KI-gestützte Cyberangriffe durch Midnight Blizzard

Midnight Blizzard ist in den vorliegenden Quellen kein Unternehmen, sondern ein Russland zugerechneter Bedrohungsakteur. Die US-amerikanischen und britischen Regierungen ordnen die Gruppe dem russischen Auslandsgeheimdienst SVR zu. Microsoft beschreibt Midnight Blizzard als Akteur, der vor allem Regierungen, diplomatische Einrichtungen, Nichtregierungsorganisationen und IT-Dienstleister in den USA und Europa angreift. Ziel der Operationen ist demnach die Informationsgewinnung im Interesse der russischen Außenpolitik.

Für den mit Midnight Blizzard verbundenen operativen Teilakteur Storm-2945 beobachtete Microsoft seit Februar 2026 KI-gestützte Operationen. Dazu gehörten gezielte Phishing-Kampagnen über Geräte- und OAuth-Codes, die zu einer Registrierung in Microsoft Entra und anschließender Datensammlung aus Microsoft 365 führten. Seit Anfang Mai 2026 manipulierte Storm-2945 außerdem DNS- und HTTP-Verkehr aus Netzwerken mit sogenannten Captive Portals, etwa in Hotels, Konferenzzentren und anderen gemeinsam genutzten Veranstaltungsorten.

Microsoft beobachtete, dass Storm-2945 einen erheblichen Teil dieser Operationen mit KI unterstützte. Die Quellen beschreiben KI damit als Bestandteil der Steuerung und Durchführung komplexer Angriffe, nicht nur als Hilfsmittel zum Verfassen einzelner Nachrichten. Die technische Zuordnung von Storm-2945 zu Midnight Blizzard stützt Microsoft auf Überschneidungen bei Vorgehensweisen, Infrastruktur, Opferprofilen sowie bei Gerätecode- und OAuth-Phishing.

In der Kampagne CaptiveCrunch leitete Storm-2945 den Datenverkehr über eine von den Angreifern kontrollierte Infrastruktur um. Dabei kamen nachgebildete Microsoft-Domains und sogenannte Adversary-in-the-Middle-Phishing-Angriffe zum Einsatz. Die Kampagnen missbrauchten den Gerätecode-Authentifizierungsablauf von Microsoft Entra. Ziel war unter anderem der Zugriff auf Konten von Geschäftsreisenden.

Die Angreifer lieferten Schadsoftware aus, die sich als Browser- oder Betriebssystemaktualisierung ausgab. Auslöser dafür waren automatisierte Verbindungsprüfungen von Browsern. Microsoft identifizierte mehrere Varianten, darunter vollständig ausgestattete Windows-Remote-Access-Trojaner in kompiliertem Go-Code. Diese konnten Systeme erfassen, Dateien und Tastatureingaben sammeln, Zugangsdaten und Sitzungstoken stehlen, Audio und Video überwachen, Wechselmedien erkennen und eine entfernte Shell bereitstellen. Ähnliche Anweisungen zum Herunterladen und Installieren einer APK wurden auch für Android-Geräte beobachtet.

CornFlake wird als primäres, dauerhaft eingesetztes Implantat von Storm-2945 beschrieben. Dabei handelt es sich um einen funktionsreichen Windows-RAT in Go. Microsoft beobachtete, dass der Akteur diese Schadsoftware-Schicht schnell weiterentwickelte. Die vorliegenden Auszüge belegen jedoch keine selbstumschreibende Schadsoftware. Sie dokumentieren eine rasche Weiterentwicklung und anpassbare Schadsoftwarevarianten, nicht das autonome Umschreiben des eigenen Codes durch ein KI-System.

Microsoft identifizierte eine weit verbreitete Kompromittierung von WLAN-Netzwerken bei Organisationen aus dem Gastgewerbe und in weiteren Netzwerken mit Captive-Portal-Technik in mehreren Ländern. Die Angriffe führten zur Auslieferung von Schadsoftware und zielten nach der Bewertung von Microsoft darauf, Konten von Geschäftsreisenden zu übernehmen. Die Untersuchung des ursprünglichen Zugangs zu den Captive-Portal-Netzwerken war laut Quelle noch nicht abgeschlossen.

Midnight Blizzard nutzt laut Microsoft häufig kompromittierte gültige Konten. In besonders gezielten Fällen greift die Gruppe Authentifizierungsmechanismen an, um Zugriffe auszuweiten und Entdeckung zu vermeiden. Außerdem missbraucht sie OAuth-Anwendungen für laterale Bewegungen in Cloud-Umgebungen und für Aktivitäten nach der Kompromittierung, etwa das Sammeln von E-Mails.

Die Quellen belegen einen KI-unterstützten Betrieb von Cyberangriffen durch Storm-2945, das Microsoft als operativen Teilakteur von Midnight Blizzard bewertet. Belegt sind insbesondere KI-gestützte Phishing- und Zugangsoperationen sowie die Nutzung automatisierter Abläufe bei der Auslieferung von Schadsoftware. Eine konkrete technische Beschreibung einer selbstumschreibenden Schadsoftware oder eines vollständig autonomen Angriffssystems enthalten die vorliegenden Auszüge nicht.