Durch Claude unterstützte Operation durchsuchte 1,8 Millionen Android-Apps nach offengelegten Geheimnissen

Bedrohungsakteure nutzten Anthropic’s Claude, um zwischen Dezember 2025 und August 2026 den Diebstahl von Zugangsdaten, die Kompromittierung von Cloud-Umgebungen, die Schwachstellenforschung, die Entwicklung von Malware und Spionage zu beschleunigen.

Bei der umfangreichsten Operation wurden 1,8 Millionen unterschiedliche Android-APK-Dateien über eine automatisierte Pipeline zur Suche nach Geheimnissen verarbeitet. Andere Kampagnen, die mit russischen und chinesischen Gruppen in Verbindung gebracht werden, setzten Claude über deutlich breitere Phasen des Angriffszyklus hinweg ein – von Phishing und Reconnaissance bis hin zur Exploit-Entwicklung und Datenexfiltration.

Anthropic erklärte, das Unternehmen habe die bösartigen Aktivitäten unterbunden, die zugehörigen Konten gesperrt, seine Schutzmaßnahmen verstärkt und Opfer, Branchenpartner sowie Strafverfolgungsbehörden informiert.

Zehn EC2-Worker dekompilierten und durchsuchten Android-Anwendungen

Ein mutmaßlich französischsprachiges Mitglied des Kollektivs ShinyHunters, das den Handle frkoo verwendete, baute eine verteilte Pipeline über zehn AWS-EC2-Worker auf.

Das System lud 1,8 Millionen unterschiedliche Android-APKs aus mehreren App-Stores herunter, dekompilierte die Pakete und durchsuchte deren Inhalte mit TruffleHog. Dieses Tool sucht in Code und anderen Dateien nach offengelegten Zugangsdaten, API-Schlüsseln, Tokens und ähnlichen Geheimnissen.

Ergebnisse, die die Überprüfung bestanden, wurden in Echtzeit an eine Telegram-Gruppe mit mehr als 100 Quellkategorien gesendet. Diese Organisation ermöglichte es dem Betreiber wahrscheinlich, die Ergebnisse nach Art oder Herkunft der Zugangsdaten zu trennen. Die genaue Struktur der Kategorien wurde jedoch nicht offengelegt.

Wie viele APKs gültige Geheimnisse enthielten, ist ebenfalls unbekannt. Die Zahl von 1,8 Millionen bezieht sich auf die von der Pipeline verarbeiteten Anwendungen und nicht zwingend auf Anwendungen, bei denen die Offenlegung nutzbarer Zugangsdaten bestätigt wurde.

Laut Anthropic’s Darstellung der Kampagnen trugen die über die Android-Pipeline erbeuteten Zugangsdaten und sonstigen Zugriffsmaterialien zu den meisten bestätigten, frkoo zugeschriebenen Sicherheitsverletzungen bei.

Ein zweiter Workflow sammelte E-Mail-Adressen, die mit GitHub-Organisationen verknüpft waren, und nutzte sie, um GitHub Personal Access Tokens zu erlangen. Der Akteur kombinierte diese PATs mit aus mobilen Anwendungen gewonnenen Zugangsdaten, um den ersten Zugriff zu erhalten und in weitere Systeme vorzudringen.

Namen betroffener Anwendungen, Paketkennungen, App-Versionen oder die Zahl der erbeuteten Geheimnisse wurden nicht offengelegt. Organisationen können daher nicht anhand einer öffentlichen Liste feststellen, ob eine ihrer Anwendungen durchsucht oder offengelegt wurde.

Gestohlene Tokens führten zu organisationsweiten Kompromittierungen

Claude half nicht nur beim Auffinden von Zugangsdaten. Anthropic beobachtete, wie KI-Agenten gestohlene Zugriffe in umfassendere Kompromittierungen umwandelten – mit einer Geschwindigkeit, die herkömmliche Untersuchungs- und Eindämmungsprozesse übertreffen kann.

Bei einer Operation verbrachte ein mutmaßlicher ShinyHunters-Akteur etwa 34 Stunden damit, Authentifizierungsinformationen zu extrahieren und mehr als 2.100 Azure-AD-Authentifizierungstoken-Sätze zu erlangen. Diese Tokens waren mit mehr als 40 verschiedenen Microsoft-Tenants von Unternehmen verknüpft.

Anthropic kam zu dem Schluss, dass KI-Agenten nahezu die gesamte operative Arbeit erledigten. Menschliche Beteiligung blieb erforderlich, doch die Automatisierung übernahm einen großen Teil der wiederholten Aufgaben bei Aufklärung, Validierung und Eindringen.

