KI-Angriffe der Woche: Ein agentisches Pentest-Werkzeug gegen Banken in Südkorea (KW 41/2026)

Berichtszeitraum: 5. bis 11. Oktober 2026.

Südkorea: Einbrüche mit ARTEX und Claude Code

CrowdStrike berichtet über eine gezielte Kampagne gegen Finanzinstitute in Südkorea, bei der Daten abgeflossen sind. Sie lief von Ende September bis Anfang Oktober. CrowdStrike zitiert dazu Branchenberichte. Danach drangen die Angreifer bei einer Bank in einen Dienst für Kreditvermittler ein, bei einer anderen in ein mobiles Arbeitssystem für Beschäftigte. Wie viele Institute betroffen sind, ist laut CrowdStrike unbestätigt.

Rolle der KI: In offenen Verzeichnissen des Angreifers fand CrowdStrike Sitzungsverläufe von Claude Code, Konfigurationsdateien von ARTEX und Memory-Dateien von Claude. ARTEX ist ein kürzlich veröffentlichtes, in China entwickeltes Open-Source-Werkzeug für agentisches Penetration Testing. Als Modell im Hintergrund diente laut CrowdStrike vor allem DeepSeek, ergänzt um weitere Modelle.

Den Angreifer stuft CrowdStrike mit mittlerer Sicherheit als wahrscheinlich chinesischsprachig und finanziell motiviert ein. Laut den Verläufen fragte er Claude auch, wo man erbeutete koreanische Daten verkauft.

Wie gut belegt: technischer Bericht mit direkten Artefakten. Die Einbrüche selbst übernimmt CrowdStrike aus koreanischen Berichten; eine Stellungnahme der Banken oder von Anthropic haben wir nicht gefunden.

PoeLLM: Ein Botnetz auf ungeschützten KI-Servern

Black Lotus Labs von Lumen beschreibt die Schadsoftware PoeLLM, die öffentlich erreichbare KI-Dienste angreift, vor allem verwundbare Installationen von LiteLLM und Ollama. Auf den übernommenen Servern installiert sie Programme zum Schürfen von Kryptowährung. Als wahrscheinlichen Einstieg nennt Lumen eine Command-Injection-Lücke in LiteLLM (CVE-2026-42271). Den Akteur ordnet Lumen einem italienischsprachigen Umfeld zu.

Rolle der KI: KI-Infrastruktur ist hier das Ziel. Laut Lumen betreiben die meisten Opfer verwundbare Versionen von Open-Source-KI-Diensten wie LiteLLM und Ollama.

Wie gut belegt: technischer Bericht mit Telemetrie. Die Zahl der Opfer nennt Lumen uneinheitlich, einmal mehr als 3.400 Server, an anderer Stelle fast 2.200. Zeitweise waren mehr als 800 Server am Tag aktiv.

Tensorlake: Wurm in einem SDK für KI-Sandboxes

Am 8. Oktober wurde über ein kompromittiertes Maintainer-Konto eine nicht autorisierte Version des npm-Pakets tensorlake veröffentlicht. Das Advisory des Herstellers nennt einen Wurm aus der Familie Shai-Hulud, der Zugangsdaten stiehlt. Die Version war rund eine Stunde und 40 Minuten verfügbar. Tensorlake hat nach eigenen Angaben keine Nutzung festgestellt.

Rolle der KI: Tensorlake stellt isolierte Sandboxes bereit, in denen von LLMs erzeugter Code läuft. Laut Hersteller sammelte die Schadsoftware unter anderem die Konfiguration von KI-Werkzeugen und MCP. Laut StepSecurity legte sie in erreichbaren Repositories eine Einstellungsdatei für Claude Code an, damit sie erneut startet, sobald jemand das Projekt in Claude Code öffnet. Wird das gestohlene GitHub-Token widerrufen, löscht sie laut Hersteller das Home-Verzeichnis.

Wie gut belegt: vom betroffenen Hersteller bestätigt.

