Cybersicherheitsexperten des Sicherheitsunternehmens Darktrace haben eine gezielte Schadsoftware-Kampagne identifiziert, die das derzeitige Interesse an Werkzeugen der Künstlichen Intelligenz (KI) ausnutzt.
Wie das Unternehmen im Juli berichtete, verbreiteten Angreifer den sogenannten Vidar-Infostealer über einen gefälschten Installer für die KI-Anwendung Google Gemini. Die Aktivitäten wurden primär in der EMEA-Region (Europa, Nahost und Afrika) beobachtet.
Der Angriffsweg ist dabei so gestaltet, dass potenzielle Opfer durch die Aussicht auf eine Desktop-Version der KI-Software angelockt werden. Hierzu nutzten die Hintermänner einen Lockvogel über die Plattform Google Colab.
Die bösartige Datei wird unter dem Namen „Download_Google_Gemini_For_Windows.exe“ verbreitet. Neben der Nutzung von Cloud-Infrastrukturen wie Google Colab wurde die Schadsoftware zusätzlich über eine Webseite namens „Windows Software Hub“ verteilt, um die Glaubwürdigkeit des Angebots zu erhöhen.
Funktionsweise des Vidar-Infostealers
Bei dem eingesetzten Vidar-Infostealer handelt es sich um eine spezialisierte Malware, die darauf ausgelegt ist, sensible Daten direkt von den Endgeräten der Nutzer zu entwenden. Laut den Analysen von Darktrace konzentriert sich die Schadsoftware insbesondere auf den Diebstahl von Browser-Anmeldedaten. Sobald das Programm ausgeführt wird, durchsucht es das System nach gespeicherten Passwörtern und Identifikationsmerkmalen in gängigen Webbrowsern.
Wer sich vor modernen Cyberrisiken wie dem Missbrauch von KI-Trends schützen möchte, muss die aktuellen Taktiken der Angreifer kennen. Dieser kostenlose Report klärt auf, welche rechtlichen Pflichten und Bedrohungen Unternehmer jetzt im Blick behalten müssen. Kostenlosen Cyber-Security-Report jetzt herunterladen
Ein markantes Merkmal dieser Kampagne ist die technische Infrastruktur für den Datenaustausch. Die Malware nutzt die Infrastruktur des Messengerdienstes Telegram, um Befehle zu empfangen oder gestohlene Daten zu exfiltrieren.
Als Command-and-Control-Server (C2) identifizierten die Forscher die Domain dtm[.]kijangturbo88[.]top. Über diese Verbindung wird die Kommunikation zwischen dem infizierten System und der Infrastruktur der Angreifer gesteuert.
Abwehrmaßnahmen und technische Indikatoren
In einem dokumentierten Vorfall im Juli gelang es den Sicherheitssystemen von Darktrace, die versuchte Kommunikation der Malware rechtzeitig zu unterbinden. Das Unternehmen teilte mit, dass die Verbindung zum schädlichen Server blockiert und das betroffene Gerät unmittelbar unter Quarantäne gestellt wurde, um eine weitere Ausbreitung im Netzwerk oder den Abfluss von Daten zu verhindern.
Zur Unterstützung von IT-Sicherheitsabteilungen wurden spezifische technische Merkmale (Indicators of Compromise, IoC) veröffentlicht. Dazu gehören die IP-Adressen 91.98.98[.]86 und 91.98.111[.]49 sowie die bereits erwähnte Domain dtm[.]kijangturbo88[.]top.
Da Cyberkriminelle immer häufiger auf psychologische Manipulation setzen, ist der proaktive Schutz der gesamten Belegschaft entscheidend. Experten erklären in diesem kostenlosen Anti-Phishing-Paket, wie Ihr Unternehmen sich wirksam gegen digitale Angriffe absichern kann. Gratis Anti-Phishing-Paket für Unternehmen sichern
Die bösartige ausführbare Datei lässt sich zudem über den SHA-256-Hash-Wert 1e13c2c9eac72daf63fd00a9946878949e159ae6ec51b54ec64f942d79d61913 eindeutig identifizieren.
Dieser Fall unterstreicht die anhaltende Tendenz von Cyberkriminellen, aktuelle Technologietrends als Köder für Social-Engineering-Angriffe zu nutzen. Da Google Gemini offiziell primär als Webbasiertes Tool oder über spezifische Integrationen zur Verfügung steht, stellen separate Installationsdateien für Windows-Systeme aus inoffiziellen Quellen ein erhebliches Sicherheitsrisiko dar.
Fachleute raten daher zur besonderen Vorsicht beim Download von Software, die nicht über die offiziellen Portale der jeweiligen Hersteller bezogen wird.
