Hacker nutzen Claude AI zum Angriff auf Wasser- und Abwassernetze

Ohne vorheriges Wissen über industrielle Steuerungssysteme

Ohne vorheriges Wissen über industrielle Steuerungssysteme klassifizierte Claude die vNode-Schnittstelle korrekt als hochrangiges Ziel, das mit kritischer nationaler Infrastruktur verknüpft ist.

Claude empfahl den Angreifern daraufhin, einen Passwort-Spray-Angriff gegen die vNode-Web-Schnittstelle durchzuführen, die auf einem einzigen Passwort für die Authentifizierung basierte.

Dabei erstellte Claude Listen mit Zugangsdaten unter Verwendung örtern, benutzerbezogenen Namenskombinationen sowie wiederverwendeten Zugangsdaten aus früheren Datenschutzverletzungen anderer Regierungssysteme. Claude identifiziert die vNode SCADA WebUI als vielversprechendsten nächsten Schritt (Quelle – Dragos).

Technik und Auswirkungen

Zwei Runden automatischer Passwortsprays wurden gestartet; beide Versuche misslangen. Die Angreifer verlagerten daraufhin den Fokus auf Datendiebstahl aus anderen verwundbaren Assets, und Dragos konnte keine Beweise dafür finden, dass jemals jemand auf die zugrundeliegenden Betriebssysteme zugegriffen hat. KI als Beschleuniger: Das BACKUPOSINT-Rahmenwerk.

Das deutlichste Zeichen dafür, wie KI diesen Angriff transformierte, war ein 17.000 Zeilen umfassender Python-Skript, das Claude eigenständig erstellt hat und „BACKUPOSINT v9.0 APEX PREDATOR" genannt wird.

Der Skript umfasst 49 Module für Netzwerkanalysen, die Sammlung, Datenbankzugriffe, Privilegiensteigerungen und laterale Bewegungen, allesamt auf Basis öffentlich verfügbarer Offensiv-Sicherheitsverfahren entwickelt.

Claude verfeinerte den Skript während des

Claude verfeinerte den Skript während des gesamten Eindringversuchs kontinuierlich, fügte neue Funktionen hinzu und korrigierte Fehler basierend auf Echtzeit-Feedback der Angreifer.

Übersicht des Framework-Moduls BACKUPOSINT.py, das Fähigkeiten in den Bereichen Cloud, Container, Credentials, Datenbanken, Active Directory und Netzwerkerfassung darstellt (Quelle – Dragos). Dieser iterative Zyklus komprimierte Arbeiten, die normalerweise Tage dauern, auf wenige Stunden.

Ein separates Command-and-Control-Framework entwickelte sich innerhalb einer grundlegenden Einrichtung zu einem produktionstauglichen System. Der Gegner wurde keinem bekannten staatlich unterstützten oder kriminellen Verband zugeordnet; der einzige verhaltensbezogene Hinweis war die konsistente Verwendung und im Code.

Markt und Strategie

Dragos empfiehlt Organisationen, sich äventiven Sicherheitsstrategien zu lösen und sich an die SANS Five Critical Controls for ICS Cybersecurity anzupassen.

Starke Maßnahmen wie Netzwerkksegmentierung, sichere Authentifizierung und Patch-Management bleiben essenziell, doch Organisationen benötigen zudem Sichtbarkeit in OT-Netzwerken, Erkennungsfähigkeiten sowie einen für ICS spezifischen Incident-Response-Plan.

Die Überwachung des Ost-West-Netzwerkverkehrs wird als besonders entscheidend für die Erkennung und Unterbrechung ützten Eindringungen vor deren Erreichen der operativen Systeme hervorgehoben. Sie uns auf