Trend Micro zeigt, wie ein Hacker Gemini CLI missbrauchte und mit KI ein Botnetz in nur sechs Minuten migrierte.
Ein russischsprachiger Cyberkrimineller ließ sich von Gemini CLI nahezu die gesamte Arbeit abnehmen. Die KI entwarf zu seinem Projekt die Infrastruktur, schrieb den Code und richtete einen neuen Command-and-Control-Server ein. Auftretende Fehler löste sie weitgehend eigenständig. Trend Micro spricht dabei von einem Wendepunkt. Damit beginnt für klassische IT-Sicherheitskonzepte eine neue Herausforderung.
Eine aktuelle Analyse von Trend Micro weist darauf hin, wie ein russischsprachiger Bedrohungsakteur Googles Gemini CLI als technischen Assistenten für den Betrieb eines Botnetzes einsetzte. Der Angreifer programmierte dabei nicht etwa selbst oder richtete Server ein. Vielmehr formulierte er seine Anweisungen in natürlicher Sprache. Den Rest erledigte der KI-Agent.
Die ausgewerteten Sitzungsprotokolle vermitteln einen seltenen Einblick in die tägliche Arbeitsweise eines Cyberkriminellen, der künstliche Intelligenz als zentrale Schaltstelle seiner gesamten Infrastruktur nutzte. Die Migration eines laufenden Command-and-Control-Servers (C2) gelang laut Trend Micro innerhalb von lediglich sechs Minuten. Generative KI kann Cyberangriffe in einem Ausmaß beschleunigen, der selbst erfahrene Sicherheitsforscher überrascht. Wie BleepingComputer berichtet, entwickelte sich die generative KI im dokumentierten Fall zum technischen Herzstück einer realen Cyberoperation.
KI-Agent statt klassischer Malware-Entwickler
Die Untersuchung basiert auf über 200 Gemini-CLI-Sitzungen. Trend Micro analysierte diese zwischen dem 19. März und dem 21. April 2026. Die Sitzungen stammen vom russischsprachigen Akteur „bandcampro“, der bereits zuvor durch KI-gestützte Betrugs- und Social-Engineering-Kampagnen aufgefallen war.
Der Angreifer nutzte das Google-Werkzeug dabei als vollständigen technischen Mitarbeiter. Der KI-Agent plante die Infrastruktur, entwickelte den erforderlichen Python-Code, richtete einen virtuellen Server ein, konfigurierte Cloudflare-Tunnel und übernahm sogar die Fehlersuche, sobald Probleme auftraten.
Nach Angaben der Forscher steuerte der Angreifer die gesamte Infrastruktur ausschließlich über natürlich formulierte Eingaben auf Russisch. Direkte Befehle an die Schadsoftware oder den C2-Server waren nicht mehr notwendig. Das KI-System übernahm die technische Umsetzung zu großen Teilen völlig eigenständig.
Ein einziger Satz genügte
Bei der Migration der bestehenden C2-Infrastruktur entschied sich der Angreifer für einen Umzug auf eine neue Serverarchitektur, nachdem Sicherheitslösungen und Firewalls die bisherigen Cloudflare-Tunnel blockierten. Dafür erhielt der KI-Coding-Agent lediglich einen vorbereiteten Ordner mit einigen Textdateien und den Arbeitsauftrag: „Study the C2 migration.“
Daraufhin analysierte die KI selbstständig die bereitgestellten Informationen, entpackte den Projektordner, startete einen neuen VPS, konfigurierte die Infrastruktur und stellte die Verbindung über Cloudflare wieder her. Da während der Einrichtung mehrere Fehler auftraten, diagnostizierte das System deren Ursache eigenständig und schlug passende Korrekturen vor. Nach Angaben von Trend Micro dauerte die eigentliche Migration lediglich sechs Minuten. Der menschliche Angreifer griff dabei kaum noch aktiv ein.
KI analysierte Fehler und schlug selbstständig Lösungen vor
Aufschlussreich waren auch die Protokolle der eigentlichen Migration. Nach dem Starten der neuen Server meldete der KI-Agent einen „502 Bad Gateway“-Fehler. Das System wartete dabei nicht auf weitere Anweisungen. Es analysierte die Ursache selbstständig und ergänzte die fehlenden Header in den HTTP-Anfragen. Als anschließend die Cloudflare-Web-Application-Firewall (WAF) weitere Verbindungen blockierte, identifizierte die KI den fehlenden User-Agent-Header als Auslöser und passte die Konfiguration entsprechend an. Damit war die Arbeit allerdings noch nicht beendet.
