35C3: Vom Erpressungstrojaner zur Phishing-KI

Inhaltsverzeichnis

In keinem Jahresausblick von IT-Sicherheitsfirmen und Anti-Virus-Herstellern darf derzeit der Hinweis fehlen, dass Künstliche Intelligenz (KI) künftig helfen werde, Online-Bedrohungen für Nutzer rascher zu erkennen und abzuwehren. Hacker vom Chaos Computer Club (CCC) malten am Sonntag auf dem 35. Chaos Communication Congress (35C3) in Leipzig das gegenteilige Szenario an die Wand: eine lernende "Phishing-KI", die es Cybergaunern erleichtere, ihren Opfern mit maßgeschneiderten Mails Bitcoins aus der E-Wallet zu ziehen.

Bessere Phishing-Mails mit KI

"Jeder Datenunfall ist Futter für diese KI", prognostizierte CCC-Mitglied Ron Hendrik Fulda. Dank Industrie 4.0 und dem Internet der Dinge seien in der jüngsten Zeit schon 12 Petabyte an Firmendaten weggekommen. Dieser Reichtum an Bits und Bytes sowie viele andere online hinterlassenen elektronischen Spuren würden dem automatisch lernenden System helfen, "bessere Phishing-Mails zu schicken".

Die damit ermöglichten glaubhafteren Appelle "Tu was, klick mich" seien auch noch eine Form von Marketing, konstatierte Fulda in dem traditionellen Ausblick auf die Sicherheitsalbträume des kommenden Jahres. Es sei aber eine moralische Frage, ob ein solcher Ansatz noch in Ordnung gehe. Eventuell wolle der eine oder andere leicht abgelenkte Nutzer ja sogar eine Software, "die alle Knöpfe drückt, sodass ich in fünf Minuten Englisch lerne".

Aufregung um und durch Maschinenlernen

Angesichts der hohen Manipulationsmöglichkeiten werde es eine Frage der Sicherheit, "wo wir die Grenze festlegen", ergänzte CCC-Sprecher Frank Rieger. Diese Diskussion könne nicht mehr lange vertagt werden, da mittlerweile schon bei Facebook Maschinenlernen dafür sorgen solle, dass die Mitglieder sich gehörig aufregten.

IT-Sicherheit wird laut Rieger generell zunehmend zu einem zu einem "Layer-8-Problem", das zwischen Bildschirm und Stuhl sitze. Angriffe richteten sich also auf das, "was im Kopf passiert", gegen das menschliche Gehirn. Weit vorn gewesen sei da schon ein früher Trojaner, der beim Homebanking suggeriert habe, dass man eine Überweisung bekommen habe. Dabei handle es sich aber leider um einen Fehler, sodass die angeblich zu Unrecht Bereicherten doch bitte das Geld zurücküberweisen sollten. Viele hätten dem Folge geleistet, obwohl es sich bei der Information über den Transfer um einen Betrug gehandelt habe.

Ist das Gegenüber ein Mensch?

Die "Frage des Jahres" 2019 dürfte jedenfalls sein: "Ist es ein Skript, Maschinenlernen oder KI?", nahm Fulda den Faden auf. Ein Mensch werde ja vermutlich kaum mehr im Spiel sein. Im Umkehrschluss müsse sich der eifrige Programmierer oder Hacker fragen: "Kann ich ein Problem noch mit einem Skript lösen, brauche ich Maschinenlernen – oder muss ich noch warten?" Wohin die Reise gehe, habe der neue "Google Assistant" gezeigt, der per Telefon schon recht gut einen Tisch im Restaurant bestellen könne.

Recht menschlich wirken dem Computerspezialisten zufolge dabei vor allem Zwischenbemerkungen wie "mhmm" oder "OK", die Verständnis signalisierten. Wenn sich ein Anrufer also zusätzlich nicht mehr richtig räuspere, sollte man misstrauisch werden. Rieger wertete solche Gespräche als "nonverbalen Turing-Test für uns Menschen". Hilfreich sei es vermutlich, einfach Stolperfallen wie "Steuerdegradationsanpassungsgesetz" in die Konversation einzubauen und so der Verständnis- und Reaktionsfähigkeit des Gegenübers auf den Zahn zu fühlen.

Datenschließfächer als letzte sichere Aufbewahrungsstätte

Um im Kampf gegen eine Phishing-KI noch punkten zu können, brachte Fulda halb im Scherz spezielle "Daten-Schließfächer" ins Spiel. Nur damit könnten all die geleakten personenbezogenen Informationen wie Passwörter, Mädchennamen der Mutter oder andere Antworten auf Sicherheitsfragen im Nachhinein doch noch sicher aufbewahrt werden. Mit Sorge betrachtete er, "dass alles, was man sich vorstellen kann, einen Mikroprozessor kriegt". Die dafür benötigte Software "will Euch verraten, sie ist dazu verdammt", warnte er. Die dabei anfallenden Daten kämen angesichts der schlechten Softwarequalität im Internet of Things (IoT) zwangsweise weg.

Im "Realitätsupdate" für das auslaufende Jahr stimmte die Experten unter anderem bedenklich, dass mittlerweile 40 Android-Smartphones mit Trojaner "ab Werk" kämen, Google 700.000 und Apple "viele" mehr oder weniger "böse" Apps aus ihren Stores entfernt hätten und nach wie vor 2,7 Millionen "Beacons" von über 220.000 einzigarten IP-Adressen aus 184 Ländern auf den "Killswitch" von WannaCry verwiesen und so als Zombies im Netz verweilten. Nötig sei daher eine Art "Oldtimer-Kennzeichen für alte Hardware", um solche für Viren und Würmer besonders anfälligen Geräte einfacher in Quarantäne stecken zu können.

Crypto Wars weisen in die falsche Richtung

In keine gute Richtung laufen nach Ansicht der Hacker auch die andauernden Crypto Wars, in denen der britische Geheimdienst GCHQ nun angesichts zunehmender Ende-zu-Ende-Verschlüsselung proaktiv in fremden Ländern "zehntausende Computer aufmachen" wolle für die "Massenexfiltration" von Daten. Wenig vertrauenswürdig sei auch die australische Regierung: sie habe einerseits ein Gesetz durchgedrückt, das Unternehmen als Helfer bei der Entschlüsselung in die Pflicht nehme.

Andererseits habe eine Zeitung mehrere Aktenschränke aus Ministerien des Landes gebraucht kaufen können, die noch voller Ordner gewesen seien. Grund für diesen Leak der "Cabinet Files" nach Regierungsangaben: die Schlüssel seien verloren gegangen. (tiw)