KI-Angriffe der Woche: Festnahme in Seoul nach Einbrüchen mit KI in rund 60 Firmen (KW 44/2026)

Berichtszeitraum: 26. Oktober bis 1. November 2026.

Südkorea: Festnahme nach Einbrüchen mit einem KI-Angriffswerkzeug

Die Cyber-Ermittlungsabteilung der Polizei Seoul hat am 26. Oktober mitgeteilt, dass sie einen 32-Jährigen in Untersuchungshaft an die Staatsanwaltschaft übergeben hat. So berichten koreanische Medien wie Dailysecu und ZDNet Korea. Gegen sechs Mitbeschuldigte wird ohne Haft ermittelt. Die Gruppe soll von September 2025 bis Oktober 2026 in die Netze von rund 90 Firmen eingedrungen sein, darunter Nachhilfeschulen, Kliniken, Golfplätze, Hochschulen und Bestattungsunternehmen. Erbeutet hat sie laut Polizei rund 8,2 Millionen Datensätze mit persönlichen Daten und internen Unterlagen. 38 Firmen erhielten Erpressermails mit Forderungen von zusammen 360 Millionen Won, bezahlt hat nach bisherigem Stand eine.

Vom 31. August bis 13. Oktober drang er laut Polizei mit KI in rund 60 Firmen ein, also in 44 Tagen. Festgestellt wurde der Einsatz von ARTEX, einem quelloffenen Werkzeug, in dem KI-Agenten einen Penetrationstest weitgehend selbst durchführen. Der Mann kombinierte es mit einem Coding-Agenten. Die Polizei schließt daraus, dass für Einbrüche in diesem Umfang heute keine professionelle Hackergruppe mehr nötig ist. Nach ihren Angaben ist es die erste Festnahme in Südkorea wegen groß angelegter Einbrüche mit generativer KI.

Rolle der KI: Laut Polizei weitete der Beschuldigte seine Angriffe mit dem KI-Werkzeug deutlich aus. Rund 60 der 90 Firmen fallen in die 44 Tage, in denen er mit KI arbeitete.

Wie gut belegt: Die Angaben stammen von der Polizei, die Mitteilung selbst war für uns nicht abrufbar. Wir stützen uns auf mehrere koreanische Medien, die übereinstimmend berichten. Mit den Angriffen auf koreanische Finanzunternehmen aus KW 41 teilt der Fall das Werkzeug, einen Zusammenhang hat die Polizei laut Seoul Economic Daily nicht festgestellt. Das Verfahren liegt bei der Staatsanwaltschaft. Für den Beschuldigten gilt die Unschuldsvermutung.

ARTEX bei Spionage und Erpressung

CrowdStrike beschreibt eine Kampagne der Gruppe, die es VAPOR PANDA nennt und China zuordnet. Ab dem 17. Oktober griff sie mit ARTEX mehr als 200 Organisationen an, darunter Außenministerien in vier Weltregionen. In neun Organisationen bestätigt CrowdStrike, dass die Angreifer eingedrungen sind. Ein Bediener ließ mehrere Einbrüche gleichzeitig laufen und griff nur an Entscheidungspunkten ein. Bei einer griechischen Regierungsstelle gab er dem Agenten einen Verzeichnisexport des Mailservers aus dem Jahr 2022. Dessen Schlüssel waren wahrscheinlich seitdem nicht erneuert worden, und der Agent las damit Postfächer. CrowdStrike grenzt die Kampagne von Storm-0940 ab, über die wir in KW 43 berichtet haben.

Google beobachtet ARTEX und ähnliche Plattformen seit Ende August in eigenen Fällen der Incident Response. Genutzt wird ARTEX dort auch von Erpressern, die Daten stehlen. Microsoft meldet, dass seit Ende Oktober auch zwei nordkoreanische Gruppen ARTEX einsetzen.

Der britische Registrar 123 Reg nannte einen Einbruch vom 18. September gegenüber The Register den ersten bekannten Angriff mit KI auf das Unternehmen. Auf chinesischer Infrastruktur fand es KI-Skills für Angriffe, also Anleitungen für Agenten. ARTEX wurde nach Angaben von 123 Reg beim Angriff eingesetzt. Gelesen wurden Kundendaten wie Namen, Telefonnummern und gebuchte Produkte. Hinter dem Angriff vermutet 123 Reg eine staatsnahe chinesische Gruppe, belegt ist das nicht.

Rolle der KI: In den gut dokumentierten Fällen erledigen die Agenten Aufklärung, Ausbreitung im Netz und die Suche nach höheren Rechten. Menschen geben Ziele und Zugangsdaten vor und greifen an Entscheidungspunkten ein.

Wie gut belegt: CrowdStrike stützt sich auf eigene Telemetrie und auf Mitschriften der Agenten aus offen erreichbaren Verzeichnissen der Angreifer, Google auf eigene Ermittlungen. Microsoft nennt für Nordkorea keine Einzelheiten. 123 Reg bestätigt den Einbruch selbst und stützt die KI-Aussage auf eigene Funde, die Zuschreibung ist eine Vermutung.

KI-Entwicklerplattformen: Die Einbruchsserie geht weiter

Wiz zählt mindestens neun Plattformen für KI-Entwickler, die im Oktober Vorfälle gemeldet haben, darunter Railway und OpenCode aus unseren Vorwochen. In allen öffentlichen Berichten suchten die Angreifer gezielt nach gespeicherten Umgebungsvariablen, vor allem nach Schlüsseln für KI-Dienste. Eine gemeinsame Lücke sieht Wiz nicht.