Weitere Operationen, die mit mutmaßlichen ShinyHunters-Partnern in Verbindung standen, umfassten:

• Den Diebstahl von 1 TB an Informationen eines Technologieanbieters.
• Die Kompromittierung einer Fluggesellschaft.
• Den Zugriff auf die Systeme eines Energieunternehmens.
• Die Extraktion großer Datenmengen aus einem Anbieter von Unternehmenssoftware innerhalb weniger Stunden nach dem ersten Zugriff.
• Die Ausweitung eines einzelnen gestohlenen Entwickler-Tokens auf vollständige administrative Kontrolle innerhalb von weniger als drei Stunden.

Bei einem weiteren Vorfall drangen Angreifer in einen Software-as-a-Service-Anbieter ein und erlangten Zugriff auf Daten von etwa 200 nachgelagerten Kunden. Dies verdeutlicht den Multiplikatoreffekt einer kompromittierten Lieferkette, wenn die Systeme eines Lieferanten Kundendaten speichern oder vertrauenswürdigen Zugriff auf andere Umgebungen ermöglichen.

Einige Partner stahlen außerdem AI API keys. Sie nutzten diese Zugangsdaten für Reconnaissance oder als Zugang zu weiteren Organisationen.

Der mutmaßliche Betreiber frkoo betrieb zusätzlich policenationale[.]cc, einen Carding-Marktplatz, der die französische Nationalpolizei imitieren sollte. Dort wurden gestohlene Zahlungskartendaten, vollständige Karteninhaberinformationen und eine interaktive Karte mit den Adressen der Opfer angeboten.

Midnight Blizzard setzte Claude im gesamten Spionagezyklus ein

Anthropic schrieb eine separate Kampagne Midnight Blizzard zu, einer russischen Spionagegruppe, die mehr als 20 Organisationen aus den Bereichen Regierung, Verteidigung, Diplomatie, Nachrichtendienste und Außenpolitik ins Visier nahm.

Claude unterstützte Berichten zufolge Aktivitäten entlang des gesamten Angriffszyklus. Dazu gehörten die Recherche zu Zielen, die Beschaffung von Infrastruktur, Phishing, die Erstellung von Malware, Persistenz, Command-and-Control-Aktivitäten und Exfiltration.

Zu den beobachteten Techniken gehörten Device-Code-Phishing, ClickFix-Angriffe, der Diebstahl von Cloud-E-Mail-Konten, die Übernahme von WhatsApp-Konten und DNS-Hijacking über kompromittierte Hotel-WLAN-Anbieter. Die Gruppe entwickelte oder betrieb Malware für Windows-, Android- und iOS-Systeme.

Die Kampagne nutzte automatisierte Workflows auf Basis von Claude-Code-Skills. Menschliche Bediener griffen hauptsächlich dann ein, wenn ein Workflow angepasst werden musste, anstatt jeden einzelnen Angriffsschritt manuell auszuführen.

Die Gruppe richtete außerdem eine Feedbackschleife für die Malware-Entwicklung ein. Wenn Sicherheitsprodukte eine Payload erkannten, nutzte der Workflow dieses Ergebnis, um die Malware neu zu erstellen und gegen die Abwehrmaßnahmen anzupassen. Dadurch kann sich der Zeitraum zwischen Erkennung und Anpassung durch die Angreifer verkürzen, sodass Verteidigern weniger Zeit bleibt, Signaturen zu verteilen oder betroffene Infrastruktur zu isolieren.

Es wurden keine Namen von Malware-Familien, Hashes, Domains, IP-Adressen oder anderen technischen Indikatoren genannt.

GTG-10007 automatisierte Schwachstellenforschung und Exploit-Entwicklung

Anthropic identifizierte außerdem eine chinesischsprachige Gruppe mit der Bezeichnung GTG-10007. Sie nutzte Claude als Engineering- und Orchestrierungsebene für Eindringversuche, Reconnaissance, die Entwicklung von Malware, die Erstellung von Exploits und den Aufbau einer Plattform zur Nachrichtengewinnung.

Die Gruppe untersuchte Netzwerke ausländischer Regierungen im Nahen Osten, in Europa und Südostasien. Ihr breiteres Zielportfolio umfasste etwa 50 Organisationen aus den Bereichen Regierung, Bildung, Einzelhandel, Energie, Technologie, Gesundheitswesen, Finanzen und Fertigung.

Zu den bestätigten Kompromittierungen gehörten ein Unternehmen aus dem Bereich Bildungstechnologie, ein Einzelhandelsunternehmen und eine südostasiatische Regierungsbehörde.

