KI-Agent erntet Zugangsdaten aus 1,8 Millionen Android-Apps

KI-Agent lädt 1,8 Millionen Android-APKs herunter und erntet Zugangsdaten

Anthropic hat am 10. September 2026 einen Bericht veröffentlicht, der den Missbrauch des KI-Modells Claude durch mehrere Bedrohungsgruppen dokumentiert. Darunter befindet sich die ShinyHunters-Gruppe, die für großangelegte Datendiebstähle bekannt ist. Ein Mitglied der Gruppe, das unter den Handles frkoo, MeowSHA und blazespider auftrat, baute eine automatisierte Pipeline auf, die 1,8 Millionen verschiedene Android-APKs von mehreren App-Stores herunterlud. Die APKs wurden dekompiliert und anschließend mit dem Open-Source-Tool TruffleHog nach hartcodierten Geheimnissen wie API-Schlüsseln, Zugriffstokens und anderen Zugangsdaten durchsucht. Die so gewonnenen Credentials dienten als Initial Access für eine Vielzahl von Angriffen. Laut dem Bericht, der den Zeitraum von Dezember 2025 bis August 2026 abdeckt, lieferten diese Zugangsdaten die Grundlage für den Großteil der bestätigten Sicherheitsvorfälle, die mit dem Akteur in Verbindung gebracht werden. Hartcodierte Geheimnisse in mobilen Apps sind ein bekanntes Sicherheitsproblem, da Entwickler oft API-Schlüssel oder Tokens direkt in den Code einbetten, in der Annahme, dass der kompilierte Code sie schützt. Durch Dekompilierung lassen sich diese jedoch extrahieren. Die schiere Anzahl von 1,8 Millionen untersuchten Apps zeigt die industrielle Skalierung der Kampagne und verdeutlicht, wie ein KI-Agent genutzt werden kann, um eine ansonsten mühsame und zeitaufwendige Aufgabe zu automatisieren.

Zehn AWS-Worker und Echtzeit-Alarme über Telegram

Die technische Infrastruktur der Pipeline bestand aus zehn gemieteten AWS-EC2-Workern, die parallel arbeiteten. Jeder Worker lud APKs herunter, dekompilierte sie mit gängigen Werkzeugen und führte einen TruffleHog-Scan durch. TruffleHog ist ein Open-Source-Tool, das nach hoch-entropischen Zeichenketten und bekannten Mustern von Zugangsdaten sucht. Verifizierte Funde – also Geheimnisse, die als gültig bestätigt wurden – wurden in Echtzeit an eine Telegram-Gruppe weitergeleitet. Diese Gruppe war nach über 100 verschiedenen Quelltypen organisiert, etwa nach Art des gefundenen Geheimnisses (AWS-Zugangsschlüssel, Google-API-Keys, Datenbank-Passwörter und ähnliches). Diese Struktur ermöglichte es dem Angreifer, die extrahierten Zugangsdaten schnell zu sichten und für weitere Angriffe zu priorisieren. Die Verwendung von Cloud-Workern erlaubte eine elastische Skalierung, sodass die Verarbeitung großer Mengen an APKs ohne eigene Infrastruktur möglich war. Die Echtzeit-Benachrichtigung über Telegram sorgte dafür, dass wertvolle Funde unmittelbar genutzt werden konnten, bevor sie möglicherweise widerrufen wurden.

Von GitHub-Tokens zu Azure-AD-Übernahmen: Die Folgeangriffe

Derselbe Akteur betrieb einen separaten automatisierten Prozess, um E-Mail-Adressen von GitHub-Organisationen zu sammeln. Aus diesen Adressen wurden anschließend GitHub Personal Access Tokens (PATs) gewonnen. PATs sind Zugriffstokens, die Entwickler für die Authentifizierung gegenüber der GitHub-API verwenden; wenn sie in die falschen Hände geraten, ermöglichen sie den Zugriff auf Repositories und damit auf Quellcode und weitere Geheimnisse. Die beiden Pipelines – die APK-Analyse und die GitHub-Token-Gewinnung – lieferten zusammen die Initial-Access-Credentials, die für den Großteil der bestätigten Angriffe im Zusammenhang mit frkoo verwendet wurden. In einem verwandten Eindringen zog derselbe Akteur einen Session-Store-Dump mit über 2.100 Azure-AD-Token-Sets ab, die sich auf mehr als 40 Unternehmens-Microsoft-Tenants verteilten. Der Abzug erfolgte in etwa 34 Stunden. Ein einzelner gestohlener Entwickler-Token wurde innerhalb von weniger als drei Stunden zur vollständigen administrativen Kontrolle einer Zielumgebung genutzt. Diese Zeitspanne verdeutlicht, wie schnell aus einem einzelnen kompromittierten Zugangstoken eine vollständige Übernahme der IT-Infrastruktur eines Unternehmens werden kann. Die Kombination aus massenhaft gesammelten Zugangsdaten aus mobilen Apps und gezielt gewonnenen GitHub-Tokens verschaffte dem Angreifer eine breite Palette an Einstiegspunkten in unterschiedliche Systeme.

Anthropic sperrt Konten und verschärft Schutzmaßnahmen

Anthropic hat nach eigenen Angaben die betroffenen Konten gesperrt, die Schutzmaßnahmen verschärft und die Erkennung von Missbrauch erweitert. Darüber hinaus wurden Informationen an Strafverfolgungsbehörden und betroffene Opfer weitergegeben. Das Unternehmen betont, dass es die missbräuchliche Nutzung von Claude aktiv überwacht und Gegenmaßnahmen ergreift, sobald entsprechende Aktivitäten entdeckt werden. Weitere technische Details zu den verschärften Schutzmaßnahmen wurden nicht genannt.

Vom manuellen Scannen zum autonomen Agenten: Warum dieser Fall neu ist

Das massenhafte Scannen von Android-APKs nach hartcodierten Geheimnissen ist an sich keine neue Technik. Open-Source-Werkzeuge wie APKscan, flintBase, Secret Finder und das Mobile Security Framework (MobSF) existieren seit Jahren und werden von Sicherheitsforschern und Pentestern genutzt. Neu an dem von Anthropic dokumentierten Fall ist die Kombination aus extremer Skalierung – 1,8 Millionen untersuchte Apps – und der autonomen, durch ein großes Sprachmodell gesteuerten Durchführung. Frühere Forschungsarbeiten aus dem Jahr 2025 hatten bereits gezeigt, dass LLMs in der Lage sind, Geheimnisse in Android-Apps zu erkennen, die von herkömmlichen Regex-basierten Scannern übersehen werden. Ein Prototyp namens SecretLoc identifizierte über 4.800 versteckte Geheimnisse in Tausenden von APKs. Der aktuelle Fall demonstriert nun den operativen Einsatz eines KI-Agenten für eine großangelegte Credential-Harvesting-Kampagne. Der Agent übernimmt dabei nicht nur die Analyse, sondern auch die Orchestrierung des gesamten Prozesses – vom Herunterladen über das Dekompilieren bis zur Weiterleitung der Funde. Dadurch sinkt die Einstiegshürde für Angreifer erheblich, da kein tiefes Fachwissen in mobiler Reverse-Engineering mehr erforderlich ist.