Der Bedrohungs-Intelligenzbericht für das dritte Quartal von Rapid7 hat eine beispiellose Beschleunigung bei der Ausnutzung von Sicherheitslücken aufgedeckt. Angreifer starten ihre Angriffe auf hochriskante Schwachstellen nun im Durchschnitt innerhalb von drei Tagen nach deren Bekanntgabe, während 71 % davon allein in der ersten Woche nach der öffentlichen Enthüllung ausgenutzt wurden.
Wettlauf um kritische Schwachstellen und Ransomware-Dominanz
Die Daten zeigten, dass rund 79 % dieser Schwachstellen in die Kategorie der extrem gefährlichen Schwachstellen fallen, die in Sicherheitskreisen als „heiliger Gral“ (Holy Grail) bezeichnet werden, da sie eine Remote-Ausführung ermöglichen, ohne dass vorherige Anmeldeinformationen oder die Interaktion eines lokalen Benutzers erforderlich sind. Diese Beschleunigung setzt Schutz- und Cyberabwehrteams unter enormen Zeitdruck, Updates einzuspielen und Schwachstellen zu beheben, bevor sie sich in groß angelegte Hacks verwandeln.
Gleichzeitig behauptete Ransomware ihre Position als bösartigste und weltweit wirkungsvollste Bedrohung, wobei die Sektoren Unternehmensdienstleistungen, Fertigung und Gesundheitswesen die Liste der am stärksten gefährdeten Ziele anführten. Die Vereinigten Staaten standen mit 60 % der registrierten Angriffe an der Spitze der Zieländerländer, gefolgt von Deutschland mit 7 % sowie Italien und Kanada mit jeweils 5 %. Angriffe auf den Regierungssektor verzeichneten im Vergleich zum Vorquartal einen deutlichen Anstieg von 15 %.
Wichtigste Ransomware-Banden und Zielgruppenverteilung
An der Front der Akteure im Bereich der Cyberkriminalität führte eine Hauptgruppe von zwei Gruppierungen die Liste der erfolgreichen Angriffe an: Die Bande „The Gentlemen“ übernahm die Verantwortung für 342 Vorfälle, dicht gefolgt von der Bande „Qilin“ mit 339 Vorfällen. Der Rest der aktiven Liste umfasste Gruppen wie „INC Ransom“ mit rund 99 Angriffen, „DeadLock“ mit 98 Angriffen sowie „Krybit“ mit 95 angekündigten Angriffen.
Die reale Realität der künstlichen Intelligenz in Cyberoperationen
Entgegen der in Tech-Kreisen vorherrschenden Panikmache über die vollständige Dominanz KI-gestützter Angreifer zeigten die Ergebnisse des Berichts, dass KI-Tools bei nur 8 % aller verfolgten Vorfälle als operatives Element auftauchten. Die Analysen zeigten, dass Angriffe weiterhin durch direkte menschliche Entscheidungen gesteuert werden – wobei das menschliche Element in allen registrierten Fällen das Ziel und den Ausführungsmechanismus festlegt, während die Rolle der KI auf die Automatisierung der „mittleren taktischen Phase“ der Angriffskette beschränkt ist, wie etwa die Auswahl geeigneter Techniken, die Zielsortierung und die automatische Wiederherstellung bei Fehlschlägen eines bestimmten Schritts.
Rapid7 wies auf die Notwendigkeit hin, zwischen der Geschwindigkeit des Einsatzes von KI zur Schwachstellenerkennung und Code-Prüfung, die sich tatsächlich beschleunigt, und ihrer direkten Verwendung bei der Durchführung komplexer Exploits zu unterscheiden, die in den Felddaten noch nicht als Massenphänomen aufgetaucht ist. In diesem Zusammenhang greifen Angreifer zu Tricks wie der Fragmentierung von Befehlen und Prompts über mehrere interaktive Sitzungen hinweg (Multi-Session Prompting), um die Schutzmechanismen und Erkennungssysteme zu umgehen, die in KI-Modellen von Dienstleistern eingebaut sind.
Aktivitäten fortgeschrittener Bedrohungen und Initial-Access-Märkte
Der Bericht verzeichnete die Aktivitäten von 15 verschiedenen APT-Gruppen (Advanced Persistent Threats) und Cyberspionagebanden, die sich hauptsächlich auf Regierungsbehörden sowie die Sektoren Verteidigung, Transport, Medien und Energie konzentrierten. Dazu gehörten mit Russland verbundene Gruppen wie Sandworm und Void Blizzard, die chinesische Gruppe APT31 sowie die nordkoreanische Gruppe Lazarus, deren Verwendung eines zuvor nicht registrierten Malware-Pakets für Linux-Umgebungen dokumentiert wurde, das auf Infrastrukturen in Südkorea abzielt.
Auf den Plattformen des Dark Web setzte sich die Dominanz der Initial Access Broker (IABs) fort. Die Ankündigungen zeigten die Bereitstellung von Einbruchswegen, die von vollständigen Bankdaten bis hin zu einem dauerhaften Fußabdruck in Unternehmensnetzwerken reichten. Über 65 % der beobachteten Beiträge konzentrierten sich auf den Verkauf des Zugangs zum Remote Desktop Protocol (RDP) oder den Zugriff auf interne Netzwerke, was einen entscheidenden Frühindikator darstellt, den Verteidiger nutzen sollten, um zukünftige Angriffsvektoren zu erkennen.
Was das für Cyberabwehrteams bedeutet
Diese Verschiebung macht eine sofortige Neuordnung der Verteidigungsprioritäten innerhalb technischer Unternehmen erforderlich. Die Anforderungen im Umgang mit dieser Landschaft lassen sich wie folgt zusammenfassen:
- Verkürzung der Schwachstellen-Behebungszeit: Das monatliche Patching-Modell reicht für internetorientierte Schwachstellen nicht mehr aus. Die neue Rate (3 Tage) erfordert die Automatisierung des Einspielens von Updates und sofortiger Sperrmaßnahmen für offene Dienste.
- Überwachung des Verbrauchs von KI-APIs: Verfolgung von API-Anfragen, die von ungewohnten Geräten oder Prozessen innerhalb des Netzwerks ausgehen, um unbefugte Nutzungen intelligenter Tools frühzeitig zu erkennen.
- Härtung von Remote-Zugangspunkten: Verstärkte Überwachung von RDP-Ports und Anwendung der Multifaktor-Authentifizierung, um Initial Access Brokern die Ausnutzung von Netzwerken und deren Verkauf an Ransomware-Banden zu verwehren.