In dieser Woche befasst sich das Cyber Threat Intelligence (CTI)-Team von Tanium mit einem neuen Tool namens HexStrike AI, das die Ausnutzungszeiten erheblich verkürzt – von Tagen auf Minuten. Anschließend gibt das Team einen Überblick über TinkyWinkey: einen Windows-Keylogger, der Spionage- und Datendiebstahlaktionen ermöglicht. Abschließend befassen wir uns mit neuen Forschungsergebnissen von Check Point, in denen detailliert beschrieben wird, wie die APT-Gruppe „Silver Fox“ einen bislang unbekannten, anfälligen Microsoft-Treiber erfolgreich ausnutzte, um Endpunktschutzmaßnahmen zu deaktivieren und die Malware „ValleyRAT“ zu installieren.
Cyberkriminelle nutzen HexStrike AI, um Cyberangriffe zu koordinieren
Ein kürzlich veröffentlichter Beitrag von Check Point unter dem Titel „ “ beleuchtet, wie Cyberkriminelle ein neues KI-Tool namens „HexStrike AI“ einsetzen, um Cyberangriffe zu koordinieren. Angreifer behaupten, dass HexStrike AI die Ausnutzungszeiten von mehreren Tagen auf unter 10 Minuten verkürzt.
Was ist HexStrike AI?
HexStrike AI wurde ursprünglich als Werkzeug für Red-Teams und Sicherheitsforscher entwickelt. Unmittelbar nach der Veröffentlichung stellte Check Point fest, dass böswillige Akteure darüber diskutierten, wie sie das Tool für Angriffe missbrauchen könnten. Bereits wenige Stunden später diskutierten einige Akteure konkret darüber, wie man damit die etwa eine Woche zuvor bekannt gewordenen Zero-Day-Sicherheitslücken bei Citrix ausnutzen könnte.
HexStrike-KI-Architektur
Check Point beschreibt HexStrike AI als einen „grundlegenden Wandel in der Art und Weise, wie offensive Cyberoperationen durchgeführt werden können“. Das Tool ermöglicht es verschiedenen KI-Modellen wie Claude, GPT und Copilot, Tools ohne menschliche Interaktion und Verwaltung auszuführen. Zudem werden MCP-Agenten vorgestellt – dies sind Agenten, die über das Model Context Protocol (MCP) kommunizieren und dazu beitragen, die Lücke zwischen großen Sprachmodellen (LLMs) und realen Angriffsfähigkeiten zu schließen. Check Point stellte fest, dass die KI-Agenten von „ “ mehr als 150 Cyber-Tools autonom ausführen konnten, darunter solche für Penetrationstests, Erkundung, Forschung und vieles mehr.
Der Bericht beleuchtet einige wesentliche Aspekte des Designs von HexStrike. Der erste ist die MCP-Orchestrierungsschicht. Das Framework wird einen FastMCP-Server für die Kommunikation zwischen anderen LLMs und Tool-Funktionen einrichten. Die Tools fungieren als aufrufbare Komponenten, die der Agent aufrufen kann und die es ermöglichen, Befehle programmgesteuert auszuführen. Check Point hebt zudem die umfassende Integration seiner Tools hervor. Das Tool ist automatisiert und ausfallsicher und fasst Befehle in Arbeitsabläufe zusammen, sodass die Vorgänge wiederholbar sind.
Ausnutzung von Sicherheitslücken
Check Point verdeutlicht, wie Angreifer die KI-Lösung „HexStrike“ im Zusammenhang mit drei Zero-Day-Schwachstellen nutzen konnten, die Citrix NetScaler ADC- und Gateway-Geräte betrafen und kurz zuvor bekannt geworden waren.
