Bisher war es eine Befürchtung. Jetzt liegt es dokumentiert vor: Eine Ransomware-Bande hat einen KI-Agenten die Drecksarbeit machen lassen — Angriffe geplant, Befehle formuliert, Netze durchleuchtet.
Möglich wurde der Einblick durch einen Anfängerfehler der Angreifer selbst. Die Gruppe hinter der Ransomware Aurora ließ ein Verzeichnis ihrer Infrastruktur offen im Netz stehen. Die Sicherheitsfirmen CloudSEK und Gambit Security fanden dort das Werkzeugarsenal, die Kommandozeilen-Historie, den Verschlüsseler — und den kompletten Chatverlauf mit der KI.
WAS DER AGENT ERLEDIGEN SOLLTE
Zum Einsatz kam der Agentenmodus von Cursor, einem KI-Programmierassistenten, dahinter lief laut Gambit Security ein Sonnet-Modell von Anthropic. Zwischen dem 8. April und dem 21. Mai 2026 wurde der Agent gegen zehn Ziele eingesetzt.
Wichtig für die Einordnung: Der Agent hat nirgends selbst eingebrochen. Er bekam jeweils bereits Zugangsdaten oder einen fertigen Weg ins Netz gereicht. Danach übernahm er Aufgaben, die sonst ein Mensch tippt:
- VPN-Client oder proxychains installieren, konfigurieren und die Verbindung ins Opfernetz aufbauen
- interne Subnetze mit Nmap oder NetExec durchscannen
- die Windows-Domäne auslesen und berichten, welche Rechte ein Benutzer hat
- Angriffe gegen die Zertifikatsdienste des Active Directory fahren
Ein Detail aus dem Bericht ist besonders sprechend: Manchmal schlug der Agent selbst die nächsten Schritte vor — und der Angreifer antwortete nur mit einer Zahl aus der Liste. Angriff per Menüauswahl.
DIE GUTE NACHRICHT: ES LIEF SCHLECHT
Bevor jetzt alle in Panik verfallen, lohnt der nüchterne Blick in die Ergebnisse. Gambit Security schreibt, dass die Mehrzahl der Befehle beim ersten Versuch scheiterte. Es brauchte mehrere Anläufe, ständiges Nachbessern von Skripten, und manche Aufgaben endeten schlicht mit einem Fehlerbericht an den Angreifer.
Was hier passiert, ist also keine Automatisierung von Hacking auf Knopfdruck. Es ist eine Absenkung der Einstiegshürde. Wer die Werkzeuge nicht auswendig beherrscht, kommt trotzdem irgendwie voran — langsamer, lauter, fehleranfälliger. Genau das ist übrigens auch eine Chance für die Verteidigung: Mehr Fehlversuche bedeuten mehr Spuren in den Protokollen.
WER GETROFFEN WURDE
Aurora ist seit Mai 2026 bekannt und russischsprachig organisiert. Auffällig: Der Agent bekam ausdrücklich die Anweisung, Adressbereiche und Domains aus GUS-Staaten auszunehmen — das klassische Erkennungszeichen osteuropäischer Erpresserbanden.
CloudSEK spricht von Aktivität gegen mehr als 20 Organisationen in neun Ländern zwischen April und Juli 2026, vier davon stehen inzwischen auf der Leak-Seite. Nach einem Reuters-Bericht sind unter den betroffenen Firmen unter anderem der Torhersteller Teckentrup und der Textildienstleister Christeyns.
Technisch bemerkenswert: Der Verschlüsseler existiert für Windows und für Linux beziehungsweise ESXi, beides aus einer einzigen Zig-Codebasis gebaut. Die Linux-Variante versucht, vor dem Verschlüsseln sämtliche virtuellen Maschinen auf dem Host abzuschießen — wer virtualisiert, verliert also im Ernstfall alles auf einmal.
SO SCHÜTZT DU DICH
Der Einstieg lief bei Aurora nach Analyse von Black Hills Information Security oft ganz analog: Mail-Bombing, damit das Postfach überläuft, dann ein hilfsbereiter Anruf vom vermeintlichen IT-Support — und schon installiert das Opfer selbst das Fernwartungstool.
Daraus folgt die wichtigste Regel: Niemand aus der IT ruft unangekündigt an und lässt dich Software installieren. Rückruf über die bekannte interne Nummer, immer. Dazu kommen Zwei-Faktor auf allen Fernzugängen, Protokolle, die nicht der Angreifer löschen kann, und Backups außerhalb des Hypervisors — denn genau der ist bei dieser Bande das Ziel.