Urteil: 18 Monate für Streamingbetrug mit KI-Musik

Ein Bundesgericht in New York hat Michael Smith am 6. Oktober zu 18 Monaten Haft verurteilt, wie die Staatsanwaltschaft mitteilt. Er ließ mit zeitweise bis zu 10.000 Bot-Konten Songs abspielen, die überwiegend mit KI erzeugt waren. So erschlich er mehr als 8 Millionen US-Dollar an Tantiemen. Die vielen Songs brauchte er laut Staatsanwaltschaft, um die Betrugserkennung der Streamingdienste zu umgehen.

Wie gut belegt: gerichtlich festgestellt.

Lücken in KI-Werkzeugen

• MCP-TypeScript-SDK (GHSA-6qxp-vccf-f47h, CVE-2026-104850): Das Gegenstück zur Lücke im Python-SDK aus KW 40. Ein bösartiger MCP-Server konnte bestimmen, an welchen Autorisierungsserver der Client seine OAuth-Zugangsdaten schickt. Behoben in 1.31.0 und 2.2.0.
• Ollama (CVE-2026-103663, gemeldet über CERT Polska): Ein nicht angemeldeter Angreifer konnte Dateien außerhalb des Modellspeichers ablegen. Hat der Server Schreibrechte auf das Programmverzeichnis, wie in den meisten Docker-Images von Ollama, wird der Code beim nächsten Neustart als root ausgeführt. Behoben in 0.35.0.

Wie gut belegt: von Maintainern bzw. der meldenden Stelle bestätigt. Angaben zu einer Ausnutzung enthalten beide Veröffentlichungen nicht.

Korrektur zu KW 40: DIVD

Das DIVD hat seine Fallakte am 9. Oktober überarbeitet. Laut neuer Fassung setzte der Angreifer KI-Agenten erst ein, nachdem er root-Rechte erlangt hatte. Als Belege nennt das DIVD die Menge an Artefakten in kurzer Zeit und Kommentare in den Skripten, in denen die Agenten miteinander zu sprechen scheinen.

Sicher abgeflossen sind laut DIVD E-Mail-Adressen von Freiwilligen, möglicherweise auch Kontaktdaten; die Untersuchung läuft. Erste Signale im Monitoring gab es innerhalb von Minuten, die erste Reaktion nach 19 Stunden.

Zammad hat beide Lücken in 7.2 und 7.2.2 behoben; die Linie 7.x war laut DIVD nicht betroffen. Unser Bericht aus KW 40 gab die frühere Fassung wieder. Wir haben ihn mit einem datierten Hinweis berichtigt.

Was aus unserer Sicht folgt

• Agentische Werkzeuge senken die Hürde. Der Fall aus Südkorea zeigt ein frei verfügbares Pentest-Werkzeug in der Hand eines Angreifers, den CrowdStrike mit mittlerer Sicherheit als wahrscheinlich finanziell motiviert einschätzt. Wir halten es für sinnvoll, Erkennung und Reaktion auf eine höhere Zahl gleichzeitiger Einbruchsversuche auszulegen.
• KI-Server gehören ins Inventar. LiteLLM, Ollama und ähnliche Dienste sollten nicht offen im Netz stehen und brauchen denselben Patch-Prozess wie andere Server.
• Entwicklerumgebungen prüfen. Wer tensorlake 0.5.144 installiert hatte, sollte die Hinweise des Herstellers befolgen. Einstellungsdateien von KI-Werkzeugen im Repository gehören in jedes Code-Review.
• MCP-Komponenten aktuell halten. Nach dem Python-SDK ist nun auch das TypeScript-SDK betroffen.

Auswahl und Belege

Aufgenommen werden Meldungen, bei denen KI für den Angriff wesentlich war, als Werkzeug, als Ziel oder zur Täuschung. Jede Aussage ist an der Primärquelle geprüft. Wir unterscheiden, ob ein Vorfall vom Betroffenen, einer Behörde oder dem Hersteller bestätigt ist oder bisher nur berichtet wird. Hinweise auf Fehler nehmen wir gern entgegen und machen Korrekturen sichtbar.