Die Gefahr liegt in der raffinierten Taktik: Nutzer suchen über KI-Chatbots nach legitimen Systemtools und erhalten in den generierten Antworten Links zu kompromittierten Domänen. Microsoft hat diese Entwicklung im April 2026 dokumentiert und spricht von einer neuen Form der “AI Search Result Poisoning” – einer Erweiterung des klassischen SEO-Poisoning auf KI-Systeme. Über 150 Malware-Domänen wurden bereits identifiziert, die über die gleeze[.]com-Infrastruktur gehostet werden.
Die Infektionskette folgt einem ausgefeilten Schema: Opfer laden eine ZIP-Datei herunter, die ein legitimes Programm sowie eine versteckte DLL-Datei (“autorun.dll”) enthält. Diese DLL sideloaded beim Start des Programms nach und installiert über “msiexec.exe” eine weitere Malware namens “vcredist_x64.dll”. Es handelt sich um ein Installationspaket für ScreenConnect – eine Fernzugriffssoftware, die Kriminellen Dauerzugriff auf das infizierte System verschafft.
Sobald ScreenConnect aktiv ist, verbindet sich die Malware mit dem Attacker-Server unter 193.42.11[.]108. Von dort wird “SimpleRunPE.exe” geladen, die Persistenz-Mechanismen einrichtet und Microsoft Defender manipuliert. Die Malware nutzt Process Hollowing, um Mining-Code unter der Identität eines vertrauenswürdigen Microsoft-Binaries auszuführen. Unterstützt werden drei Mining-Programme: gminer, lolMiner und SRBMiner-MULTI.
Das Ziel: GPU-Mining mit maximaler Effizienz. Die Angreifer konzentrieren sich bewusst auf Systeme mit leistungsstarken Grafikkarten statt wahllos viele schwache Geräte zu befallen. Damit nicht genug – die Malware kann auch Remote Access aufrechterhalten für Datendiebstahl, Lateral Movement und Ransomware-Deployment. Dies ist besonders für Behörden und kritische Infrastrukturen in Deutschland relevant, die vom BSI strikte Sicherheitsanforderungen haben.
Microsoft betont: Diese Kampagne zeigt, wie Threat Actors traditionelle Social-Engineering-Taktiken an moderne KI-Systeme anpassen. Die Kombination aus KI-gestützter Lieferung, Software-Impersonation und persistentem Zugriff markiert eine Eskalation der Cyber-Bedrohungen. Für deutsche Nutzer und Unternehmen gilt: Seien skeptisch bei KI-Chatbot-Empfehlungen zu Software-Downloads, verwenden Sie offizielle Downloadquellen und führen Sie regelmäßige Defender-Scans durch.