«Лаборатория Касперского» представила первый подробный технический анализ реальной атаки на организации, автоматизированной с помощью ИИ

«Лаборатория Касперского» обнаружила кибератаки на образовательные организации в Латинской Америке и Африке, в рамках которых злоумышленники использовали искусственный интеллект для автоматизации своих действий на разных этапах. Ключевую роль сыграл открытый фреймворк CyberStrikeAI — с его помощью атакующие смогли пройти путь от разведки до полной компрометации домена. Эксперты компании представили подробный технический анализ всей цепочки кибератаки.

Как происходит атака. CyberStrikeAI — фреймворк с открытым исходным кодом для автоматизации пентеста, который объединяет встроенный сервер командования и управления (C2) с агентами и большую языковую модель (LLM). В такой архитектуре человек-оператор ставит задачи, а модель может самостоятельно выбирать инструменты, генерировать команды и анализировать результаты их выполнения.

В рамках одного из инцидентов, который реконструировали эксперты «Лаборатории Касперского», злоумышленники сначала вручную выполняли действия через скомпрометированный SQL-сервер: собирали базовую информацию о хосте и подготавливали свой инструментарий. После этого этапа наступала двухнедельная пауза, после которой они разворачивали на устройства имплант CyberStrikeAI: он выполняет команды и передаёт результаты на сервер атакующих. С момента его установки до компрометации учётных записей администраторов домена прошло всего три-четыре дня. Заключительный этап атаки, включавший перемещение между компьютерами, сбор учётных данных и экспорт базы данных, занял не более часа.

При этом ИИ работал на сервере злоумышленников, а не на скомпрометированных компьютерах. Установленный на устройства имплант выполнял функции обычного инструмента удалённого управления и не обращался напрямую к ИИ-сервисам.

Кто стоит за атаками. Эксперты «Лаборатории Касперского» обнаружили в скриптах комментарии на китайском языке — однако эти артефакты не позволяют точно установить связь кибератаки с какой-либо известной группой, а также подтвердить, что вся обнаруженная инфраструктура находилась под контролем одного оператора.

Решение Kaspersky EDR Expert обнаружило признаки вредоносной активности, включая извлечение учётных данных и создание вредоносных задач. Сетевые средства обнаружения «Лаборатории Касперского» выявили трафик, связанный с управляющей инфраструктурой CyberStrikeAI, а также подозрительные запросы, с помощью которых злоумышленники изучали структуру доменов атакованных организаций.

Решения «Лаборатории Касперского» детектируют данную угрозу со следующими вердиктами: HEUR.Win64.CyberStrike.gen и HEUR.Linux.CyberStrike.gen.

«Данный пример показывает, как меняется роль искусственного интеллекта в кибератаках. Ещё недавно злоумышленники в основном использовали его на этапе подготовки: для написания фишинговых писем, отладки кода или поиска уязвимостей. Теперь же ИИ встраивается в ядро самой атаки, автоматизируя действия на разных этапах. ИИ-агент на базе CyberStrikeAI позволил злоумышленникам реализовать полную цепочку атаки, а также спланировать дальнейшие действия внутри скомпрометированных сетей. Сам фреймворк, однако, работал на основе уже известных техник и процедур, включая разведку, извлечение учётных данных, горизонтальное перемещение по сети, сбор и вывод информации. И хотя искусственный интеллект меняет подход злоумышленников к координации атак и повышает скорость их проведения, продвинутые и грамотно настроенные защитные решения, такие как Kaspersky EDR Expert, способны обнаруживать техники атакующих и успешно им противостоять», — комментирует Никита Назаров, руководитель отдела расширенного исследования угроз «Лаборатории Касперского».

Подробное исследование данных кибератак доступно на Securelist.

Чтобы защититься от подобных атак, «Лаборатория Касперского» рекомендует организациям:

• отслеживать подозрительную активность на конечных устройствах. Для этого подходят продукты класса EDR, например Kaspersky EDR Expert. Решение анализирует подозрительные команды, попытки доступа к учётным данным и применение механизмов закрепления в системе, а также обеспечивает реагирование в случае компрометации устройств;
• контролировать сетевую активность. В дополнение к защите конечных устройств используйте продвинутые средства обнаружения и реагирования на сетевые угрозы. Например, Kaspersky Anti Targeted Attack позволяет выявлять подозрительный трафик и анализировать активность, затрагивающую сразу несколько систем;
• предоставлять ИБ-специалистам доступ к свежей информации о новейших тактиках, техниках и процедурах злоумышленников. Kaspersky Threat Intelligence Portal — единая точка доступа к информации о киберугрозах, которая помогает исследовать подозрительные файлы и инфраструктуру злоумышленников. В нём также доступно хранилище правил детектирования (Hunt Hub), которое помогает проактивному поиску и обнаружению угроз;
• обеспечить круглосуточный мониторинг инфраструктуры. Если у компании недостаточно собственных ресурсов, можно воспользоваться решениями для управляемой защиты. Kaspersky Managed Detection and Response охватывает весь цикл реагирования на инциденты — от обнаружения угроз до их устранения.