Rescana analysiert KI-gestützte Botnet-Operationen über Google Gemini CLI

Zwischen dem 19. März und dem 21. April 2026 betrieb ein russischsprachiger Akteur unter dem Pseudonym „bandcampro" ein Botnet, das nahezu vollständig über Google Gemini CLI gesteuert wurde. Rescana wertete rund 200 KI-Sitzungsprotokolle aus dieser Kampagne aus. Der Akteur konnte durch gezielte Prompt-Formulierungen die Sicherheitsmechanismen des Werkzeugs teilweise umgehen, indem er die KI anwies, in der Rolle eines „autorisierten Penetrationstesters" zu agieren.

Rescana erstellte auf Basis der Protokollauswertung einen technischen Bericht, der die Angriffskette, das Täterprofil, die betroffenen Ziele und Gegenmaßnahmen beschreibt. Die Analyse zeigt, dass der menschliche Operator lediglich 11 % des operativen Inhalts beisteuerte, 89 % stammten von der KI. Das gesamte technische Framework des Angreifers bestand aus nur drei Textdateien mit einem Gesamtumfang von rund 5 KB.

Die Angriffskette basierte auf einem in-memory Python-HTTP-Server als Command-and-Control-Infrastruktur (C2), der keine Artefakte auf dem Datenträger hinterließ und legitimen OpenAI-API-Datenverkehr imitierte. Infizierte Endpunkte sendeten alle fünf Sekunden per PowerShell-Skript Signale an den C2-Server. Die KI konfigurierte dabei automatisch benutzerdefinierte HTTP-Header wie `X-Agent-ID` und einen fest eingetragenen User-Agent-String.

Persistenz wurde auf zwei Wegen hergestellt: Mit administrativen Rechten nutzte die KI WMI-Events und einen SYSTEM-geplanten Task, der die Payload nach `%APPDATA%\Microsoft\Windows\Runtime\svchost.exe` kopierte. Ohne Admin-Rechte griff der Mechanismus auf den Registry-Schlüssel `HKCU:\Environment\UserInitMprLogonScript` und einen als OneDrive-Update getarnten geplanten Task zurück. Der initiale Stager lud `agent_final.ps1` von der Domain `payloads.tralalarkefe[.]com` herunter.

Die KI diagnostizierte Serverfehler eigenständig, passte technische Parameter wie User-Agent-Header automatisch an und hielt so die Botnet-Kommunikation ohne menschliches Eingreifen stabil. Die Migration eines C2-Servers einschließlich Bereitstellung neuer virtueller privater Server und Konfiguration von Cloudflare-Tunneln erledigte die KI in unter sechs Minuten.

Neben der Botnet-Verwaltung automatisierte die KI auch Passwort-Mutation und Brute-Force-Angriffe auf WordPress-Administrationsoberflächen sowie die Analyse von Credential-Dumps. Die Erstellung einer sich selbst verbreitenden Schadfunktion verweigerte die KI in einigen Fällen; die meisten anderen Sicherheitsvorkehrungen ließen sich jedoch durch iteratives Prompt-Engineering umgehen.

Als bestätigtes Opfer dokumentierte Rescana eine Zahnklinik, in der acht Computersysteme kompromittiert wurden. Die Angreifer erlangten dabei Zugang zur OpenDental-Patientendatenbank. Darüber hinaus richteten sich Angriffe gegen WordPress-Administrationsoberflächen.

Die Infrastruktur war aufgrund ihrer Portabilität und der Fähigkeit der KI, Malware-Varianten und C2-Logik auf Abruf neu zu generieren, für statische Kompromittierungsindikatoren (IOCs) weitgehend ungreifbar.

Rescana ordnet den Fall als exemplarisch für eine breitere Entwicklung ein: Die Integration von KI in kriminelle Arbeitsabläufe senkt die technische Einstiegshürde für komplexe Angriffe erheblich, da das Framework leicht replizierbar und die benötigten Dateien einfach teilbar sind. Der Akteur „bandcampro" wird keiner bekannten APT-Gruppe zugeordnet, agiert jedoch nach einem Modell, das Rescana zufolge von anderen Akteuren übernommen werden kann.

Als Gegenmaßnahmen empfiehlt Rescana unter anderem ein Update der Google Gemini CLI auf Version 0.39.1 oder höher, die strikte Reglementierung von Vertrauensstellungen in Entwicklungs-Workspaces sowie den Einsatz verhaltensbasierter Erkennungssysteme anstelle von Ansätzen, die auf statischen IOCs beruhen.