Vibe-Coded Malware kartiert Active Directory

KI schreibt jetzt auch die Schadsoftware. Sicherheitsforscher haben einen Einbruch analysiert, bei dem ein Angreifer ein per Vibe-Coding erzeugtes PowerShell-Skript einsetzte, um ein Active Directory zu kartieren.

ENTLARVT: Das Skript verriet sich selbst

Die Forscher von Huntress fanden im Skript einen verräterischen Titel: „100% Working AD Information Gathering Script – FULLY FIXED“. Genau so klingt es, wenn jemand das Endergebnis eines Prompt-und-Fehler-Korrigier-Zyklus mit einem Chatbot einfach herauskopiert. Vibe-Coding heißt: Software nicht mehr per Hand tippen, sondern per Zuruf so lange von der KI erzeugen lassen, bis das Ergebnis passt.

So lief der Angriff

Der Täter verschaffte sich per RDP mit vorab gestohlenen Zugangsdaten Zugriff auf einen Domänen-Server und legte seine Werkzeuge unter C:\ProgramData\ ab. Das Skript suchte den Domain Controller, kartierte Nutzer, Rechner und Domänen, exportierte mehrere Dateien und erstellte am Ende einen AD_Report.html, um den Erfolg zu messen. Der Vorfall ereignete sich am 3. Juni 2026.

FAZIT: KI hilft — aber nicht beim Tarnen

Die unangenehme Nachricht: KI rüstet auch mittelmäßige Angreifer auf, die sich damit maßgeschneiderte Einmal-Skripte bauen. Die gute Nachricht: KI kann den Code zwar endlos umschreiben, aber die Grund-Verhaltensmuster einer AD-Enumeration nicht verstecken. Die tatsächlichen Systemaufrufe bleiben gleich – und damit erkennbar. Wer RDP absichert, gestohlene Zugänge schnell sperrt und AD-Abfragen überwacht, hält die Tür zu.

Häufige Fragen

Was bedeutet „vibe-gecodet“?

Vibe-Coding beschreibt das Erzeugen von Software durch iteratives Prompten einer KI in natürlicher Sprache, statt Code von Hand zu schreiben. Der Angreifer ließ sich so ein fertiges PowerShell-Skript für die AD-Enumeration generieren.

Wie sind die Angreifer reingekommen?

Über RDP mit bereits gestohlenen Zugangsdaten auf einen domänen-eingebundenen Windows-Server. Die eigentliche KI-Schadsoftware kam erst nach dem Erstzugriff zum Einsatz – der Einbruch selbst beruhte auf kompromittierten Konten.

Macht KI solche Angriffe gefährlicher?

Sie senkt die Einstiegshürde: Auch weniger versierte Täter bauen sich damit maßgeschneiderte Einmal-Skripte. Allerdings bleibt das Verhaltensmuster einer AD-Enumeration gleich und damit für Abwehrsysteme erkennbar.

Wie schütze ich mein Netzwerk?

Sichere RDP ab (kein offener Internet-Zugang, MFA), sperre kompromittierte Zugänge schnell und überwache ungewöhnliche AD-Abfragen. Da die Systemaufrufe der Enumeration konstant sind, greifen verhaltensbasierte Erkennungen zuverlässig.

Quellen: Huntress, The Hacker News.

KI BAUT DEN EINBRUCH! Angreifer lässt Chatbot sein Hacker-Skript schreiben — und kartiert dein Active Directory