei der Arbeit. Die Ergebnisse wurden in der Woche vor dem Nachrichtenbericht veröffentlicht.
BOSSAI umfasste zwölf Agenten, von denen neun im Einsatz waren. Sie waren aufgeteilt in Agenten für die Wartung von Servern und Werkzeugen sowie Agenten für Aufklärung und Angriffe. Die Koordination blieb vom Betreiber abhängig: Die Agenten konnten untereinander keine Nachrichten austauschen, daher kopierte er Material manuell von einem zum anderen.
Der Großteil des Infrastrukturaufbaus erfolgte mit kommerziellen Cloud-Modellen, vor allem Grok. Direkte Angriffsanfragen wurden von Grok und MiniMax M3 abgelehnt, die eine schriftliche Genehmigung verlangten. Ob gefälschte Berechtigungen diese Antworten verändert hätten, blieb für die Forscher unklar. Grok reparierte dennoch ein fehlerhaftes Proof-of-Concept-Exploit-Skript, das der Betreiber anschließend einem Angriffsagenten übergab.
Für den größten Teil der Angriffsarbeit nutzte der Angreifer „abliterated“-Versionen von DeepSeek, GLM und Qwen, die lokal ohne Sicherheitstraining liefen. Außerdem verband er die Coding-Agenten Claude Code und Codex mit einem abliterated-Modell, wobei deren Arbeit überwiegend die Infrastruktur betraf. Cursor, ein weiterer Coding-Agent, nutzte ein solches Modell, um eine taiwanische Website eines Notfalldienstes anzugreifen.
Die Ausgaben der Agenten mussten geprüft werden. Ein Scanning-Werkzeug erfand CVE-Kennungen – Referenznummern zur Nachverfolgung bekannter Schwachstellen –, und mehr als die Hälfte seiner Befunde mit hohem und kritischem Schweregrad waren Fehlalarme oder falsch eingestuft. Der wichtigste Angriffsagent meldete zudem Ergebnisse, die nie eingetreten waren.
Zuschreibung und die Abwehrmaßnahmen, die standhielten
Die Wiederverwendung von Identitäten half Acronis, die Operation mit dem mutmaßlichen Betreiber in Verbindung zu bringen. Öffentliche Informationen und Fehler bei der Verschleierung seiner Identität verbanden legitime Unternehmen und Angriffsinfrastruktur über ein GitHub-Profil, ein Logo, den Namen eines SSH-Schlüssels und eine E-Mail-Adresse. Seine Heim-IP-Adresse tauchte außerdem in einer Grok-Unterhaltung während einer SSH-Fernanmeldung auf.
Die Forscher hielten finanzielle Bereicherung für das wahrscheinlichste Motiv. Einige Angriffe auf Regierungs-, Notfall- und Militärsysteme ähnelten staatlich unterstützter Aktivität, andere glichen gewöhnlicher Cyberkriminalität. Ob der Betreiber für jemanden arbeitete, blieb unklar.
Der Bericht von The Hacker News über die Erkenntnisse von Acronis beschreibt eine Liste von Indikatoren mit neun IP-Adressen und neun Domains. Ihr aktueller Status bleibt unklar, und den meisten fehlt eine Erklärung ihrer Rolle. Auch der Stand der Benachrichtigung und Behebung für die betroffenen Systeme ist ungeklärt, einschließlich der Frage, ob die offengelegten Daten noch erreichbar sind.
Die erfolgreichen Aktivitäten stützten sich auf bereits bestehende Schwachstellen: einen seit 2018 offenen Port für medizinische Daten, eine öffentlich erreichbare Einsatz-API, 16 SQL-Injection-Schwachstellen beim Kreditgeber und ungepatchte Oracle-Datenbanken an Universitäten. KI senkte die Kosten für das Finden und Verfolgen vieler Ziele. Doch scheiterten die Agenten an erzwungenen Anmeldungen, Bezahlschranken, die gültige Sitzungen erfordern, und Endpunkten, die Anfragen ordnungsgemäß filterten.