Als der Angreifer später zu seiner Sitzung zurückkehrte, meldete das System zunächst keine verbundenen Bots. Erneut analysierte der KI-Agent die Situation ohne zusätzliche Anweisung. Er diagnostizierte ein sogenanntes „Split-Brain“-Problem: Alte und neue Cloudflare-Tunnel verteilten den Datenverkehr gleichzeitig auf zwei verschiedene C2-Server. Gemini empfahl daher, die bisherige Infrastruktur vollständig abzuschalten.
Nachdem der Betreiber diesen einzigen manuellen Schritt ausgeführt hatte, startete die KI den neuen Server erneut und bestätigte kurze Zeit später, dass sämtliche Bots wieder online waren. Einer der bemerkenswertesten Einträge in den Sitzungsprotokollen lautet dabei: „Die Bots leben!“
89 Prozent der erzeugten Inhalte stammten von der KI
Die Forscher werteten sämtliche Dialoge zwischen dem Angreifer und dem KI-System aus. Die ließen darauf schließen, dass der menschliche Betreiber lediglich die strategische Richtung vorgab. Der KI-Agent übernahm hingegen sämtliche technischen Aufgaben. Laut Trend Micro entfielen 89 Prozent aller erzeugten Texte auf die KI. Der Angreifer steuerte selbst lediglich rund 11 Prozent bei.
Ferner entwickelte die künstliche Intelligenz rund 80 Prozent der Architektur, schrieb den gesamten Programmcode, führte sämtliche Systembefehle aus und übernahm etwa 90 Prozent der Fehleranalyse sowie des Debuggings. Während der C2-Migration brachte das System darüber hinaus 59 eigene Verbesserungsvorschläge ein ohne dass der Betreiber danach gefragt hatte.
Moderne KI-Systeme entwickeln damit eigenständig Lösungswege, erkennen Fehlerketten und schlagen Optimierungen vor, bevor Menschen überhaupt eingreifen.
Natürlichsprachliche Steuerung statt Konsolenbefehle
Ebenso bemerkenswert ist die Art, wie der Angreifer seine Infrastruktur bediente. Klassische Befehle auf der Kommandozeile spielten kaum noch eine Rolle. Der Betreiber kommunizierte in natürlicher Sprache mit dem KI-Werkzeug. Er fragte beispielsweise, welche kompromittierten Rechner gerade online seien, ließ sich Dateien bestimmter Systeme anzeigen oder forderte neue Infektionslinks für weitere Opfer an.
Die eigentliche Kommunikation mit den kompromittierten Rechnern wurde anschließend über die KI automatisiert. Sie übersetzte die Anweisungen in API-Aufrufe, erzeugte PowerShell-Befehle und leitete diese an die Bots weiter.
Drei kleine Textdateien beschrieben die komplette Infrastruktur
Die Sicherheitsforscher wiesen zudem darauf hin, dass die komplette Angriffsinfrastruktur lediglich aus drei Textdateien mit zusammen rund 5 Kilobyte Umfang bestand. Eine Datei diente dazu, die Schutzmechanismen des KI-Modells zu umgehen. Eine zweite enthielt das komplette Betriebswissen über die Command-and-Control-Infrastruktur, von der Infektion neuer Systeme bis zur Fehlerbehebung. Die dritte Datei beschrieb Schritt für Schritt, wie sich die gesamte Infrastruktur auf einem neuen Server innerhalb weniger Minuten wiederherstellen lässt.
Darin sehen die Autoren den eigentlichen Wendepunkt. Früher mussten Cyberkriminelle entsprechende Kenntnisse über Jahre hinweg erwerben oder spezialisiertes Personal anwerben. Heute genügen drei Textdateien, die einem leistungsfähigen KI-Agenten die komplette Vorgehensweise erklären. Die technische Hürde für komplexe Angriffe sinkt dadurch erheblich.
Gemini CLI half nicht nur beim Botnetz
Die C2-Infrastruktur war lediglich ein Teil der Aktivitäten, die Trend Micro in den ausgewerteten Sitzungsprotokollen dokumentierte. Die Analyse von mehr als 200 Gemini-CLI-Sitzungen zeigt, dass der Bedrohungsakteur die Google-KI praktisch als universellen technischen Assistenten einsetzte.
