Kommentar von Ismael Valenzuela, Arctic Wolf KI senkt Einstiegshürden für die Entwicklung von Schadsoftware

Die zunehmende Verbreitung von Künstlicher Intelligenz (KI) verändert nicht nur Geschäftsmodelle und Entwicklungsprozesse, sondern auch die Bedrohungslandschaft im Cyberspace. Das bestätigt auch eine aktuelle Analyse von Arctic Wolf: KI ist längst fester Bestandteil im Werkzeugkasten von Angreifern geworden, was zu weitreichenden Konsequenzen für Verteidigungsstrategien führt.

Noch vor wenigen Jahren erforderte die Entwicklung funktionaler Schadsoftware tiefgehende Programmierkenntnisse. Diese Hürde sinkt nun deutlich. Large Language Models (LLMs) ermöglichen es auch weniger erfahrenen Bedrohungsakteuren, funktionsfähige Malware zu erstellen – ohne große „Qualitätseinbußen“.

Die Analyse zeigt, dass sich Angreifer zunehmend iterativ an funktionierenden Code herantasten: von fehlerhaften Proof-of-Concepts hin zu operativ einsetzbaren Varianten. KI beschleunigt diesen Prozess erheblich und verkürzt die Zeitspanne zwischen Idee und einsatzfähigem Angriffswerkzeug. Diese Entwicklung zielt nicht unbedingt – zumindest nicht nur – auf eine qualitative Revolution einzelner Malware-Familien ab, sondern führt vor allem zu einer quantitativen Ausweitung: Mehr Akteure sind in der Lage, Malware zu produzieren, und das in immer kürzerer Zeit.

Zunahme neuer Schadsoftware

Vor allem der hohe Anteil bislang unbekannter Malware steigt. Rund 39 Prozent der analysierten Samples wurden in der Arctic-Wolf-Analyse zum Zeitpunkt ihrer Erfassung von signaturbasierten Antivirenlösungen nicht erkannt. Das deutet darauf hin, dass viele dieser Varianten strukturell neu sind und nicht auf bekannten Mustern basieren. Gleichzeitig zeigt sich, dass nur ein sehr kleiner Teil von etwa 1,4 Prozent eindeutig bekannten Bedrohungsakteuren oder gezielten Kampagnen zugeordnet werden kann. Der Großteil der KI-generierten Malware stammt aus einem breiten Feld weniger erfahrener oder bislang unbekannter Cyberkrimineller. Damit verschiebt sich das Bedrohungsbild: Weg von einer kleinen Zahl hochspezialisierter Gruppen hin zu einer deutlich breiteren Basis an Angreifern mit unterschiedlich ausgeprägten Fähigkeiten, aber hochmodernen Tools.

Gartner-Prognose zu GenAI-Sicherheit

MCP macht GenAI angreifbarer

KI als integraler Bestandteil innovativer Malware

Neben dem Einsatz von KI als Unterstützungshilfe bei der Entwicklung von Schadsoftware wird die moderne Technologie auch zunehmend direkt in Malware integriert. Es fanden sich Hinweise darauf, dass ein wachsender Anteil an Malware API-Schnittstellen zu Sprachmodellen aufweisen.

Derzeit sind diese KI-Funktionen meist noch einfacher Art, etwa zur dynamischen Generierung von Texten oder Variablen. Perspektivisch deutet sich jedoch eine Entwicklung hin zu adaptiver Malware an, die situativ auf ihre Umgebung reagieren kann. Diese Verschiebung hat das Potenzial, klassische Erkennungsmethoden zusätzlich unter Druck zu setzen, insbesondere wenn sich Malware dynamisch und in rasender Geschwindigkeit an Verteidigungsmaßnahmen anpasst.

Typische Hinweise auf KI-generierte Malware

Trotz aller Fortschritte hinterlässt auch KI-generierter Code charakteristische Muster. Dazu gehören etwa ungewöhnlich ausführliche Kommentare, strukturierte Aufgabenlisten und Formatierungen oder auch Artefakte aus Webrecherchen, die versehentlich in den Code eingearbeitet werden.

Solche Merkmale ermöglichen es Sicherheitsverantwortlichen, KI-unterstützte Malware zu identifizieren und geben gleichzeitig Einblick in die Arbeitsweise der Cyberkriminellen. Auffällig ist zudem, dass sich klare Cluster nach Sprache und Entwicklungsstil erkennen lassen, die auf unterschiedliche Akteursgruppen hinweisen.

Ein Beispiel ist die starke Verbreitung von Tools wie DeepSeek R1, dessen Veröffentlichung Anfang 2025 mit einem deutlichen Anstieg entsprechender Malware-Samples einherging. Die schnelle Adaption solcher Modelle unterstreicht die Dynamik, mit der neue Technologien in die Angriffsökonomie integriert werden.

