Den voksende interesse for AI-agenter er blevet et nyt våben for cyberkriminelle. En ny rapport fra HP Wolf Security viser, hvordan de lokker med en AI-robot til kryptohandel, der i virkeligheden stjæler brugernes adgangskoder og giver fri adgang til deres penge. Tanken om en AI-agent, der passer ens kryptoinvesteringer døgnet rundt, er fristende for mange. […]
Den voksende interesse for AI-agenter er blevet et nyt våben for cyberkriminelle. En ny rapport fra HP Wolf Security viser, hvordan de lokker med en AI-robot til kryptohandel, der i virkeligheden stjæler brugernes adgangskoder og giver fri adgang til deres penge.
Tanken om en AI-agent, der passer ens kryptoinvesteringer døgnet rundt, er fristende for mange. Det udnytter de kriminelle bag hjemmesiden tradingclaw.pro, som reklamerer for en personlig AI-handelsrobot. Navnet minder bevidst om en kendt AI-assistent, så brugerne føler sig trygge, og siden får besøgende gennem manipulerede søgeresultater og betalte annoncer.
Den, der henter programmet, får i stedet malwaren Needle Stealer installeret. Selve installationsfilen er et ægte program signeret af Microsoft, som Windows derfor stoler på, mens den skadelige kode ligger gemt i en fil ved siden af.
“Angriberne udnytter, at flere og flere tager AI-agenter i brug, og bruger ressourcer på nye lokkemidler, der får brugerne til at hente malware, som ser legitim ud. Det gør angrebene mere gennemarbejdede og sværere at opdage,” siger Patrick Schläpfer, Principal Threat Researcher i HP Security Lab.
Falsk wallet ligner den ægte til forveksling
Når malwaren først er på computeren, leder den efter syv populære kryptowallets, der ligger som udvidelser i browseren, blandt andre Coinbase, MetaMask og Phantom. Finder den en af dem, lukker den browseren og udskifter udvidelsen med en falsk kopi, der ligner originalen helt ned til login-skærmen. Næste gang brugeren taster sin adgangskode, går den direkte til de kriminelle, som derefter kan tømme kontoen.
Ifølge HP viser kampagnen, at man bør holde adgangskoder og økonomi langt væk fra ukendte og ubekræftede programmer, i en tid hvor der dukker nye AI-værktøjer op næsten dagligt.
Angrebet flyttes over på telefonen
Rapporten dækker også andre metoder. I en række kampagner sender de kriminelle PDF-fakturaer med en QR-kode, som modtageren bliver bedt om at scanne med sin telefon for at se dokumentet. Pointen er at flytte angrebet væk fra arbejdscomputeren, hvor mailfiltre og browserbeskyttelse ofte ville have stoppet det, og over på mobilen, hvor sikkerheden typisk er svagere. For enden venter en falsk login-side, der skal stjæle brugerens Microsoft-login.
Samtidig sælges malwaren Phantom Stealer åbent på nettet som et værktøj til sikkerhedstest, komplet med løbende opdateringer og support døgnet rundt. Køberen skal endda love ikke at bruge det til kriminelle formål.
Knap hver fjerde trussel, HP stoppede i andet kvartal, kom via downloads i browseren, mens mail stod for over halvdelen. Ti procent af truslerne via mail slap forbi virksomhedernes mailfiltre.
“Sikkerheden skal virke i alle de situationer uden at spænde ben for brugerne. Derfor har organisationer brug for en zero trust-tilgang, der bygger på isolering og inddæmning,” siger James Wright, Global Head of Security for Personal Systems hos HP.
Rapporten bygger på data fra HP Wolf Security-kunder, indsamlet fra april til juni 2026.