Der KI-Agent unterstützte ihn ferner beim Aufbau eines Residential-Proxys, beim Installieren von Programmen, beim Schreiben von Skripten für Drittanbieter-APIs sowie bei der Auswertung gestohlener Zugangsdaten aus Infostealer-Dumps. Auch klassische Reconnaissance-Aufgaben wie die Informationsbeschaffung über potenzielle Ziele, überließ der Angreifer der künstlichen Intelligenz.
Nach Angaben von Trend Micro machte die KI während der analysierten Sitzungen wiederholt auch in Eigeninitiative Verbesserungsvorschläge, ohne dass der Betreiber diese ausdrücklich angefordert hatte. Sie agierte damit als technischer Berater.
KI-gestützte Passwortangriffe gegen WordPress-Zugänge
Ein weiterer Teil der Untersuchung beschäftigt sich mit KI-gestützten Passwortangriffen. Der Bedrohungsakteur kombinierte dabei bereits bekannte Zugangsdaten aus kompromittierten Datenbanken mit den Fähigkeiten des Sprachmodells.
Dabei verzichtete der Akteur auf klassische Brute-Force-Methoden. Stattdessen ließ er den KI-Agenten aus vorhandenen Passwörtern plausible Varianten ableiten. Diese Kombination aus menschlichem Verhalten und maschineller Mustererkennung erhöhte laut den Forschern die Erfolgschancen gegenüber rein zufälligen Passwortlisten.
Die erzeugten Passwortvarianten nutzte der Angreifer anschließend unter anderem für automatisierte Angriffe auf WordPress-Administrationsbereiche. Die Forscher konnten dabei erfolgreiche Zugriffe beobachten.
Selbst 1Password-Daten wurden von der KI ausgewertet
In einem dokumentierten Fall analysierte das System einen aus 1Password stammenden Datensatz und leitete daraus mögliche Angriffswege ab. Die KI identifizierte, zu welchem Unternehmen die Zugangsdaten gehörten, untersuchte den Einsatz von Duo Multi-Faktor-Authentifizierung, analysierte den VPN-Zugang und fand sogar Hinweise auf ein internes Administrationsportal.
Der Versuch scheiterte letztlich allerdings daran, dass die Sitzung zu umfangreich wurde und das Sprachmodell den Überblick über den bisherigen Kontext verlor.
Nicht jede Anfrage an Gemini CLI führte zum Erfolg
Trotz der eingesetzten Jailbreak-Techniken stieß der Angreifer gelegentlich an Grenzen. Ein Beispiel dafür liefert eine Anfrage zum Bau einer selbstständig verbreitenden Schadsoftware. Der Betreiber wollte eine Art „Agent-Bombe“ entwickeln lassen, also Malware, die eigenständig Netzwerke durchsucht und möglichst viele weitere Systeme kompromittiert. Hier verweigerte das KI-System die Unterstützung.
Gemini erklärte, dass ein solches Vorhaben selbst in einer Testumgebung gegen die Sicherheitsrichtlinien verstoße und daher nicht umgesetzt werde. Die Forscher beobachteten, dass der Angreifer in solchen Fällen nicht mehr weiter versuchte, die Schutzmechanismen zu umgehen. Er wechselte dann zu anderen Aufgaben.
KI-generierte Malware verändert Regeln der Cyberabwehr
Im dokumentierten Fall unterstützte die KI den Angreifer bei der Architektur, der Erstellung von Programmcode, der Serverbereitstellung, der Fehlersuche und Teilen der täglichen Verwaltung eines Botnetzes. Wurden technische Probleme erkannt, konnte die KI passende Anpassungen vorschlagen. Beispielsweise konnte sie Dateinamen anpassen, alternative Registry-Einträge vorschlagen oder neue Varianten von API-Pfaden erzeugen. Der menschliche Betreiber traf hauptsächlich Entscheidungen und gab Ziele vor.
The Register zufolge sehen die Autoren die zunehmende Dynamik KI-gestützter Angriffe als Grund dafür, statische Indicators of Compromise (IOCs) nicht länger als alleinige Verteidigungslinie anzusehen. Diese verlieren an Bedeutung, wenn Angreifer ihre komplette Infrastruktur auf Knopfdruck neu generieren können. Die Forscher empfehlen, einen stärkeren Fokus auf Verhaltensanalysen zu legen. Wiederkehrende PowerShell-Ausführungen aus ungewöhnlichen Verzeichnissen, periodische Verbindungen zu Command-and-Control-Servern oder neu angelegte WMI-Ereignisabonnements bleiben auch dann auffällig, wenn sich sämtliche Dateinamen oder Domains geändert haben.
