Тревожный сигнал из мира кибербезопасности: ИИ стал «мозгом» атак на учебные заведения
Ситуация в сфере цифровой безопасности становится всё более напряжённой. Специалисты компании «Лаборатория Касперского» раскрыли детали серии изощрённых кибератак, которые обрушились на образовательные организации в Латинской Америке и Африке. Что особенно пугает, так это то, что злоумышленники перестали полагаться исключительно на ручной труд - они начали активно использовать искусственный интеллект для автоматизации всех этапов вторжения.
Ключевым инструментом в руках атакующих стал открытый фреймворк CyberStrikeAI. Благодаря этой технологии хакеры смогли пройти весь путь - от начального сбора разведданных до полного захвата контроля над доменом. Эксперты детально проанализировали эту цепочку событий, чтобы понять масштаб угрозы.
Как устроен «кибер-робот» CyberStrikeAI
CyberStrikeAI представляет собой платформу с открытым исходным кодом, созданную для автоматизации пентеста. Она объединяет в себе сервер командования и управления (C2), специализированных агентов и большую языковую модель (LLM). В такой системе человек лишь задаёт общие цели, а ИИ самостоятельно выбирает необходимые инструменты, генерирует команды и анализирует результаты их выполнения. Это превращает атаку в непрерывный автоматизированный процесс.
Хронология одного из инцидентов
Реконструкция, проведённая экспертами «Лаборатории Касперского», показывает отточенную до мелочей последовательность действий. Сначала злоумышленники вручную взаимодействовали со скомпрометированным SQL-сервером, собирая базовые данные о хосте и готовя свой инструментарий. Затем наступила загадочная двухнедельная пауза.
После затишья атакующие развернули на целевых устройствах имплант CyberStrikeAI. Этот модуль выполнял команды и передавал результаты обратно на сервер хакеров. С момента установки этого «агента» до полного компрометирования учётных записей администраторов домена прошло всего три-четыре дня! А финальный штрих - перемещение по сети, сбор данных и экспорт базы - занял не более часа.
Архитектура атаки: где живёт ИИ?
Важно понимать, что «мозг» операции работал на стороне злоумышленников. Сам по себе имплант, установленный на жертве, функционировал как стандартный инструмент удалённого управления и не обращался напрямую к внешним ИИ-сервисам. Это делает обнаружение атаки более сложным для систем защиты.
Загадка происхождения
В ходе анализа в скриптах были найдены комментарии на китайском языке. Однако, как отмечают специалисты, этих артефактов недостаточно, чтобы с уверенностью связать атаку с конкретной известной группировкой или доказать, что вся инфраструктура контролировалась одним оператором.
«Данный пример показывает, как меняется роль искусственного интеллекта в кибератаках. Ещё недавно злоумышленники в основном использовали его на этапе подготовки: для написания фишинговых писем, отладки кода или поиска уязвимостей. Теперь же ИИ встраивается в ядро самой атаки, автоматизируя действия на разных этапах. ИИ-агент на базе CyberStrikeAI позволил злоумышленникам реализовать полную цепочку атаки, а также спланировать дальнейшие действия внутри скомпрометированных сетей. Сам фреймворк, однако, работал на основе уже известных техник и процедур, включая разведку, извлечение учётных данных, горизонтальное перемещение по сети, сбор и вывод информации. И хотя искусственный интеллект меняет подход злоумышленников к координации атак и повышает скорость их проведения, продвинутые и грамотно настроенные защитные решения, такие как Kaspersky EDR Expert, способны обнаруживать техники атакующих и успешно им противостоять», - комментирует Никита Назаров, руководитель отдела расширенного исследования угроз «Лаборатории Касперского».
Фото: Unsplash