In den 12 Stunden nach Bekanntwerden dieser Sicherheitslücken beobachtete Check Point, wie Akteure darüber diskutierten, wie die HexStrike-KI eingesetzt werden könnte, um nach anfälligen Instanzen zu suchen und diese auszunutzen. Dies verdeutlicht erneut , wie KI eingesetzt werden kann, um bisher manuell ausgeführte Aufgaben wie die Aufklärung zu automatisieren.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
HexStrike AI ist ein Paradebeispiel dafür, wie KI als Kraftverstärker für Angreifer wirken kann, indem sie den Zeit-, Kompetenz- und Arbeitsaufwand für die Durchführung ausgefeilter Angriffe verringert.
Check Point hebt hervor, wie schnell sich Angreifer nach der Veröffentlichung dieses Tools darauf gestürzt haben und wie rasch es als Hilfsmittel für die Ausnutzung von Zero-Day-Schwachstellen in der Praxis diskutiert wurde. Die Geschwindigkeit, mit der Angreifer KI-Tools einsetzen, nimmt zu, was besonders besorgniserregend ist, da KI sich allmählich zu einem Instrument entwickelt, das zur Durchführung von Operationen und zur Umsetzung vollständiger Kill-Chains genutzt werden kann.
Check Point enthält einige von der „ “ empfohlene Maßnahmen , die Sicherheitsverantwortliche im Hinblick auf diese Bedrohung ergreifen können.
Der Keylogger „TinkyWinkey“ stellt eine Bedrohung für Windows-Systeme dar
Cyfirma veröffentlicht unter Einzelheiten zum Keylogger „TinkyWinkey“, einer heimlichen, Windows-basierten Malware, die Tastenanschläge aufzeichnet, aktive Fenster überwacht und Systemdaten mithilfe fortschrittlicher Techniken wie DLL-Injektion und Low-Level-API-Aufrufen erfasst. Sein modularer Aufbau und seine ausdauernde Ausführung machen TinkyWinkey zu einer erheblichen Bedrohung für Spionage- und Datendiebstahloperationen.
TinkyWinkey – Überblick
Cyfirma hat den Keylogger „TinkyWinkey“ erstmals Ende Juni 2025 entdeckt. Laut Cyfirma deuten die „Service- und Keylogger-Komponenten auf ein bewusstes Bestreben hin, Flexibilität und Unauffälligkeit zu wahren, wodurch es einfacher wird, die Malware für verschiedene Kampagnen zu aktualisieren oder umzufunktionieren.“
Die beiden Hauptkomponenten von TinkyWinkey sind:
- Der Tinky-Dienst, , der für die Installation und den Betrieb des Keyloggers zuständig ist
- Der Winkey-Keylogger, , der die tatsächlich eingegebenen Tastenanschläge aufzeichnet
Cyfirma weist darauf hin, dass zu den wichtigsten Funktionen der Malware das Erfassen von Systeminformationen, Keylogging, die Verfolgung von Fenstern, die Protokollierung, die Verwaltung von Diensten sowie die Verwaltung von Prozessen und Sitzungen gehören.
Statische Analyse von TinkyWinkey
Zunächst ermittelt die Malware das temporäre Verzeichnis des Systems und stellt sicher, dass sich die erforderliche Protokolldatei dort befindet. In dieser Protokolldatei werden die erfassten Tastenanschläge im Rahmen der Keylogging-Routine gespeichert. Anschließend ruft es einige Funktionen auf, die speziell dazu dienen, Informationen über den Host zu erfassen, wie beispielsweise die Betriebssystemversion, Prozessorinformationen usw.
Anschließend ermittelt die Malware die Kennung des Betriebssystems, erfasst CPU-Informationen, führt eine Identitätsermittlung im Netzwerk durch, ermittelt die Speicherkapazität und überwacht das Vordergrundfenster, um festzustellen, wann der Benutzer zwischen Anwendungen wechselt.
Als wichtigste Keylogging-Funktion installiert die Malware einen Tastatur-Hook, der die Tastenanschläge aufzeichnet. Es kann die aktive Tastatur überwachen, aber auch protokollieren, falls der Benutzer die Sprache wechselt. Sondertasten wie „Esc“, „Enter“ oder „Backspace“ werden im eigentlichen Protokoll durch beschreibende Markierungen ersetzt. Bei Nicht-Spezialtasten wandelt die Malware den Tastencode um und speichert ihn in der Protokolldatei.
