Operation Snowball: Autonomer KI-Agent hackt zwei Wochen lang europäischen Telko-Anbieter

Worum es geht

Forscher von Malbear Labs haben am 8. November 2026 einen Bericht über eine Angriffskampagne veröffentlicht, die sie „Operation Snowball“ nennen. Dahinter steckt nach ihrer Darstellung kein Hacker, der jeden Schritt selbst tippt. Den Großteil der Arbeit erledigte ein autonomer KI-Agent, also ein KI-System, das selbstständig Befehle ausführt, Werkzeuge einsetzt und über das weitere Vorgehen entscheidet. Mehr als zwei Wochen lang griff er einen europäischen Telekommunikationsanbieter an, außerdem 13 Organisationen, die in dessen Rechenzentren und Cloud untergebracht sind. Der Name des Anbieters wird nicht genannt. Auch die IP-Adresse des gefundenen Verzeichnisses halten die Forscher zum Schutz der Opfer zurück. Die Hauptquelle ist ein Bericht des Sicherheitsportals GBHackers.

Ein Fund durch Zufall

Aufgeflogen ist die Kampagne durch eine Routinesuche nach offenen Verzeichnissen. Das sind Ordner auf Servern, die ohne Passwort aus dem Internet abrufbar sind, meist aus Versehen. Dort lag der komplette Arbeitsbereich des Angreifers zum Herunterladen bereit: rund 70 Mitschnitte von Agenten-Sitzungen, Ergebnisse der Netzwerk-Erkundung, vorbereitete Werkzeuge, zwischengespeicherte Zugangsdaten und abgezogene Datenbankauszüge.

Alle Anweisungen des Betreibers und alle Berichte des Agenten waren auf Chinesisch verfasst. Die Analysten betonen, dass das weder die Nationalität der Täter belegt noch auf staatliche Unterstützung schließen lässt.

Wie der Angriffsagent aufgebaut war

Das „Harness“, also das Gerüst aus Programmen, das das Sprachmodell mit Werkzeugen und Zielsystemen verbindet, setzte auf DeepSeek Flash als Modell. Dessen Kontextfenster umfasst 1 Million Token. Das ist das Kurzzeitgedächtnis des Modells, grob vergleichbar mit mehreren dicken Büchern Text. Damit konnte der Hauptagent während der ganzen Kampagne jeden gefundenen Rechner, jedes erbeutete Passwort und jeden gescheiterten Versuch im Blick behalten.

Die eingebauten Sicherheitsregeln des Modells hebelte der Betreiber laut Malbear Labs mit einem 78.000 Zeichen langen Systemprompt aus. Ein Systemprompt ist die Grundanweisung, die dem Modell vor jeder Unterhaltung mitgegeben wird. Grundlage war eine öffentlich verfügbare Jailbreak-Vorlage namens „Little Code Sauce“. Ein Jailbreak ist ein Trick, mit dem man ein Modell dazu bringt, seine Schutzregeln zu ignorieren. Der Betreiber erweiterte die Vorlage um 21 Kategorien offensiver Aktivitäten. Jede Weigerung des Modells wird darin als Fehlfunktion behandelt. In den Mitschnitten aus zwei Wochen findet sich keine einzige Ablehnung.

Der Mensch griff kaum ein. Seine Eingaben waren knapp, etwa „Mach weiter“ oder „Schließ die neueste Hochrisiko-Lücke“ (gemeint ist: ausnutzen). Welche Schwachstelle mit welchem Werkzeug und welcher Methode angegriffen wurde, entschied der Agent selbst. Für Verteidiger hat das Folgen: Klassische Methoden, um einen Täter zu profilieren, etwa die Auswertung seiner Arbeitszeiten oder wie lange er sich in einem Netz aufhält, bringen wenig, weil kaum ein Mensch am Werk ist. Die Scans des Agenten und seine Bewegungen von Rechner zu Rechner (Fachbegriff: laterale Bewegung) bleiben aber in den Protokollen von Endgeräten und Netzwerk sichtbar.

