Künstliche Intelligenz (KI) und große Sprachmodelle (LLMs) haben sich rasant weiterentwickelt. Auch kriminelle Akteure nutzen diese Fortschritte, um Schadcode effizienter, anpassungsfähiger und schwerer erkennbar zu gestalten. Betrachten wir, wie KI für alle Phasen eines Angriffs – von der Entwicklung über die Modifikation bis zur Ausführung – eingesetzt wird.

KI-gestützte Malware ist derzeit noch seltener als klassische Schadsoftware, die Verbreitung nimmt aber stetig zu. Viele Angriffsformen zielen auch hier darauf ab, dass ein Opfer auf einen Download-Link oder eine Datei klickt, um die schädliche Aktivität auszulösen. Allerdings existieren bereits Proof-of-Concepts für KI-Würmer, die autonom Netzwerke scannen und Exploits ausführen – ohne direkte Benutzerinteraktion.

Tarnen, tricksen, täuschen:

KI-generierte oder modifizierte Schadsoftware ist flexibler, beweglicher und vielgestaltiger, um den jeweiligen Angriffszweck zu erreichen.

Dazu zwei konkrete Beispiele aus der Praxis:

• Polymorphe AI-Malware POC: Forscher präsentierten Proof-of-Concepts für KI-Würmer, die autonom Netzwerke scannen, Lücken identifizieren und Exploits ausführen – ganz ohne direkte Opfer-Interaktion. Palo Alto Networks demonstrierte etwa, wie ein „AI Worm“ selbstständig Ziele anpingen und kompromittieren kann, sobald eine ungesicherte Schnittstelle offensteht.

• Koske, LameHug und FunkSec: das sind aktuell verbreitete Malware-Familien, die KI nutzen, um Schwachstellen automatisch zu erkennen, Exploits zu generieren und ihre Payloads zur Laufzeit anzupassen. Diese drei Varianten belegen bereits in der Praxis den Einzug von KI in moderne Cyberangriffe.

Die Erkennung von KI-Schadsoftware wird also deutlich anspruchsvoller. Bleibt aber machbar, worauf wir hier noch eingehen werden.

Cyber-Hub statt Hinterhofzimmer

Neben der Erstellung von raffinierten Phishing-Kampagnen nutzen Kriminelle die Möglichkeiten von KI-Modellen für die Entwicklung von Schadsoftware. Einerseits für die Arbeitserleichterung bei grundlegender Entwicklungsarbeit, andererseits zur Steuerung und Effizienz-Steigerung der Angriffsformen:

KI bei Entwicklung neuer Schadsoftware:

• Erstellen von Proof-of-Concepts in Minuten statt Stunden
• Reduzierung manueller Syntax- und Logikfehler

KI bei Erstellung von Schadsoftware:

Nutzung von Large Language Models (LLMs) für

• Erzeugung von Exploit-Code und Payloads auf Basis weniger Stichworte
• Automatische Erstellung von Skripten für gängige Schwachstellen (z. B. SQL-Injection, RCE)
• Generative Modelle, die Signaturen, Byte-Folgen und Strukturen ändern können

KI zur Steuerung der Angriffe:

• Selbstanpassung während der Ausführung (Malware verändert sich on-the-fly, um Sandbox-Analysen zu entkommen)
• Reinforcement Learning zur Optimierung von Tarnungsstrategien (aus fehlgeschlagenen Versuchen lernen und Taktiken optimieren)
• Analyse von Signatur- und Verhaltensschutzmechanismen
• Anpassen des Payloads, bis Erkennungsschwellen unterschritten werden
• Kombination verschiedener Verschleierungsmethoden in Sekundenschnelle

Künstliche Intelligenz schafft also eine Vielzahl an neuen Optionen für Cyber-Kriminelle. Sowohl Qualität als auch Quantität von Schadsoftware-Attacken werden zunehmen. Für die Unternehmenssicherheit gilt es hier gegenzuhalten.

Neuen Angriffsformen solide begegnen

Für Hersteller von Security-Lösungen ist KI allerdings keineswegs neu, sie arbeiten zum Teil seit Jahrzehnten mit prädiktiven Technologien zur Erkennung neuartiger Schadsoftware.

Heutige Security-Plattformen bieten wichtige und solide Abwehrschichten auf allen Ebenen, um KI-Malware zuverlässig zu erkennen und abzuwehren:

• Verhaltensbasierte Engines erkennen ungewöhnliche Prozessaktivitäten und blockieren Exploits in Echtzeit.
• Anomalie-Detection nutzt Machine Learning, um Abweichungen im Systemprofil aufzuspüren.
• Cloudbasierte Sandbox-Umgebungen führen KI-gestützt verdächtige Dateien in isolierten Instanzen zur detaillierten Analyse aus
• EDR und SIEM zum Monitoring hinsichtlich verdächtiger Bewegungen und Anomalien auf den Rechnern und im Netzwerk

Für eine lückenlose Schutz-Strategie empfiehlt es sich, diese Methoden und Technologien in der kompletten IT-Infrastruktur zu etablieren – also auf PCs und Notebooks ebenso wie auf Servern und in Mail-Services. Durch Integration und Automatisierung ist hier mit wenig Aufwand das notwendige Sicherheitsniveau auch vor heute noch unbekannten Angriffsformen zu erreichen.

Fazit

KI-Malware ist heute noch nicht allgegenwärtig, aber auch keine Spielerei mehr. Mithilfe von KI können komplexe Angriffe realisiert werden, und das in kurzer Zeit. Mit aktuellen Security-Technologien sind IT-Landschaften aber auch dafür gut gerüstet.

Gut vorbereitet kann man KI-Schadsoftware gelassen entgegentreten.