PromptLock: ESET warnt vor neuartigem Ransomware-Prototyp mit KI-Unterstützung
Hallo Du, um keine News zu verpassen abonniere doch einfach kostenlos meine Kanäle, vielen Dank:
Die Sicherheitsforscher von ESET haben einen ungewöhnlichen Fund gemacht: Unter dem Namen PromptLock tauchte ein Prototyp einer Schadsoftware auf, der ein lokal betriebenes Sprachmodell nutzt, um dynamisch Angriffsskripte zu generieren.
Am 25. August wurde der Prototyp erstmals auf VirusTotal registriert. Dabei handelt es sich nicht um eine aktive Angriffswelle, sondern um ein Machbarkeitsbeispiel. Kernkonzept ist ein integrierter Prompt-Injection-Mechanismus. Ein in Golang geschriebener Loader greift über die Ollama-API auf ein Sprachmodell zu, das anschließend Lua-Skripte erstellt. Diese durchsuchen Dateien, sammeln vertrauliche Informationen und verschlüsseln im Anschluss die restlichen Daten. Unterstützt werden Windows, Linux und macOS. Für die Verschlüsselung kommt der Algorithmus SPECK 128 Bit zum Einsatz.
Warum PromptLock schwer zu erkennen ist
Zwei technische Besonderheiten erschweren die Abwehr:
- Da das Sprachmodell lokal arbeitet (gpt-oss:20b via Ollama), entstehen keine verdächtigen API-Verbindungen nach außen.
- Sprachmodelle liefern bei denselben Eingaben variierende Ergebnisse, sodass jedes generierte Skript anders aussieht. Damit wird es für klassische Signaturerkennung erheblich schwieriger.
Zudem müssten Angreifer das Modell nicht zwingend direkt einschleusen. Auch ein Zugriff über Tunnel oder externe Proxys wäre denkbar. Im Beispiel existieren sogar Prompts, die erpresserische Nachrichten erzeugen – mit einer bekannten Bitcoin-Adresse als Platzhalter. Ein Datenlösch-Modul ist zwar enthalten, scheint aber noch unvollständig zu sein.
Nach jetzigem Stand gibt es keine bekannten Opfer. Die Experten sehen PromptLock eher als Warnsignal für die Sicherheitsbranche: Zum ersten Mal existiert ein funktionsfähiges Bauprinzip für KI-unterstützte Ransomware.
Empfehlungen für Unternehmen
Organisationen, die interne Systeme mit Sprachmodellen einsetzen, sollten ihre Schutzmechanismen anpassen:
- Ollama-Server und vergleichbare Dienste absichern und nur autorisierten Zugriff erlauben.
- Automatisierte Ausführung von Lua-Skripten überwachen.
- Ungewöhnliche Verschlüsselungsaktivitäten frühzeitig erkennen.
- Den Fokus verstärkt auf Verhaltensanalysen statt reine Signaturen legen.
ESET betont, dass die sich ständig verändernden Skripte künftige Verteidigungsmaßnahmen erschweren. Daher sei es entscheidend, PromptLock als Frühwarnung zu verstehen und die Cyberabwehr entsprechend neu auszurichten.
Links mit einem * sind Partner-Links. Durch einen Klick darauf gelangt ihr direkt zum Anbieter. Solltet ihr euch dort für einen Kauf entscheiden, erhalte ich eine kleine Provision. Für euch ändert sich am Preis nichts. Danke für eure Unterstützung!