Claude Mythos Preview

Diese enorme Gefahr geht von Anthropics neuem KI-Modell aus

Iteratives Lernen auf Angreiferseite

Nicht jede KI-generierte Schadsoftware ist umgehend funktionsfähig. Ein Teil der untersuchten Exemplare war fehlerhaft oder nicht ausführbar. Dennoch liefern auch diese Beispiele wichtige Erkenntnisse: Sie dokumentieren den Lernprozess der Angreifer.

Durch wiederholtes Prompting, Testen und Anpassen nähern sich auch weniger erfahrene Bedrohungsakteure schrittweise funktionierenden Angriffswerkzeugen an. KI fungiert hier als Katalysator, der die Lücke zwischen Absicht und technischer Umsetzung verkleinert. Langfristig führt das zu einer breiteren und dynamischeren Bedrohungslandschaft. Ein Utopia für weniger begabte Hacker und jene, die es werden wollen.

Grenzen der KI: Verhalten bleibt erkennbar

Trotz aller Veränderungen bleibt ein zentraler Punkt bestehen: Malware muss bestimmte Aktionen ausführen, um wirksam zu sein. Dazu gehören etwa Persistenzmechanismen, Netzwerkkommunikation mit Command-and-Control-Servern oder das Ausführen von Skripten und Systembefehlen.

Diese Aktivitäten hinterlassen Spuren, die unabhängig von der Entstehungsweise der Malware beobachtbar sind. Genau hier liegt ein entscheidender Vorteil auf Seite der Verteidiger.

Auch KI-generierte Schadsoftware folgt letzten Endes bekannten Mustern im Verhalten – selbst wenn ihr Code neu oder ungewöhnlich ist.

Kommentar von Eugeny Malyutin, Sumsub

Autonome AI Fraud Agents läuten die nächste Ära des Identitätsbetrugs ein

Mehrschichtige Verteidigung als Schlüssel

Vor diesem Hintergrund bleibt ein mehrschichtiger Sicherheitsansatz entscheidend. Klassische signaturbasierte Verfahren bilden weiterhin eine wichtige Grundlage, insbesondere zur schnellen Erkennung bekannter Bedrohungen.

Darüber hinaus gewinnt die verhaltensbasierte Analyse an Bedeutung. Sie ermöglicht es, auch neuartige, stark adaptive oder sich variierende Malware anhand typischer Aktivitätsmuster zu identifizieren, etwa durch ungewöhnliche Prozessketten, verdächtige Netzwerkverbindungen oder Anomalien im Systemverhalten.

Ergänzend dazu spielen Machine-Learning-Verfahren eine zunehmend wichtige Rolle. Sie können große Mengen an Telemetriedaten auswerten und Muster erkennen, die sich nicht durch einzelne Regeln abbilden lassen. Entscheidend ist dabei jedoch die Kombination dieser Ansätze: Erst das Zusammenspiel verschiedener Erkennungsmethoden ermöglicht eine robuste Abwehr.

Unternehmen, die nicht die notwenigen Ressourcen abstellen können, um eine umfassende Sicherheitsstrategie durchzuführen und Detection-and-Response-Maßnahmen zu etablieren können sich an einen Security-Experten wie Arctic Wolf wenden, der die nötigen Security Operations und Threat-Intelligence-Analysen durchführt und dazu Manpower, Know-how und Tools – ebenfalls KI-gestützt – einbringt und so Erkennung von KI-gestützten Cyberangriffen ermöglicht und die Cyberresilienz fördert.

Fazit: Evolution statt Revolution

Die aktuelle Entwicklung zeigt klar: KI verändert die Cyberbedrohungslandschaft nicht durch völlig neue Angriffskonzepte, sondern durch Geschwindigkeit, Skalierung und Zugänglichkeit.

Malware wird nicht zwingend komplexer, aber sie entsteht schneller, in größerer Zahl und durch eine breitere Gruppe von Akteuren. Gleichzeitig bleiben grundlegende Angriffsmuster bestehen – und damit auch Ansatzpunkte für die Verteidigung.

Für Unternehmen und Sicherheitsverantwortliche bedeutet das: Der Fokus sollte weniger auf der Frage liegen, ob Malware mit oder ohne KI entwickelt wurde. Entscheidend ist vielmehr die Fähigkeit, Angriffsverhalten über verschiedene Ebenen hinweg zu erkennen und einzuordnen.

Die wirksamste Antwort auf KI-gestützte Cyberbedrohungen bleibt daher eine integrierte, mehrschichtige Sicherheitsstrategie, die Sichtbarkeit, Kontext und Analyse über alle relevanten Systeme hinweg miteinander verbindet sowie das konsequente und kontinuierliche Durchführen von Basismaßnahmen zu den auch Awareness-Trainings und Ausbau der Cyberhygiene zählt.

HP Wolf Security Threat Report

Schnell statt ausgefeilt: KI macht Cyberangriffe zur Massenware

(ID:50816485)