Neu in dieser Woche: Northflank rät seinen Kunden, alle Umgebungsvariablen als entschlüsselt zu betrachten. Mehrere Kunden bestätigen, dass ihre KI-Schlüssel missbraucht wurden. Command Code stoppte am 28. Oktober einen Vorfall, den es einem groß angelegten Distillation-Angriff auf Modelle von Anthropic und OpenAI zuordnet, und widerrief alle API-Schlüssel. Beim Terminal-Anbieter Warp kam der Angreifer laut dem Firmenchef wahrscheinlich über eine Lücke in einer Fremdkomponente herein und griff auf Protokolle der Agenten zu. Betroffen sein könnten höchstens rund ein Prozent der Nutzer. Der Angriff kam laut Warp offenbar von einem Schwarm von Agenten. Chainalysis meldet einen Einbruch mit „offensiven agentischen Techniken“. Dabei wurden Namen, E-Mail-Adressen und Rollen von Nutzern eingesehen, Ermittlungsinhalte nach bisherigem Stand nicht.

Rolle der KI: KI-Schlüssel sind Beute. Dass Angreifer dabei selbst KI-Agenten einsetzen, sagen Warp und Chainalysis, ohne es zu belegen.

Wie gut belegt: Die Einbrüche bestätigen die Betroffenen selbst. Ob dieselben Täter dahinterstehen, belegt keine Quelle.

Manipulierte Claude-Code-Erweiterung im Cursor-Marktplatz

Am 29. Oktober stand im Erweiterungsmarktplatz des KI-Editors Cursor rund elf Stunden lang eine manipulierte Fassung der Claude-Code-Erweiterung. Laut Cursor sammelte sie Angaben zum Rechner und versuchte, eine dauerhafte SSH-Hintertür einzurichten. Ohne Administratorrechte schlug der Schritt meist fehl. Den Schlüssel des Angreifers trug sie aber ein, sie richtete einen Autostart ein und schickte die Angaben zum Rechner an den Angreifer. Laut Cursor stammen die Fassungen nicht von Anthropic. Wie sie in den Marktplatz kamen, sagt Cursor nicht.

Wie gut belegt: vom Marktplatzbetreiber bestätigt. Die Schadsoftware selbst nutzt keine KI. Ziel waren Entwickler, die mit einem KI-Werkzeug arbeiten.

KI in Schadsoftware

Cisco Talos beschreibt den Infostealer VOLTA. Er schickt eine strukturierte Aufstellung der Beute an ein Sprachmodell, das bewertet, was sich zu Geld machen lässt. Lehnt ein Modell ab, weicht VOLTA auf eine Kette aus drei Modellen aus. SOCRadar fand bei der Erpressergruppe n0n einen Coding-Agenten, der Hunderte Angriffsskripte schrieb. Betroffen waren mindestens 23 Organisationen in 14 Ländern. Eingedrungen ist die Gruppe in allen dokumentierten Fällen mit schwachen oder gestohlenen Zugangsdaten.

Wie gut belegt: Analysen der Schadsoftware und der Täterserver. Wie verbreitet VOLTA ist, ist offen.

Lücken in KI-Werkzeugen

• LiteLLM Enterprise (GHSA-w4c7-34wj-hqm8): Eine Anfrage ohne Anmeldung konnte den Proxy eine lokale Datei lesen und an den Angreifer schicken lassen. Darüber ließen sich der Hauptschlüssel und die Schlüssel der KI-Anbieter auslesen. Kritisch, nur mit Enterprise-Lizenz, behoben.
• Claude Code (CVE-2026-88968): Unter macOS konnte Code in der Sandbox, etwa aus einem präparierten Repository, Dateien außerhalb des Arbeitsbereichs überschreiben. Behoben in 2.1.251.
• Cloudflare Workers AI (Bericht): Vom 27. August bis 9. September enthielten 155 Antworten des Modells GLM 5.3 Daten aus Anfragen anderer Kunden. Hinweise auf eine gezielte Ausnutzung fand Cloudflare nicht.

Wie gut belegt: vom Hersteller bestätigt. Ob die Lücken in LiteLLM und Claude Code ausgenutzt wurden, sagen die Hinweise nicht.

Was aus unserer Sicht folgt

• Alte Zugangsdaten erneuern. Bei der griechischen Regierungsstelle reichten Schlüssel aus einem vier Jahre alten Export, bei n0n schwache oder gestohlene Passwörter. CrowdStrike schätzt, dass ein Angreifer mit Agenten mehr Ziele gleichzeitig angehen kann als von Hand.
• Schlüssel für KI-Dienste wie Geld behandeln. Wer sie bei einer der betroffenen Plattformen hinterlegt hat, sollte sie erneuern. Ausgabenlimits begrenzen den Schaden, Warnungen bei ungewöhnlichem Verbrauch geben Anlass zur Prüfung.
• Auf schnelle Befehlsfolgen achten. Google beschreibt ARTEX als auffällig: Befehlsfolgen von 2 bis 25 Sekunden und viel Ausprobieren. Ein Monitoring, das solche Muster meldet, hat gute Chancen, die Agenten zu bemerken.
• Wer die Claude-Code-Erweiterung am 29. Oktober über Cursor installiert oder aktualisiert hat, sollte den Hinweisen von Cursor folgen. Die Erweiterung zu deinstallieren genügt laut Cursor womöglich nicht.

Auswahl und Belege

Aufgenommen werden Meldungen, bei denen KI für den Angriff wesentlich war, als Werkzeug, als Ziel oder zur Täuschung. Jede Aussage ist an der verlinkten Quelle geprüft, in der Regel an der Primärquelle. Wo nur Medienberichte vorliegen, sagen wir das. Wir unterscheiden, ob ein Vorfall vom Betroffenen, einer Behörde oder dem Hersteller bestätigt ist oder bisher nur berichtet wird. Hinweise auf Fehler nehmen wir gern entgegen und machen Korrekturen sichtbar.