Microsoft Project Ire entdeckte autonom eine neue LOTUSLITE-Variante — nur 1 von 72 Anbietern reagierte

Microsofts Forschungsteam veröffentlichte am 12. Juni 2026 neue Details zu einem Projekt, das das Paradigma der Erkennung fortgeschrittener Bedrohungen verändert: Project Ire, ein autonomer Agent zur Klassifizierung von Schadsoftware, der ausschließlich mit statischer Rückwärtsanalyse arbeitet — ohne einen einzigen menschlichen Analysten und ohne jegliche Metadaten zur Probe.

Autonomer Agent, der Binärcode rückwärts analysiert

Project Ire verwendet große Sprachmodelle in Kombination mit industriellen Disassemblern und Binäranalyse-Tools, um autonom unbekannte Schadsoftware-Proben zu dekonstruieren. Der Agent erhält keinerlei Eingabeinformationen über die Herkunft der Datei, das Angriffsziel oder eine vorherige Klassifizierung. Die einzige Eingabe ist die Binärdatei selbst; die einzige Ausgabe ist ein detaillierter Verhaltensbericht, der Installationsverfahren, C2-Befehlsstrukturen und Code-Verschleierungstechniken abdeckt.

Dieser Ansatz adressiert direkt eine der größten Herausforderungen der modernen Cybersicherheit: Schadsoftware-Autoren rotieren kontinuierlich Kompromittierungsindikatoren (IOCs), um Signatur-Erkennungen zu umgehen. Während traditionelle Antivirus-Systeme nach bekannten Hash-Werten und IP-Adressen suchen, analysiert Ire das Verhalten des Codes — was ihm ermöglicht, eine Variante zu erkennen, selbst wenn kein einziger öffentlicher IOC übereinstimmt.

Was ist LOTUSLITE und wie erkannte Ire es?

LOTUSLITE ist eine Windows-DLL-Backdoor, die Acronis dokumentiert und der Gruppe Mustang Panda mit moderatem Vertrauensniveau zugeschrieben hat. Sie zeichnet sich durch eine Architektur mit getrenntem Loader und DLL aus, HTTPS-Kommunikation zu einem C2-Server mit eigenem Binärprotokoll, eine interaktive Shell über Pipes sowie Persistenz durch Einträge in der Windows-Registrierung (HKCU-Run-Schlüssel). Der Datenverkehr zum C2-Server ist als legitime Kommunikation mit Google- und Microsoft-Diensten getarnt.

Am 28. Mai 2026 analysierte Project Ire eine Probe mit dem SHA-256-Hash 47e51e82229e80a387c3cb100d39d3705e6360bbf9bfa1601dbc484e8d02e653 — eine PE-DLL-Datei mit einer Größe von 253 KB. Zu diesem Zeitpunkt markierte nur 1 von 72 Sicherheitsanbietern die Probe als bösartig. Bis zum 4. Juni stieg diese Zahl auf 7 von 70 Anbietern — immer noch ein dramatisch niedriger Prozentsatz. Zu den Anbietern, die die Bedrohung nicht erkannten, gehören CrowdStrike Falcon, SentinelOne, Sophos, Trellix, Palo Alto Networks und ESET.

Ire schloss auf eine LOTUSLITE-Variante anhand von Verhaltens-Signaturen — ohne jegliche Überschneidung mit bekannten IOCs. Die Hauptunterschiede zur zuvor dokumentierten Probe waren:

• Installationsverzeichnis: C:\ProgramData\SmartPrint\ (statt Technology360NB)
• Registrierungsschlüssel für Persistenz: DadaBank (statt Lite360)
• C2 Magic DWORD: 0xB2EBCFDF (statt 0x8899AABB)

Diese Unterschiede — bewusste Rotation durch den Angreifer — hätten Signatur-Erkennungssysteme vollständig geblendet. Für Ire, der die Semantik des Codes und nicht wörtliche Werte analysiert, stellt dies kein Hindernis dar.

Attribution: Vorsicht bei eingebetteten Strings

Innerhalb der Binärdatei wurde ein unverschleierter String BelievemeIamMustang-Panda gefunden. Acronis schrieb die LOTUSLITE-Familie der Gruppe Mustang Panda auf Basis von Infrastruktur sowie Taktiken, Techniken und Verfahren zu. Microsofts Forschungsteam enthielt sich jedoch ausdrücklich einer unabhängigen Attribution.

Der Grund ist klar: Eingebettete Attributions-Strings können gezielte Desinformation sein — sogenannte False-Flag-Operationen, die darauf abzielen, automatisierte Systeme zu täuschen, die LLM-Analyse einsetzen. Ire ist darauf ausgelegt, dieses Risiko zu erkennen: Der Agent baut Beweisketten ausschließlich auf Basis von Binärverhalten auf, nicht auf Metadaten oder Strings, die vom Angreifer platziert worden sein könnten.

Implikationen für die Sicherheitsbranche

Project Ire demonstriert eine praktische Anwendung von LLM-basiertem statischem Reverse Engineering in einem produktiven Sicherheitskontext. Mehrere Schlussfolgerungen sind besonders wichtig.

Erstens hat die Signaturerkennung einen strukturellen Nachteil bei Varianten innerhalb derselben Malware-Familie: Der Akteur ändert nur ein paar Konstanten und passiert fast alle kommerziellen EDR-Systeme. Die Probe, die nur 1,4 % der Anbieter beim ersten Scan erkannte, illustriert dies klar.

Zweitens skaliert die Verhaltensanalyse autonom — Ire kann Tausende von Proben ohne Analysten-Engagement verarbeiten. Drittens zeigt das Projekt, dass LLM-Agenten gerichtlich verwertbare Beweisketten produzieren können, nicht nur unstrukturierte Notizen.

Project Ire ist kein Ersatz für menschliche Forscher, sondern ein Kapazitätsmultiplikator. Während Analysten Prioritätsincidents bearbeiten, verarbeitet Ire den langen Schweif verdächtiger Proben, die sonst Tage oder Wochen auf eine Analyse warten würden — und in der Zwischenzeit eine aktive Bedrohung auf den Systemen der Opfer darstellen.