Die Malware gerät schließlich in eine endlose Meldungsschleife, die ihr Vordergrundfenster und ihre Tastatur-Hooks zur Aufrechterhaltung ihrer Persistenz aktiv hält.
Dynamische Analyse von TinkyWinkey
Bei der Ausführung wird ein bösartiger Windows-Dienst namens „Tinky“ registriert. Dies wurde so konzipiert, dass es beim Systemstart aufgerufen wird, um die Persistenz zu gewährleisten.
Nachdem die Persistenz erfolgreich hergestellt wurde, wird die sekundäre Nutzlast „winkey.exe“ ausgeführt. Diese Nutzlast ist für das Keylogging-Modul verantwortlich.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Aufgrund der fortgeschrittenen Nutzung der Windows-Interna, der verdeckten Ausführung und der umfassenden Protokollierung dürfte „TinkyWinkey“ für Angreifer attraktiv sein.
Wie Cyfirma hervorhebt, hat der Urheber des Keyloggers die Service- und Keylogger-Komponenten klar voneinander getrennt. Diese bewusste Trennung wird dem Akteur hinsichtlich der Flexibilität und künftiger Aktualisierungen der Malware zugutekommen. Dennoch wäre es nicht überraschend, wenn in Zukunft neue Versionen oder Varianten dieser Malware auftauchen würden.
Die APT-Gruppe „Silver Fox“ nutzt eine Sicherheitslücke in einem Treiber aus, um die Endpunktsicherheit zu umgehen
Ein neuer Bericht von Check Point mit dem Titel „ “ erläutert, wie die APT-Gruppe „Silver Fox“ eine bislang unbekannte, von Microsoft signierte Sicherheitslücke in einem Treiber ausnutzte, um die Endpunktschutzlösungen von heimlich zu deaktivieren und die Malware „ValleyRAT“ zu installieren.
Die Kampagne verdeutlicht entscheidende Lücken in Treuhandmodellen für Treiber sowie die Grenzen signaturbasierter Abwehrmaßnahmen in der modernen Cybersicherheit.
Wichtigste Erkenntnisse aus dem „Silver Fox APT“-Bericht von Check Point
Ab Ende Mai stieß Check Point auf eine „Silver Fox“-Kampagne, die mit einem maßgeschneiderten Loader auf Windows-Geräte abzielte. Dieser maßgeschneiderte Loader nutzte Kernel-Treiber gezielt aus, um Sicherheitsprozesse zu beenden. Eine vollständige Liste der beendeten Prozesse unter „ “ ( ) finden Sie im Bericht.
Laut Check Point stellte diese Kampagne „eine bedeutende Abkehr von der ausschließlichen Verwendung bekannter anfälliger Treiber hin zum Einsatz eines bislang nicht klassifizierten, signierten, anfälligen Treibers dar, der herkömmliche Erkennungsmechanismen umging.“
Silver Fox setzte während des Angriffs den WatchDog-Antimalware-Treiber ein, von dem öffentlich nicht bekannt war, dass er eine Sicherheitslücke aufwies, und der von Microsoft ordnungsgemäß signiert ist. Dieser Treiber sowie ein weiterer eingesetzter Treiber, von dem bekannt war, dass er eine Sicherheitslücke aufwies, ermöglichten die willkürliche Beendigung von Prozessen. Die abschließende Nutzlast des Angriffs ist die Backdoor „ValleyRAT“, die unter anderem zur Datenexfiltration und zur Ausführung von Befehlen fähig ist und dazu beitrug, den Angriff der Gruppe „Silver Fox“ zuzuordnen.
Die C2 Server, die an dem Angriff beteiligt waren, wurden alle in China gehostet und nutzten öffentliche Cloud- oder Webdienste. Aus viktimologischer Sicht stellte Check Point ein globales Angriffsmuster fest.
