Hacker zielen auf Datenbanken von Krypto- und Blockchain-Projekten unter Verwendung von KI ab

Datenbanken von Krypto- und Blockchain-Projekten mit schwachen Anmeldeinformationen und KI-generierten werden durch Bereitstellungs-Muster, die von Botnets aufgegriffen werden, gehackt, according to new research from Check Point.

Ein Malware-Botnet namens GoBruteforcer ist in der Lage, Linux-Server zu kompromittieren und sie in automatisierte Passwort-Knack-Knoten zu verwandeln, sagte das Cybersicherheitsunternehmen. Das Hacking-Programm hat Infrastruktur betroffen, die von Krypto-Projekten verwendet wird, einschließlich Datenbankservern, Dateiübertragungsdiensten und Web-Verwaltungspanels. 

GoBrut kann das Internet nach schlecht gesicherten Diensten durchsuchen und versuchen, sich mit gängigen Benutzernamen und schwachen Passwörtern bei Diensten anzumelden. Sobald ein System kompromittiert ist, wird es einem verteilten Netzwerk hinzugefügt, das von einem Netzwerk von Hackern remote genutzt werden kann.

Der GoBruteforcer-Botnet kann vage durchdachte Passwörter hacken

Laut dem Bericht von Check Point veröffentlicht konnte der Botnet am vergangenen Mittwoch Schutzmaßnahmen bei Diensten wie FTP, MySQL, PostgreSQL und phpMyAdmin umgehen. Diese Programme werden von Blockchain-Startups und Entwicklern dezentraler Apps zur Verwaltung von Benutzerdaten, Anwendungslogik und internen Dashboards genutzt.

Von GoBrute gehackte Systeme können Befehle von einem Command-and-Control-Server annehmen, der vorgibt, welchen Dienst es anzugreifen gilt, während er Anmeldeinformationen für Brute-Force-Angriffe bereitstellt. Die enthüllten Login-Daten werden wiederverwendet, um auf andere Systeme zuzugreifen, private Daten zu stehlen, versteckte Konten zu erstellen und die Reichweite des Botnets zu erweitern.

Check Point erwähnte auch, dass infizierte Hosts zweckentfremdet werden können, um bösartige Payloads zu hosten, Malware an neue Opfer zu verteilen oder als Backup-Steuerungsserver zu dienen, wenn das Kernsystem Ausfallzeiten hat.

Viele Entwicklungsteams nutzen heute, einschließlich derer aus großen Tech-Unternehmen wie Microsoft und Amazon, Code-Snippets und Einrichtungsanleitungen, die von großen Sprachmodellen (LLMs) generiert oder aus Online-Foren kopiert wurden. 

Check Point erklärte, dass KI-Modelle keine neuen Passwörter erstellen können und normalerweise imitieren, was sie beigebracht bekommen haben, daher machen sie Benutzernamen und Standardpasswörter sehr vorhersehbar, ohne sie schnell genug zu ändern, bevor Systeme dem Internet ausgesetzt sind. 

Das Problem wird noch dringlicher, wenn Legacy-Web-Stacks wie XAMPP verwendet werden, die administrative Dienste standardmäßig exponieren und Hackern einen einfachen Einstiegspunkt bieten.

GoBruteforcer-Kampagnen begannen in 2023, Unit 42 Forschung ergab

GoBruteforcer wurde erstmals im März 2023 von Palo Alto Networks’ Unit 42 dokumentiert, die seine Fähigkeit zur Kompromittierung von Unix-ähnlichen Systemen mit x86-, x64- und ARM-Architekturen detailliert beschrieb. Die Malware setzt einen Internet Relay Chat-Bot und einen Web-Shell ein, den Angreifer nutzen, um ihren Remote-Zugriff aufrechtzuerhalten.

Im September 2025 stellten Forscher der Black Lotus Labs von Lumen Technologies fest, dass ein Teil der infizierten Maschinen, die mit einer anderen Malware-Familie, SystemBC, verknüpft waren, auch GoBruteforcer-Knoten waren. Check Point-Analysten verglichen die in Angriffen verwendeten Passwortlisten mit einer Datenbank von rund 10 Millionen geleakten Anmeldeinformationen und stellten eine Überschneidung von etwa 2,44 % fest.

Basierend auf dieser Überschneidung schätzten sie, dass Zehntausende von Datenbankservern eines der vom Botnet verwendeten Passwörter akzeptieren könnten. Der Google-Bericht „Cloud Threat Horizons 2024“ ergab, dass schwache oder fehlende Anmeldeinformationen für 47,2 % der Initial-Zugriffsvektoren in kompromittierten Cloud-Umgebungen verantwortlich waren.

Blockchain- und KI-Aufklärungsmethoden legen private Daten offen, Forschungsergebnisse zeigen

In Fällen, in denen GoBrute in Kryptowährungsumgebungen zurückverfolgt wurde, nutzten Netzwerk-Hacker krypto-thematische Benutzernamen und Passwortvarianten, die den Namenskonventionen von Blockchain-Projekten entsprachen. Andere Kampagnen zielten auf phpMyAdmin-Panels ab, die mit WordPress-Sites verknüpft waren, einem Dienst für Projekt-Websites und Dashboards. 

„Einige Aufgaben sind eindeutig sektorspezifisch. Zum Beispiel beobachteten wir einen Angriff, der krypto-thematische Benutzernamen wie cryptouser, appcrypto, crypto_app und crypto verwendete. In diesen Durchläufen kombinierten die verwendeten Passwörter die Standard-Liste schwacher Passwörter mit krypto-spezifischen Vermutungen wie cryptouser1 oder crypto_user1234“, sagte Check Point und erwähnte Beispiele für Passwörter.

Check Point identifizierte einen kompromittierten Server, der genutzt wurde, um ein Modul zu hosten, das TRON-Blockchain-Adressen scannte und Kontostände über eine öffentliche Blockchain-API abfragte, um Gelder haltende Wallets zu identifizieren.

„Die Kombination aus exponierter Infrastruktur, schwachen Anmeldeinformationen und zunehmend automatisierten Tools. Obwohl der Botnet technisch gesehen einfach ist, profitieren seine Betreiber von der Anzahl der falsch konfigurierten Dienste im Internet“, schrieb das Sicherheitsunternehmen.