Der aktuelle ESET Threat Report H2 2025 beschreibt erstmals eine Ransomware, die Künstliche Intelligenz zur dynamischen Verschleierung einsetzt. Neben dieser neuen Qualität beobachten die Forschenden stark wachsende Betrugs- und Schadsoftwareaktivitäten – vom professionellen Phishing über mobile NFC-Angriffe bis hin zu massiven Verschiebungen im Stealer-Ökosystem.
Foto: ESET
Der aktuelle ESET Threat Report H2 2025 beschreibt erstmals eine Ransomware, die Künstliche Intelligenz zur dynamischen Verschleierung einsetzt. Neben dieser neuen Qualität beobachten die Forschenden stark wachsende Betrugs- und Schadsoftwareaktivitäten – vom professionellen Phishing über mobile NFC-Angriffe bis hin zu massiven Verschiebungen im Stealer-Ökosystem.
Die Künstliche Intelligenz ist vollständig in der Cyberkriminalität angekommen – zu diesem Schluss kommt der neue Threat Report des europäischen IT-Sicherheitsanbieters ESET. Der Bericht deckt den Zeitraum von Juni bis November 2025 ab und benennt eine Reihe von Entwicklungen, die das globale Risikobild verschieben. Erstmals wurde eine Ransomware-Familie gesichtet, die KI nutzt, um sich vor Erkennung zu schützen. Die Forschenden wollen mit den Ergebnissen das Bewusstsein für die Bedrohungslage schärfen. Besonders kritisch sei die Breite, mit der KI inzwischen zur Manipulation, Täuschung und technischen Tarnung eingesetzt werde.
Jiří Kropáč, Director of Threat Prevention Labs bei ESET, bewertet die Situation als klaren Einschnitt: „KI-gestützte Malware ist nicht mehr nur ein theoretisches Szenario. Zwar wird künstliche Intelligenz derzeit vor allem zur Erstellung überzeugender Phishing- und Betrugsinhalte eingesetzt, doch PromptLock markiert den Beginn einer neuen Phase im digitalen Wettrüsten.“
PromptLock gilt als erste identifizierte Ransomware-Familie, die KI zur Generierung von Schadcode einsetzt. Laut ESET erzeugt PromptLock Malware-Module dynamisch, um klassische Signaturverfahren zu umgehen. Bislang dominierten KI-Techniken vor allem dort, wo Täuschung eine zentrale Rolle spielt – etwa bei Phishing oder gefälschten Inhalten. PromptLock steht deshalb für eine neue Form der technischen Nutzung: die automatisierte, situative Anpassung von Schadcode, die Ermittlungen und Abwehrmaßnahmen erschweren kann. Der Hersteller spricht von einem Wendepunkt in der missbräuchlichen Nutzung von KI für Cyberangriffe.
Angriffe ohne komplexe Schadprogramme bleiben ebenfalls präsent – allerdings in deutlich veränderter Qualität. ESET meldet einen Anstieg der Erkennungen sogenannter Nomani-Investment-Scams um 62 Prozent im Jahresvergleich. Die Analysen nennen verbesserte Deepfakes, potenziell KI-generierte Phishing-Seiten und Werbekampagnen, die durch extrem kurze Laufzeiten auf Entdeckungsschwierigkeiten setzen. Zudem wanderten einzelne Aktivitäten von etablierten sozialen Netzwerken verstärkt auf YouTube und andere Videodienste ab.
Auch im mobilen Bereich nimmt die Dynamik zu: Angriffe über NFC-Schnittstellen auf Android-Geräte verzeichneten in der Telemetrie einen Zuwachs von 87 Prozent. Die NGate-Malware, ursprünglich auf Kontakt-Diebstahl ausgelegt, wurde technisch erweitert. Zudem identifizierte ESET mit RatOn eine neue Schadsoftware, die Remote-Access-Funktionen mit NFC-Relay-Techniken kombiniert. Einen der ersten bekannten Fälle professionellen NFC-Betrugs hatten die Forschenden bereits im August 2024 dokumentiert.
Ein Teil des Marktes reagierte auf Strafverfolgung und Umverteilung von Ressourcen. Der Infostealer Lumma verlor nach internationalen Maßnahmen deutlich an Bedeutung und verzeichnete in der zweiten Jahreshälfte 2025 einen Rückgang der Erkennungen um 86 Prozent.
Gleichzeitig expandierte der Downloader CloudEyE (GuLoader): Die Erkennungen stiegen fast um das 30-Fache. Besonders betroffen war Polen, wo 32 Prozent aller registrierten Versuche auftraten. CloudEyE dient laut Bericht häufig als Verteiler für Ransomware sowie Schadsoftware wie Formbook oder Agent Tesla – ein Hinweis auf fortbestehende Nachfrage nach modularen Distributionswerkzeugen.
Weitere Details zu den Entwicklungen der zweiten Jahreshälfte sowie vollständige Daten stellt ESET im vollständigen Bericht auf seiner Homepage bereit (ESET Threat Report H2 2025).
