Multi-Agenten-Angriff auf asiatische Regierungen: KI automatisiert die Angriffskette

Acht KI-Agenten koordiniert in 12 Angriffswellen

Eine Kampagne gegen Regierungsbehörden im asiatisch-pazifischen Raum nutzte eine Multi-Agenten-Architektur, die große Teile der Phasen eines Cyberangriffs automatisieren konnte. Dream beschrieb die Operation in einer am 12. August veröffentlichten Analyse.

Das System konnte bis zu acht KI-Agenten gleichzeitig aktivieren, die von einer zentralen Sitzung koordiniert wurden. Die Agenten übernahmen unterschiedliche Aufgaben: Aufklärung, API-Analyse, Suche nach exponierten Endpunkten, Angriffe auf Zugangsdaten, Ausnutzung von Schwachstellen, laterale Bewegung, Exfiltration und die Installation von Backdoors.

Die Aktivitäten wurden in 12 Angriffswellen aufgeteilt. Nach jeder Phase bewertete der koordinierende Agent die Ergebnisse mithilfe eines bayesschen Scoring-Algorithmus: Erfolgreiche Techniken erhielten bessere Bewertungen, fehlgeschlagene Versuche wurden abgewertet. Die folgenden Wellen bevorzugten daher Strategien, die zuvor die nützlichsten Ergebnisse geliefert hatten.

Dabei handelt es sich nicht nur um die Automatisierung einzelner Tools. Die beobachtete Abfolge bildet eine Angriffskette nach, die normalerweise von mehreren menschlichen Analysten und Operatoren gesteuert wird – allerdings mit stärkerer Parallelisierung und höherer Anpassungsfähigkeit.

OpenClaw und Hermes als Grundlage der Infrastruktur

Die Angreifer bauten ihre operative Umgebung auf den agentischen Frameworks OpenClaw und Hermes auf. Der analysierte Workspace war größer als 160 Megabyte und umfasste 1.395 Dateien.

Die Infrastruktur soll entwickelt worden sein, nachdem nicht näher identifizierte Frontier-Modelle durch Social Engineering manipuliert worden waren. Die Betreiber sollen die Modelle dazu gebracht haben, ein Penetration-Testing-Framework für den Angriff auf eine asiatische Regierungsbehörde zu entwickeln und dabei die vorgesehenen Kontrollen und Einschränkungen der Modelle zu umgehen.

Die Subagenten wurden mit einzelnen Buchstaben zwischen „A“ und „Q“ bezeichnet. Jeder Agent erhielt eine spezifische operative Rolle. Zu den festgestellten Aktivitäten gehörten:

• Erkundung öffentlicher APIs und Endpunkte;
• Identifizierung von Schwachstellen;
• Kompromittierung oder Cracking der Zugangsdaten von Regierungsmitarbeitern;
• Sammlung weiterer Zugangsdaten;
• Zugriff auf Systeme und Netzwerke;
• Nutzung sekundärer Umgebungen wie Backup- und Testplattformen;
• Exfiltration personenbezogener Mitarbeiterdaten;
• Installation persistenter Backdoors in Webanwendungen;
• Überprüfung der Ergebnisse und Optimierung der nachfolgenden Phasen.

Für die Kampagne sollen keine Zero-Day-Schwachstellen erforderlich gewesen sein. Die Betreiber kombinierten Social Engineering, bereits bekannte Schwachstellen, den Diebstahl von Zugangsdaten sowie den Missbrauch von Fehlkonfigurationen oder zusätzlichen Umgebungen. Das relativiert die Annahme, der Einsatz künstlicher Intelligenz mache eine unbekannte Schwachstelle zwingend erforderlich: KI kann stattdessen die Wirksamkeit bereits verfügbarer Techniken drastisch erhöhen.

Die Hypothese eines Angriffs auf Taiwan

Dream hat die Operation offiziell keiner bestimmten Gruppe zugeschrieben. Die Verwendung von vereinfachtem Chinesisch ist mit chinesischsprachigen Akteuren vereinbar, die häufig mit dem chinesischen Festland in Verbindung gebracht werden. Sie stellt jedoch keinen Beleg für einen staatlichen Ursprung des Angriffs dar.

Als mögliches Ziel gilt Taiwan. Die zunächst von der Financial Times veröffentlichte Hypothese wurde von Dream bislang nicht öffentlich bestätigt, um die eigenen Kunden zu schützen.

Am 13. August teilte das taiwanische Ministerium für digitale Angelegenheiten, das MODA, mit, im Juli anomale Angriffe auf Regierungsbehörden festgestellt zu haben. Die Untersuchung wurde gemeinsam mit dem National Institute of Cyber Security (NICS) durchgeführt.

Die taiwanischen Behörden gaben am 20. Juli interne Warnungen heraus und leiteten Untersuchungen ein, die am 13. August abgeschlossen wurden. Nach Angaben des MODA wies die Aktivität ein hybrides Muster auf: Menschliche Operatoren koordinierten KI-Agenten wie OpenClaw, die verschiedene Techniken rasch miteinander verknüpfen und Backup- oder Testsysteme als Sprungbrett zu weiteren Zielen nutzen konnten.

