Sophos-Bericht: KI-generierte Ransomware umgeht alle gängigen EDR-Lösungen
Sophos hat in einem Forschungsbericht dokumentiert, wie KI-Modelle wie Claude Opus 4.5 zur Generierung von Ransomware-Toolkits mit über 80 Evasions-Modulen eingesetzt werden können. Die damit erstellte Schadsoftware umging alle getesteten EDR-Lösungen.
Sophos hat in einem Forschungsbericht dokumentiert, wie KI-Modelle wie Claude Opus 4.5 zur Generierung von Ransomware-Toolkits mit über 80 Evasions-Modulen eingesetzt werden können. Die damit erstellte Schadsoftware umging alle getesteten EDR-Lösungen von Sophos, CrowdStrike und weiteren Anbietern.
Was ist passiert?
Laut einem Bericht von Sophos, der am 27. Juni 2026 veröffentlicht wurde, haben Forscher in einem kontrollierten Laborexperiment Claude Opus 4.5 zur Erstellung eines vollständigen Ransomware-Toolkits genutzt. Das KI-Modell generierte über 80 Module zur Umgehung von Endpoint Detection and Response (EDR) Systemen. Die Module umfassten Techniken zur Prozessinjektion, zum Verstecken vor Verhaltensanalyse und zur Deaktivierung von Sicherheitsagenten. Die generierte Ransomware wurde gegen mehrere kommerzielle EDR-Lösungen getestet und umging diese in allen Fällen. Der Bericht zeigt, dass KI-Modelle heute in der Lage sind, komplexe Schadsoftware zu erstellen, die bisher nur erfahrenen Bedrohungsakteuren vorbehalten war.
Wer ist betroffen?
Der Bericht betrifft potenziell alle Unternehmen, die auf EDR-Lösungen als Hauptverteidigung gegen Ransomware vertrauen. Die Erkenntnis, dass KI-generierte Schadsoftware etablierte EDR-Produkte umgehen kann, bedeutet, dass Schutzkonzepte überarbeitet werden müssen. Betroffen sind zudem alle Anbieter von EDR-Lösungen, deren Produkte im Test umgangen wurden. Der Bericht nennt Sophos und CrowdStrike explizit, weitere Produkte wurden getestet aber nicht alle namentlich genannt.
Wie kritisch ist das?
Der Bericht hat keine akute Schwachstelle zum Gegenstand, sondern zeigt ein strategisches Risiko. Die Verfügbarkeit von KI-Modellen mit starken Code-Generierungskapazitäten senkt die Einstiegshürde für Ransomware-Entwicklung erheblich. Bisher benötigten Angreifer tiefes technisches Wissen und Wochen bis Monate für die Entwicklung von Evasion-Modulen. Mit KI lässt sich dies in Stunden erreichen. Die Tests von Sophos fanden in einer kontrollierten Umgebung statt, aber die Techniken sind übertragbar. Es gibt keine Hinweise auf aktive Nutzung dieses spezifischen Toolkits im Feld.
Was sollten Admins jetzt tun?
- EDR als alleinige Schutzmaßnahme hinterfragen und durch Defense-in-Depth ergänzen
- Application Whitelisting und strikte Ausführungsrichtlinien als zusätzliche Ebene einführen
- Backups nach der 3-2-1-1-0 Regel pflegen und Restore-Tests durchführen
- Netzwerksegmentierung umsetzen, um laterale Ausbreitung von Ransomware zu erschweren
- Mitarbeiter sensibilisieren, da KI-generierte Phishing- und Social-Engineering-Angriffe ebenfalls an Qualität gewinnen
Einordnung für Unternehmen
Für kleine und mittlere Unternehmen ist der Bericht ein Weckruf, EDR nicht als Panazee zu betrachten. Die Investition in gute Backups, Netzwerksegmentierung und Schulung bleibt mindestens genauso wichtig. KI senkt die Kosten für Angreifer und ermöglicht individualisierte Angriffe, die vorher nicht wirtschaftlich waren. Unternehmen sollten ihre Sicherheitsstrategie auf mehrere Ebenen verteilen, damit der Ausfall einer Ebene nicht die komplette Verteidigung bricht.
Passende Anleitungen auf S-EDV
- Gentlemen Ransomware: EDR-Killer deaktivieren Sicherheitssoftware von 48 Herstellern – Ein aktuelles Beispiel für Ransomware, die EDR-Lösungen gezielt ausschaltet, ohne auf KI zurückzugreifen.
- Geheimdienstbündnis warnt vor KI-gestützten Cyberangriffen – Die Warnung der Five Eyes vor genau den KI-getriebenen Angriffen, die Sophos im Labor demonstriert hat.