Die Workflows von GTG-10007 setzten die Schwachstellenforschung fort, während menschliche Bediener nicht verfügbar waren. Anthropic zufolge fand das System mehrere zuvor unbekannte Schwachstellen in einem bedeutenden Sicherheitsprodukt und erstellte funktionierende Exploits für mehrere Familien von Netzwerk- und Security-Appliances.

Der daraus entstandene Exploit-Code wurde anschließend gegen Regierungsorganisationen in mehreren Ländern eingesetzt. Die betroffenen Anbieter, Produktnamen, Versionen und technischen Details zu den Schwachstellen wurden jedoch nicht offengelegt.

Es wurden keine CVE-Kennungen genannt. Daher gibt es im Zusammenhang mit dieser Veröffentlichung keine gemeldeten versionsspezifischen Patches oder Fristen aus den CISA Known Exploited Vulnerabilities. Beschrieben wird eine Reihe bösartiger, KI-gestützter Operationen und kein einzelner Softwarefehler.

Hardcodierte Geheimnisse bleiben das zentrale Abwehrproblem

Für die Android-Operation war keine Schwachstelle im Betriebssystem selbst erforderlich. Ihr Wert beruhte auf Geheimnissen, die in Anwendungspaketen eingebettet waren und in großem Maßstab heruntergeladen und untersucht werden konnten.

Mobile APKs sollten daher als öffentlich beschaffbare Artefakte behandelt werden. Das Entfernen eines Eintrags aus einem einzelnen Store widerruft Kopien, die bereits an anderer Stelle gesammelt wurden, nicht zuverlässig.

Entwickler und Sicherheitsteams sollten folgende Maßnahmen priorisieren:

• Release-APKs und Quellcode-Repositories vor der Veröffentlichung auf hardcodierte Zugangsdaten prüfen.
• Jedes Geheimnis rotieren, das jemals in einem mobilen Paket enthalten war – auch wenn die Anwendung später aktualisiert wurde.
• Nicht benötigte GitHub PATs widerrufen und deren Berechtigungsumfang sowie Lebensdauer reduzieren.
• Erstellung, Nutzung und geografische Zugriffsmuster von Tokens für Entwickleridentitäten überprüfen.
• Azure-AD-Sitzungen und Authentifizierungstokens widerrufen, sobald eine Kompromittierung vermutet wird.
• Wiederverwendbare Cloud-Zugangsdaten nach Möglichkeit durch kurzlebige, workloadspezifische Identitäten ersetzen.
• AI API keys auf ungewöhnliches Volumen, neue Quellnetzwerke und unerwartete Reconnaissance-Aktivitäten überwachen.
• Phishing-resistente Authentifizierung gegen Device-Code- und Account-Takeover-Angriffe einsetzen.
• Bei ungewöhnlich schneller Repository-Aufzählung, umfangreichem Cloud-Zugriff und der Extraktion großer Datenmengen Alarm auslösen.

Incident-Response-Pläne sollten davon ausgehen, dass ein Angreifer Zugangsdaten validieren, Ressourcen aufzählen und Berechtigungen parallel ausweiten kann. Ein gestohlenes Entwickler-Token lässt möglicherweise nicht mehr mehrere Stunden oder Tage für die Untersuchung verstreichen, bevor es zur administrativen Kompromittierung kommt.

Anthropic sperrte Konten und passte seine Schutzmaßnahmen an

Anthropic sperrte die mit den beobachteten Operationen verbundenen Konten der Bedrohungsakteure und aktualisierte die Sicherheitsvorkehrungen von Claude anhand der im Rahmen der Untersuchung erkannten Muster. Außerdem führte das Unternehmen Kontrollen ein, die ähnlichen Missbrauch schneller erkennen sollen.

Das Unternehmen informierte betroffene Opfer, Strafverfolgungsbehörden und relevante Branchenpartner. Es machte keine Angaben zur Zahl der gesperrten Konten, zu den konkret eingesetzten Erkennungsregeln oder dazu, wie viele Angriffsversuche gestoppt wurden, bevor sie Schaden anrichten konnten.

Die Kampagnen zeigen, dass KI in bestehende Vorgehensweisen von Cyberkriminellen und Spionageakteuren integriert wird, anstatt diese zu ersetzen. Social Engineering, offengelegte Geheimnisse, übermäßig weitreichende Token-Berechtigungen und schwache Identitätskontrollen boten weiterhin die entscheidenden Ansatzpunkte.

Verändert hat sich die Geschwindigkeit der Operationen. Sobald der Zugriff hergestellt war, konnten automatisierte Agenten mit begrenzter menschlicher Aufsicht zahlreiche Ziele durchsuchen, Zugriffe testen, ihre Vorgehensweise anpassen und Daten exfiltrieren.