Gemini CLI missbraucht: KI baut Botnetz in nur sechs Minuten

Trend Micro zeigt, wie ein Hacker Gemini CLI missbrauchte und mit KI ein Botnetz in nur sechs Minuten migrierte.

KI-Agent statt klassischer Malware-Entwickler

Ein einziger Satz genügte

KI analysierte Fehler und schlug selbstständig Lösungen vor

89 Prozent der erzeugten Inhalte stammten von der KI

Natürlichsprachliche Steuerung statt Konsolenbefehle

Drei kleine Textdateien beschrieben die komplette Infrastruktur

Gemini CLI half nicht nur beim Botnetz

KI-gestützte Passwortangriffe gegen WordPress-Zugänge

Selbst 1Password-Daten wurden von der KI ausgewertet

Nicht jede Anfrage an Gemini CLI führte zum Erfolg

KI-generierte Malware verändert Regeln der Cyberabwehr

Ein russischsprachiger Cyberkrimineller ließ sich von Gemini CLI nahezu die gesamte Arbeit abnehmen. Die KI entwarf zu seinem Projekt die Infrastruktur, schrieb den Code und richtete einen neuen Command-and-Control-Server ein. Auftretende Fehler löste sie weitgehend eigenständig. Trend Micro spricht dabei von einem Wendepunkt. Damit beginnt für klassische IT-Sicherheitskonzepte eine neue Herausforderung.

Eine aktuelle Analyse von Trend Micro weist darauf hin, wie ein russischsprachiger Bedrohungsakteur Googles Gemini CLI als technischen Assistenten für den Betrieb eines Botnetzes einsetzte. Der Angreifer programmierte dabei nicht etwa selbst oder richtete Server ein. Vielmehr formulierte er seine Anweisungen in natürlicher Sprache. Den Rest erledigte der KI-Agent.

Die ausgewerteten Sitzungsprotokolle vermitteln einen seltenen Einblick in die tägliche Arbeitsweise eines Cyberkriminellen, der künstliche Intelligenz als zentrale Schaltstelle seiner gesamten Infrastruktur nutzte. Die Migration eines laufenden Command-and-Control-Servers (C2) gelang laut Trend Micro innerhalb von lediglich sechs Minuten. Generative KI kann Cyberangriffe in einem Ausmaß beschleunigen, der selbst erfahrene Sicherheitsforscher überrascht. Wie BleepingComputer berichtet, entwickelte sich die generative KI im dokumentierten Fall zum technischen Herzstück einer realen Cyberoperation.

KI-Agent statt klassischer Malware-Entwickler

Die Untersuchung basiert auf über 200 Gemini-CLI-Sitzungen. Trend Micro analysierte diese zwischen dem 19. März und dem 21. April 2026. Die Sitzungen stammen vom russischsprachigen Akteur „bandcampro“, der bereits zuvor durch KI-gestützte Betrugs- und Social-Engineering-Kampagnen aufgefallen war.

Der Angreifer nutzte das Google-Werkzeug dabei als vollständigen technischen Mitarbeiter. Der KI-Agent plante die Infrastruktur, entwickelte den erforderlichen Python-Code, richtete einen virtuellen Server ein, konfigurierte Cloudflare-Tunnel und übernahm sogar die Fehlersuche, sobald Probleme auftraten.

Nach Angaben der Forscher steuerte der Angreifer die gesamte Infrastruktur ausschließlich über natürlich formulierte Eingaben auf Russisch. Direkte Befehle an die Schadsoftware oder den C2-Server waren nicht mehr notwendig. Das KI-System übernahm die technische Umsetzung zu großen Teilen völlig eigenständig.

Ein einziger Satz genügte

Bei der Migration der bestehenden C2-Infrastruktur entschied sich der Angreifer für einen Umzug auf eine neue Serverarchitektur, nachdem Sicherheitslösungen und Firewalls die bisherigen Cloudflare-Tunnel blockierten. Dafür erhielt der KI-Coding-Agent lediglich einen vorbereiteten Ordner mit einigen Textdateien und den Arbeitsauftrag: „Study the C2 migration.“

Daraufhin analysierte die KI selbstständig die bereitgestellten Informationen, entpackte den Projektordner, startete einen neuen VPS, konfigurierte die Infrastruktur und stellte die Verbindung über Cloudflare wieder her. Da während der Einrichtung mehrere Fehler auftraten, diagnostizierte das System deren Ursache eigenständig und schlug passende Korrekturen vor. Nach Angaben von Trend Micro dauerte die eigentliche Migration lediglich sechs Minuten. Der menschliche Angreifer griff dabei kaum noch aktiv ein.

KI analysierte Fehler und........

© Tarnkappe