Verdecktes Hacker-Tool zielt auf KI-Infrastruktur und versteckt sich in den blinden Flecken der Opfer

Das Unternehmen CrowdStrike hat einen Netzwerkwurm entdeckt, der die Lieferkette von KI-Software angreift. Angreifer nutzen ihn, um Zugriffstoken, kryptografische Schlüssel und Server-Anmeldedaten zu stehlen sowie Dateien zu löschen und den Zugriff auf die kompromittierte Infrastruktur zu blockieren. Der Wurm arbeitet mehrstufig: Zunächst führt er eine Aufklärung durch und sucht dann nach sensiblen Daten, einschließlich npm-Token, die Zugriff auf Paketverwaltungsserver gewähren. Nachdem er Berechtigungen erlangt hat, setzt er einen „Kill Switch“ zur Datenvernichtung ein. Die größte Herausforderung bei der Erkennung besteht darin, dass die Aktivität des Wurms nahezu nicht von legitimen Handlungen KI-gestützter Codeentwicklungsagenten zu unterscheiden ist und die Telemetrie aufgrund überlappender Muster überlastet ist. Zudem erschweren eingebaute Ausführungsverzögerungen (von Stunden bis zu Tagen) die Herstellung von Kausalzusammenhängen. CrowdStrike bringt den Wurm nicht mit einer bestimmten Gruppe in Verbindung, stellt jedoch fest, dass er in die Weiterentwicklung von Angriffen auf KI-Infrastruktur durch Gruppen wie TeamPCP (Altered Spider) und nordkoreanische Hacker passt.