Das Auftreten von VOLTA, einem sich selbst löschenden Windows-Infostealer, ist ein weiteres Beispiel dafür, wie Cyberkriminelle KI gezielt einsetzen, um etablierte Angriffsmethoden zu skalieren. Nachdem Zugangsdaten und Sitzungstoken gestohlen wurden, übermittelt VOLTA ein Profil des Opfers an ein Large Language Model (LLM). Dieses bewertet die gestohlenen Daten des Opfers nach ihrem wirtschaftlichen Verwertungspotenzial und liefert dem Angreifer eine entsprechend priorisierte Übersicht. Talos bezeichnet diesen Vorgang als „Effort Displacement“ (Verlagerung des Aufwands): Die KI übernimmt dabei die Rolle des menschlichen Analysten. Dadurch können Angreifer kompromittierte Unternehmensumgebungen mit einer bisher unerreichten Geschwindigkeit analysieren und priorisieren.
Infostealer sind darauf ausgelegt, möglichst sämtliche verfügbaren Daten abzugreifen. Ihr Hauptziel sind jedoch zunehmend Unternehmenszugänge. VOLTA sammelt Microsoft-OAuth-Tokens sowie SSH-Schlüssel und Zugangsschlüssel zu Cloud-Anbietern. Darüber hinaus erfasst das Opferprofil Informationen über den Arbeitgeber, die Unternehmens-Domain und die genutzten Slack-Workspaces. Obwohl VOLTA noch relativ neu ist, hat sich diese Angriffsmethode bereits hervorgetan: Bei mehreren aufsehenerregenden Sicherheitsvorfällen der jüngeren Vergangenheit, darunter den Angriffen auf Kunden von Snowflake, kam Infostealer-Malware in erheblichem Umfang zum Einsatz, um gültige Zugangsdaten abzugreifen.
Infostealer bilden häufig den ersten Schritt bei folgenschweren Ransomware-Angriffen oder Datenerpressungen. Der Grund: Gestohlene Zugangsdaten oder Sitzungstokens lassen sich wie die Zugangsdaten eines legitimen Benutzers verwenden. VOLTA verdeutlicht, dass KI inzwischen auch dazu eingesetzt wird, den wirtschaftlichen Wert gestohlener digitaler Identitäten zu ermitteln. Unternehmen sollten daher sämtliche Zugangsdaten und Sitzungstoken auf Endgeräten als besonders schützenswerte und hochwertige Angriffsziele betrachten. Um sich dagegen zu verteidigen, sind ein konsequenter Zero-Trust-Ansatz, eine strikte Umsetzung des Least-Privilege-Prinzips (Vergabe nur der unbedingt erforderlichen Berechtigungen) sowie ein robustes Secrets Management erforderlich. Nur so lässt sich sicherstellen, dass selbst bei der Kompromittierung eines Endgeräts die Auswirkungen des Angriffs möglichst stark begrenzt bleiben.
Die KI-gestützte Bewertung gestohlener digitaler Ressourcen unterstreicht zudem die Dringlichkeit der Einhaltung regulatorischer Anforderungen. Auch wenn das tatsächliche Ausmaß der Verbreitung von VOLTA bislang nicht bestätigt ist, zielen die von der Malware erfassten Zugangsdaten und Sitzungstoken genau auf jene Informationen ab, die Unternehmen gemäß Regelwerken wie NIS2 schützen müssen. Dazu gehören insbesondere die Zugriffskontrolle sowie – sofern angemessen – eine Multi-Faktor-Authentifizierung oder eine kontinuierliche Authentifizierung.
Über Keeper Security
Keeper Security ist die führende Zero-Trust- und Zero-Knowledge-Lösung für Identitätssicherheit, der Millionen von Menschen und Tausende von Organisationen weltweit vertrauen. KeeperPAM ist die Privileged-Access-Management-Plattform von Keeper, die Passwort- und Passkeymanagement, Geheimnisverwaltung, privilegiertes Sitzungsmanagement und Endpoint Privilege Management in einer einzigen Cloud-nativen Plattform vereint, geschützt durch quantenresistente Verschlüsselung. KeeperAI bietet KI-basierte Bedrohungserkennung in Echtzeit für jede privilegierte Sitzung. Da KI-Agenten immer häufiger anzutreffen sind und die Identität zur entscheidenden Angriffsfläche wird, regelt Keeper den Zugriff für Menschen, Maschinen, nicht-menschliche Identitäten und KI-Agenten, und dient als einheitliche Kontrollebene für Zugriff, Compliance und Transparenz im gesamten Unternehmen. Weitere Informationen finden Sie unter http://keepersecurity.com/ KeeperSecurity.com.
Weitere Informationen: KeeperSecurity.com
Pressekontakt für Keeper in DACH
Alexandra Schmidt, +49 170 387 10 64
Thilo Christ, +49 171 622 06 10