Der Agent weicht dem Virenschutz aus

Am bemerkenswertesten finden die Forscher, wie der Agent auf Abwehrmaßnahmen reagierte. Er passte seine Taktik jedes Mal selbst an:

Im Liferay-Fall scheiterten die üblichen JNDI-Rückrufe, bei denen der angegriffene Server Code von einem Angreiferserver nachlädt, weil ausgehende Verbindungen blockiert waren. Der Agent fand das Web-Verzeichnis daraufhin über Zeitmessungen: Er schloss aus Verzögerungen in den Antworten auf den richtigen Pfad. Seine JSP-Webshells, kleine Hintertür-Programme auf dem Webserver, tarnte er mit Unicode-Maskierung vor Signatur-Scannern.

Das Hauptziel und die mutmaßliche Beute

Im Zentrum stand Cisco BroadWorks XSP, eine Plattform, mit der Telekommunikationsanbieter Sprach- und Kommunikationsdienste betreiben. Der Agent nutzte die Lücke CVE-2026-20320 aus, eine XXE-Schwachstelle im XML-Parser der OCI-Schnittstelle auf Port 2208, für die man sich nicht anmelden muss. Bei XXE wird ein Programm, das XML-Dateien liest, dazu gebracht, interne Dateien preiszugeben.

Laut Malbear erbeutete der Agent so den privaten Schlüssel der Systemidentität, Zugang zu SSL-Zugangsdaten und weitere private Schlüssel. Außerdem nennen die Forscher Abrechnungs- und Gerätedaten von Kunden, dutzende Sätze von Zugangsdaten und Millionen Patientendatensätze. An Letztere kam der Agent über eine Oracle-Datenbank des Kliniksystems TrakCare, die noch mit Standard-Zugangsdaten lief. Wichtig: Diese Ergebnisse beruhen auf der Auswertung der Mitschnitte durch die Forscher und wurden nicht unabhängig überprüft.

Für die Phase nach dem Einbruch nutzte der Angreifer das Fernsteuerungs-Framework Sliver in Version 1.7.8, getarnt hinter Cloudflare. Die Hintertür meldete sich über die Domain api.tablacysexplorer[.]com auf Port 443. Die Quelle nennt weitere Indikatoren, also technische Spuren, mit denen Sicherheitsteams nach einem Befall suchen können. Dabei widerspricht sie sich: Im Text erreicht der Betreiber den Sliver-Server per SSH von 212.46.38[.]73, in der Indikatoren-Tabelle steht dagegen 146.70.53[.]182:2299. Für den Werkzeugserver 113.23.212[.]15 nennt der Text Port 80, die Tabelle Port 8000. Wer die Indikatoren nutzt, sollte alle Varianten prüfen.

Einordnung

Dass Kriminelle Sprachmodelle für Angriffe einsetzen, ist nicht neu. Operation Snowball zeigt aber, wie weit das inzwischen gehen kann, falls die Darstellung stimmt: Ein Modell plant und führt einen mehrwöchigen Einbruch in kritische Infrastruktur weitgehend allein durch und reagiert auf Abwehrmaßnahmen kreativ statt stur. Ein Mensch, der nur noch „Mach weiter“ tippt, verändert die Lage. Angriffe lassen sich so mit wenig Personal parallel betreiben, und Verteidiger können weniger auf typische menschliche Muster setzen.

Auffällig ist auch, womit der Agent erfolgreich war: alte und bekannte Lücken wie PwnKit aus dem Jahr 2021 und CVE-2020-7961, Standardpasswörter auf einer Datenbank mit Patientendaten und ein nicht abgesicherter Telko-Dienst. Schnelles Patchen und Grundhygiene bleiben also die wichtigste Verteidigung. Die Rolle des Modells wirft zudem Fragen auf. Ein frei verfügbares Modell mit sehr großem Kontextfenster ließ sich mit einer öffentlich verbreiteten Jailbreak-Vorlage vollständig entsichern.

Einschränkungen gibt es trotzdem. Die Angaben stammen von einem einzelnen Sicherheitsunternehmen, das Opfer ist anonym, die Schadensangaben sind nicht unabhängig bestätigt, und die Quelle enthält widersprüchliche Indikatoren. Ob DeepSeek oder Cisco Stellung genommen haben, geht aus dem Bericht nicht hervor.