Злоумышленники использовали CyberStrikeAI для координации постэксплуатации
Злоумышленники атаковали образовательные организации в нескольких странах Африки и Латинской Америки с помощью CyberStrikeAI. Серверная часть открытого фреймворка управления использует большие языковые модели для оркестрации задач после взлома. Сам имплант не обладает возможностями ИИ: он опрашивает C2-сервер, выполняет команды и обрабатывает файлы.
Разведка, закрепление и получение учётных данных
Первые зафиксированные вредоносные команды запускались из sqlservr.exe, что указывает на выполнение кода в контексте SQL Server. До развертывания агента злоумышленники искали существующие копии. Для запуска полезных нагрузок они использовали PowerShell, кодируя команды в Base64.
В Windows агенты закреплялись в системе через запланированную задачу SystemUpdate, а в Linux для этого использовались cron или .bashrc. При наличии административных учётных данных удалённые задачи могли выполняться с привилегиями SYSTEM.
Злоумышленники проводили локальную и сетевую разведку, а также изучали Active Directory с помощью PowerShell и LDAP-запросов. Они собирали данные для Керберостинга и AS-REP-ростинга и проверяли признаки использования Azure. Для получения учётных данных атакующие создавали дамп памяти процесса LSASS с помощью функции MiniDump из comsvcs.dll. Затем они применяли переименованный Mimikatz для атак DCSync и Golden Ticket Kerberos.
Перемещение по сети и сбор данных
Для горизонтального перемещения злоумышленники использовали Impacket WMIExec. В ходе операции они также извлекали секреты DPAPI и собирали данные из базы данных скомпрометированного SQL-сервера. Файлы искали рекурсивным сканированием каталогов и передавали через зашифрованный канал агента к C2-серверу. Агент связывался с подконтрольной злоумышленникам инфраструктурой по HTTP/S, TCP или WebSocket.
Метаданные сборки, специфичный для сервера HTTP-заголовок X-Implant-Token и сведения о самоподписанном сертификате TLS могут помочь идентифицировать или сопоставить развёртывания. Образцы для Windows и Linux образовали две отдельные группы сборок. Имеющиеся данные не подтверждают, что обе группы принадлежат одному оператору.
Комментарии на китайском языке в скриптах и временные характеристики активности указывают на возможное участие оператора, говорящего на китайском языке, но не служат окончательным доказательством. Полный цикл от развёртывания агента до компрометации учётной записи администратора домена занял примерно три-четыре дня. Хотя ИИ координировал рабочий процесс, наблюдаемые при атаке техники, включая запланированные задачи, создание дампа LSASS, разведку через LDAP, DCSync и перемещение с помощью WMI, относятся к устоявшимся методам атаки.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
