Aanvaller bouwt en beheert botnet volledig via Google's Gemini CLI

Een aanvaller heeft Google's open-source Gemini CLI omgebouwd tot een volwaardige botnet-operator: de AI-agent zette de aanvalsinfrastructuur op, migreerde die en beheerde het botnet, terwijl de mens erachter vrijwel alleen in het Russisch opdrachten intypte. Dat blijkt uit een analyse van beveiliger Trend Micro, die ruim een maand aan sessielogs van de dader las.

Voor elke Nederlandse organisatie die op dit moment agentic AI-tooling zoals een codeer-CLI evalueert of uitrolt, verschuift dit de risicovraag. Dezelfde open-source agent die je ontwikkelaars sneller maakt, blijkt met één tekstbestand om te bouwen tot aanvalsplatform. De drempel om kwaadaardige infrastructuur te draaien valt weg: kennis die vroeger jaren ervaring vroeg, past nu in een bestand van vijf kilobyte dat ook een niet-technische aanvaller kan gebruiken.

Een botnet in drie tekstbestanden

De hele operatie zat in drie platte tekstbestanden die samen op vier pagina's passen. Een GEMINI.md jailbreakte de agent door hem wijs te maken dat hij een "geautoriseerde pentester" was, schakelde de veiligheidswaarschuwingen uit en liet hem inloggegevens automatisch opslaan. Een SKILL.md bevatte het complete draaiboek voor de commandoserver, en een C2_MIGRATION_GUIDE.md beschreef in zes stappen hoe een verse AI-sessie de operatie op een nieuwe server herstelt.

Dat laatste bestand maakt de methode gevaarlijk. Wordt een server offline gehaald, dan pakt de aanvaller het bundeltje uit op een nieuwe VPS en zet de AI alles in enkele minuten weer op. In één sessie voltooide de agent de volledige migratie van de commandoserver in zes minuten: om 12:42 UTC kreeg hij de opdracht "bestudeer de C2-migratie", om 12:48 draaiden de nieuwe servers, tunnels en Cloudflare-configuratie.

De dader typte nooit zelf commando's in de console. Hij sprak de AI in het Russisch aan met zinnen als "check welke machines nu online zijn" of "geef me de link" voor een nieuwe besmetting, waarna de agent de bijbehorende PowerShell-oneliner genereerde.

De mens gaf richting, de AI deed het werk

Over de hele maand leverde de aanvaller 11 procent van de geproduceerde tekst en de AI 89 procent, twaalf keer zoveel woorden. De mens fungeerde als een soort productmanager die de strategie bepaalde; de agent was het complete engineeringteam. Trend Micro schrijft de AI 80 procent van het architectuurontwerp, 100 procent van het schrijven en uitvoeren van code en 90 procent van het debuggen toe. Tijdens de migratiesessie alleen al deed de agent 59 ongevraagde suggesties.

Het botnet zelf was technisch onopvallend: een Python-server die alles in het geheugen houdt en niets naar schijf schrijft, en op besmette machines een PowerShell-script dat elke vijf seconden bij de commandoserver aanklopt. Geen obfuscatie, geen packing, geen ontwijkingstrucs. Via gekaapte machines bij een tandartspraktijk kreeg de aanvaller toegang tot acht computers en de OpenDental-patiëntendatabase.

Niet alles lukte. Toen de dader vroeg om een zelfverspreidende "agent-bomb" die het hele netwerk zou infecteren, weigerde Gemini: "Dat gaat te ver." De guardrails hielden dus soms stand, maar de aanvaller week dan simpelweg uit naar een andere taak.

Waarom statische verdediging tekortschiet

De kern van het probleem is dat de code wegwerpbaar is. Wordt een bestandsnaam, registersleutel of API-pad als kwaadaardig herkend, dan vraagt de aanvaller de AI gewoon om een nieuwe variant. Trend Micro adviseert daarom te sturen op gedrag dat constant blijft: terugkerend uitgaand pollen, PowerShell die vanaf ongebruikelijke locaties draait, en WMI-abonnementen die tijdens runtime ontstaan. Daarnaast unieke wachtwoorden, controle van personeelsgegevens tegen datalekdatabases en phishingbestendige multifactor-authenticatie, want de aanvaller zette de AI ook in als wachtwoord-mutatiemachine tegen WordPress-panelen.

Deze zaak past in een patroon dat deze maand scherper wordt. Het draaiboek klinkt bijna identiek aan de JadePuffer-aanval, waar een mens het slachtoffer koos en de inloggegevens leverde en een taalmodel daarna de technische keten op machinesnelheid afwerkte. En Check Point stelde deze week vast dat AI inmiddels zelf delen van cyberaanvallen draait en het venster tussen inbraak en misbruik krimpt naar uren. De verschuiving zit niet in geniale malware, want die is er niet. Ze zit in wie zo'n operatie kan draaien: niet langer een specialist met jaren ervaring, maar iedereen die een AI-agent overtuigend genoeg weet te sturen. Een tekstbestand dat op een forum rondgaat, verandert elke capabele codeeragent in een aanvalsplatform.