Die Kampagne gegen das Regierungsziel soll vom 1. bis 4. Juli stattgefunden haben. Dream stellte am 2. Juli erste Anzeichen fest und setzte die Analyse in den folgenden Wochen fort. Diese Abfolge stimmt mit der taiwanischen Hypothese überein, beweist sie jedoch nicht.

Auch die Identität der Betreiber bleibt unklar. Dream überwacht mehr als 100 Bedrohungsgruppen, konnte die beobachteten Taktiken jedoch keiner bereits bekannten Gruppe eindeutig zuordnen.

Mitarbeiterdaten und persistente Backdoors

Die potenziellen Auswirkungen betreffen sowohl die Vertraulichkeit von Informationen als auch die Fähigkeit, langfristig Zugriff auf Systeme zu behalten. Der Diebstahl von Mitarbeiterdaten kann spätere Kampagnen mit gezieltem Phishing, Identitätsmissbrauch und der Kompromittierung von Konten erleichtern.

Die Installation von Backdoors in staatlichen Webanwendungen schafft hingegen einen Mechanismus zur Persistenz. Selbst nach der Entfernung des ursprünglichen Zugangs könnten die Angreifer versuchen, über veränderte Komponenten oder bereits gestohlene Zugangsdaten erneut einzudringen.

Der Missbrauch von Backup-, Entwicklungs- und Testumgebungen vergrößert die Angriffsfläche zusätzlich. Diese Systeme werden häufig weniger intensiv überwacht als Produktionsumgebungen, können jedoch Konfigurationen, Secrets, Datenbankkopien oder privilegierte Verbindungen zum Hauptnetz enthalten.

Amir Becker, Chief Business and Strategy Officer bei Dream und ehemaliger Kommandeur der Cyber-Operations-Abteilung der israelischen Einheit 8200, zufolge verändern sich Geschwindigkeit, Umfang und Kosten offensiver Operationen rapide. Eine Verteidigung, die ausschließlich auf manuellen Prozessen beruht, könnte mit dem Tempo von Systemen, die parallel arbeiten können, nicht Schritt halten.

Carl Wright, Chief Commercial Officer von AttackIQ und ehemaliger CISO des US Marine Corps, wies auf ein weiteres Risiko hin: Gegen regionale Ziele entwickelte Fähigkeiten könnten weiter verbessert und anschließend gegen Organisationen in anderen Ländern eingesetzt werden.

Taiwan und Südkorea könnten für chinesische und nordkoreanische Akteure sowie kriminelle Gruppen zu Testumgebungen werden. Nach der Optimierung der Techniken könnten dieselben Tools gegen Betreiber im Vereinigten Königreich, in den USA oder in anderen Ländern eingesetzt werden.

Prioritäten für die Verteidigung

Organisationen sollten bei den Angriffsflächen ansetzen, die in der Kampagne tatsächlich ausgenutzt wurden: APIs, Webanwendungen, Authentifizierungssysteme und sekundäre Umgebungen. Da keine Zero-Day-Schwachstellen erforderlich waren, sind das Management bekannter Schwachstellen und die Behebung von Fehlkonfigurationen besonders wichtig.

Zu den operativen Prioritäten gehören:

• Multi-Faktor-Authentifizierung für Mitarbeiterkonten aktivieren;
• anomale Versuche zum Cracken und zur Wiederverwendung von Zugangsdaten erkennen;
• Backup-, Entwicklungs- und Testumgebungen von Produktionsumgebungen trennen;
• Verbindungen und Berechtigungen zwischen sekundären Systemen und Hauptnetzwerken kontrollieren;
• persistente Änderungen an Webanwendungen überwachen;
• nach neuen Backdoors, unerwarteten Konten und nicht autorisierten Zugriffsschlüsseln suchen;
• Ereignisse aus Konten, APIs, Endpunkten und verschiedenen Systemen korrelieren;
• KI-Modelle gegen manipulative Anfragen testen, die als Penetration-Testing-Aktivitäten getarnt sind;
• KI-Agenten für autorisiertes Threat Hunting, Adversary Emulation und die Überprüfung von Angriffsflächen einsetzen.

Im Zusammenhang mit dem Vorfall wurden keine CVE-Kennungen gemeldet. Die Reaktion kann sich daher nicht auf die Installation eines einzelnen Patches beschränken: Erforderlich sind Identitätskontrolle, Segmentierung, kontinuierliche Überwachung und eine automatisierte Überprüfung von Angriffspfaden.

Der Fall zeigt vor allem einen organisatorischen Wandel. Angreifer kombinieren menschliche Steuerung mit Agenten, die recherchieren, ausprobieren, bewerten und wiederholen können. Verteidiger müssen dasselbe tun, dabei jedoch strenge Autorisierungen, Nachvollziehbarkeit und klare Grenzen für die eingesetzten Systeme gewährleisten.