CyberStrikeAI: ИИ-оркестратор управляет атаками на организации

ИИ-оркестратор управляет атаками на организации

Специалисты «Лаборатории Касперского» выявили вредоносную кампанию с использованием C2-агентов, управляемых искусственным интеллектом. Атакующие использовали фреймворк CyberStrikeAI для проведения атак на организации образовательного сектора в Африке и Латинской Америке. Фреймворк позволяет LLM-оркестратору на стороне управляющего сервера планировать действия, подбирать инструменты и формировать команды. Имплант исполняет эти команды на скомпрометированных узлах. С помощью CyberStrikeAI злоумышленники прошли путь от разведки до полной компрометации домена. Это одно из первых публичных описаний компрометации с использованием LLM в реальных условиях. ИИ теперь встраивается в ядро атаки, автоматизируя действия на всех этапах: выполнение полезной нагрузки, закрепление на хосте, разведка, боковое перемещение и сбор данных. Особое место занимает постэксплуатация, которая традиционно требовала ручной работы опытного оператора.

LLM-оркестратор распределяет решения между сервером и имплантом

Имплант CyberStrikeAI перестает быть простым средством исполнения команд оператора. Решения распределяются между двумя уровнями: оператор ставит задачу в общем виде, а модель определяет, как ее выполнить, какие команды и в какой последовательности отправить на хост. Стратегический замысел остается за человеком, а выбор технических шагов переходит к модели. Имплант исполняет решения модели. CyberStrikeAI — модульная платформа на Go с открытым исходным кодом для автоматизации пентестов. Ключевая особенность: в одном серверном процессе объединены LLM-оркестрация атаки и встроенный C2-сервер с агентами. Интеллектуальная надстройка изолирована на управляющем сервере. Функции C2 (вызов утилит разведки и эксплуатации, управление вебшелл-соединениями, постановка задач агентам, чтение результатов) доступны модели в виде MCP-инструментов. Имплант — классический C2-агент без ИИ-функциональности. Он периодически опрашивает сервер-обработчик по HTTP/S, TCP или WebSocket, исполняет команды оболочки и работает с файловой системой. Для жертвы активность выглядит как обычная сессия удаленного управления, где задачи в очередь ставит серверный LLM-оркестратор.

Атака прошла через ручную разведку и автоматизированную постэксплуатацию

Первая фаза атаки представляет собой стандартный подход: оператор получает доступ к инфраструктуре жертвы через скомпрометированный SQL-сервер версии 16.0.1000. Затем он собирает базовую информацию о хосте, разворачивает инструментарий и проводит разведку сети. Эта активность занимает почти сутки, после чего следует пауза в две недели. Вторая фаза выглядит принципиально иначе. Первым шагом разворачивается C2-агент CyberStrikeAI, который получает команды от серверного LLM-оркестратора. Агент выполняет закрепление и локальную разведку за 2 минуты. Затем он проводит доменную разведку в течение следующих 5 часов. После короткой паузы агент переходит к финальной стадии — горизонтальному перемещению через SMB и WMI, массовому сбору учетных данных и выгрузке базы данных. Вся активность занимает не более одного часа. Первые вредоносные команды исходили от процесса sqlservr.exe, что указывает на вектор первоначального доступа и контекст исполнения кода. Команды, выполнявшиеся до установки агента, исполнялись злоумышленником в ручном режиме. Перед запуском агента злоумышленники проверяли его наличие PS-скриптом, который указывает на пути размещения: C:\Windows\Temp, C:\Windows, C:\ProgramData, C:\Temp. Злоумышленник может маскировать имя агента под легитимные системные процессы, например, svchost.exe (svchosts.exe).

Обновиться до актуальной версии или использовать средства защиты

Для защиты от подобных атак рекомендуется использовать актуальные версии программного обеспечения и применять комплексные меры безопасности. CyberStrikeAI использует PowerShell для выполнения полезной нагрузки, команды дополнительно оборачиваются в кодировку Base64 для обхода детектирования. При наличии административных привилегий агент часто создавал запланированные задачи для получения привилегий SYSTEM. Альтернативный вариант — создание задачи через COM-объект Schedule.Service. Полезная нагрузка представляет собой обратную оболочку, соединяющуюся с сервером. Распространение скриптов осуществлялось с помощью общих сетевых административных папок и протокола WMI. Злоумышленники применяли разбиение вредоносной нагрузки на несколько файлов, передавая их и запуская с помощью утилиты certutil. Скрипт расшифровывал DPAPI-секреты из файла C:\ProgramData\dsn_line.txt. Файл заполнялся командой, которая искала строку DSN в конфигурационном файле SQL Server Reporting Services rsreportserver.config и копировала ее содержимое. В ряде скриптов встречаются комментарии на китайском языке. Для закрепления в системе агент создавал запланированную задачу с именем SystemUpdate. Альтернативный способ — добавление ключа в ветку реестра HKCU\Software\Microsoft\Windows\CurrentVersion\Run. В Linux-системах закрепление реализовано через добавление записи @reboot & в пользовательский crontab или строки (nohup &>/dev/null &) в ~/.bashrc. Выбор метода закрепления делегируется подключенной LLM, но оператор сохраняет контроль через механизм Human-in-the-Loop (HITL).

Агент проводит разведку и повышает привилегии

До установки агента злоумышленники вручную собирали базовую информацию о системе с помощью команд для получения информации о системе, учетных записях и сетевых подключениях. Для проверки доступа в интернет и получения внешнего IP использовался сервис dnslog[.]cn. Агент в целях разведки генерирует скрипт для повышения привилегий через компрометацию SCCM или эксплуатацию msiexec (ключ AlwaysInstallElevated). Агент исполнял скрипты для инвентаризации служб, запущенных от имени доменных учетных записей, и задач, работающих от имени SYSTEM. Периодически проверялось срабатывание Microsoft Defender. После сбора информации о хосте злоумышленники переходили к разведке внутри сети. На подготовительном этапе вручную собирали информацию об удаленных узлах с помощью утилиты net.exe. На основном этапе для обнаружения доступных узлов без дополнительных утилит агент использовал встроенную функциональность PowerShell. Карту сети помогали составить LDAP-запросы к объектам Active Directory. Дополнительно проверялось наличие установленного агента на удаленных хостах.