Der Lader
Check Point hat mehrere All-in-One-Loader-Beispiele identifiziert, die von der APT-Gruppe „Silver Fox“ verwendet werden und jeweils auf Tarnung, Persistenz und die Auslieferung von Payloads ausgelegt sind. Diese Loader verfügen über Routinen zur Verhinderung von Analysen, die virtuelle Umgebungen, Sandboxen und bestimmte Internetdienstanbieter erkennen – und die Ausführung abbrechen, sobald ein solcher Fall festgestellt wird. Zudem stellen sie die Persistenz sicher, indem sie einen „RunTime“-Ordner erstellen und Dienste registrieren, um die Ausführung beim Systemstart zu gewährleisten.
Der Loader bettet zwei anfällige Treiber als kodierte Byte-Zeichenfolgen ein: einen, der darauf ausgelegt ist, Endpunkt-Schutzmaßnahmen zu deaktivieren, und einen weiteren, der die ValleyRAT-Backdoor installiert. Der geeignete Treiber wird anhand der Windows-Version des Zielsystems ausgewählt, wodurch sich die Malware an verschiedene Umgebungen anpassen und gleichzeitig herkömmliche Erkennungsmechanismen umgehen kann.
EDR/AV-Killer
Wie bereits erwähnt, ist die Routine für den EDR/AV-Killer in den Loader eingebettet. Je nachdem, welche Windows-Version auf dem infizierten Gerät ausgeführt wird, wird der entsprechende anfällige Treiber entfernt.
Unabhängig vom verwendeten Treiber werden Windows-API-Funktionen genutzt, um die erforderlichen Dienste zu erstellen. Die Hauptlogik wird „eine Liste mit Base64-encoded zu beendenden Zielprozessen durchlaufen“, die 192 Prozessnamen enthält. Sollte eine Übereinstimmung vorliegen, wird der Vorgang beendet.
Neuer gefährdeter Verkehrsteilnehmer
Check Point hat den anfälligen Treiber, von dem bisher nicht bekannt war, dass er eine Sicherheitslücke aufweist, genauer unter die Lupe genommen. Dies ist der WatchDog-Antimalware-Treiber, der ordnungsgemäß signiert ist.
Dieser Treiber, der auf dem Zemana Anti-Malware SDK basiert, kann beliebige Prozesse beenden, ohne dass bestätigt werden muss, ob dieser Prozess im geschützten Modus ausgeführt wird – wodurch er sich gut für die „Bring Your Own Vulnerable Driver“-Technik eignet.
ValleyRAT-Backdoor
Bei allen von Check Point analysierten Proben kam es letztendlich zur Installation der ValleyRAT-Backdoor. Um einer Entdeckung zu entgehen, ruft es über die Windows-API einen Callback auf, um Prozesse zu erkennen, die mit Analyse-Tools in Verbindung stehen. Wird ein solches Tool erkannt, verzögert das Programm dessen Ausführung durch eine Wartezeit von 20 Sekunden und setzt die Erfassung fort, bis keine Tools mehr erkannt werden.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Der Missbrauch von durch Microsoft signierten Treibern verdeutlicht eine systemische Schwachstelle bei der Vergabe von Vertrauensstatus in Windows-Umgebungen. Die Annahme, dass „signiert“ gleichbedeutend mit „sicher“ ist, wird von Angreifern immer häufiger ausgenutzt.
Bei diesem Angriff deaktivierte der Angreifer Anti-Malware-Lösungen, wodurch er unentdeckt blieb, ohne dass Warnmeldungen ausgelöst wurden. Dies unterstreicht die Notwendigkeit einer Überwachung, die über reine Dateisignaturen hinausgeht und sich beispielsweise auf das Verhalten von Treibern erstreckt.
Haben Sie Einblicke in diese Geschichten, die Sie gerne weitergeben möchten? Besuchen Sie das Tanium-Diskussionsforum unter, um eine Diskussion zu starten.
Wenn Sie sich weiter informieren möchten, lesen Sie unsere aktuellen Zusammenfassungen zu Cyber-Bedrohungsinformationen von unter.
