SecAtor

Исследователи Лаборатории Касперского изучили боевые возможности CyberStrikeAI в ходе расследования реальных атак на организации образовательного сектора в нескольких странах Африки и Латинской Америки. В рамках проактивного мониторинга угроз ЛК задетектила вредоносную кампанию с использованием агентов C2, управляемых ИИ. При этом ключевую роль на этапе постэксплуатации сыграла платформа CyberStrikeAI. Это платформа с открытым исходным кодом, в которой оркестратор LLM на сервере С2 планирует действия, подбирает инструменты и генерирует команды, в то время как имплантат выполняет их на скомпрометированных хостах. Используя CyberStrikeAI, злоумышленникам удалось перейти от разведки к полной компрометации домена. Как отмечают в ЛК, это одно из первых публичных описаний взлома с использованием языковой модели в реальных условиях. Обнаруженная ЛК кампания наглядно демонстрирует эволюцию роли ИИ в арсенале злоумышленников: до недавнего времени языковые модели использовались преимущественно на подготовительных этапах - для написания фишинговых писем, отладки кода или поиска уязвимостей. Теперь же эффективно внедряются в самое ядро атаки, автоматизируя действия на каждом этапе, включая выполнение полезной нагрузки, закрепление на хосте, обнаружение, горизонтальное перемещение, а также сбор и эксфильтрацию данных. Постэксплуатация - этап, который традиционно требовал ручной работы опытного оператора, - играет здесь особенно важную роль. Ключевым моментом схемы с задействованием фреймворка CyberStrikeAI, стало то, что имплантат перестаёт быть простым инструментом для выполнения команд оператора. Решения распределяются между двумя уровнями: оператор определяет задачу в общих чертах, а модель определяет, как её выполнить - в частности, какие команды отправить хосту и в какой последовательности. Таким образом, стратегическое планирование остаётся за человеком, выбор технических шагов делегируется модели, а имплантат выполняет решения модели. В технические детали погружаться не будем: как эта схема сработала на практике, включая описание цепочки действий злоумышленника, которую удалось восстановить в ходе расследования инцидента, настоятельно рекомендуем ознакомиться в первоисточнике.