Μια νέα έκθεση της Gambit Security καταγράφει τη χρήση τεχνητής νοημοσύνης σε ενεργή επίθεση ransomware, με ύποπτο συνεργάτη της επιχείρησης The Gentlemen να αξιοποιεί το Claude Code σε διαφορετικά στάδια της εισβολής.
Οι ερευνητές διαπίστωσαν ότι ο δράστης χρησιμοποίησε το Claude Sonnet 4.6 για την παραβίαση VPN συσκευών, την κλοπή διαπιστευτηρίων, την εξερεύνηση δικτύων και την εξαγωγή δεδομένων από βάσεις SQL. Τουλάχιστον οκτώ οργανισμοί φέρεται να επηρεάστηκαν, μεταξύ των οποίων ενεργειακή εταιρεία στην Αυστραλία, χρηματοπιστωτική εταιρεία στον Μαυρίκιο και κατασκευαστικές επιχειρήσεις στην Ταϊλάνδη και τις ΗΠΑ.
Η τεχνητή νοημοσύνη μέσα στην επίθεση
Ο χειριστής δεν χρησιμοποιούσε το Claude μόνο για τη δημιουργία κώδικα. Αντίθετα, του παρείχε αποτελέσματα από προηγούμενες ενέργειες και ζητούσε προσαρμογές μέχρι να επιτευχθεί ο επιθυμητός στόχος.
Οι ερευνητές περιγράφουν έτσι ένα μοντέλο που λειτουργούσε ουσιαστικά ως διαδραστικός βοηθός κατά τη διάρκεια της εισβολής.
Κλοπή διαπιστευτηρίων και πρόσβαση VPN
Ιδιαίτερα σημαντική ήταν η χρήση τεχνικής LDAP pass-back. Το Claude τροποποίησε τις ρυθμίσεις ενός firewall FortiGate και δημιούργησε υποδομή που επέτρεψε την υποκλοπή διαπιστευτηρίων λογαριασμού υπηρεσίας.
Στη συνέχεια δημιουργήθηκε κρυφός λογαριασμός VPN με την ονομασία «test», ενώ ενεργοποιήθηκε πρόσβαση SSL-VPN σε συσκευές όπου είχε απενεργοποιηθεί.
Στο στόχαστρο οι βάσεις δεδομένων
Μετά την είσοδο στα δίκτυα, το Claude χρησιμοποιήθηκε για την αναγνώριση σημαντικών συστημάτων, ελεγκτών domain, file servers και υποδομών αντιγράφων ασφαλείας.
Σε περιβάλλον SQL εντοπίστηκαν βάσεις παραγωγής και αρχεία πελατών, τα οποία αντιγράφηκαν, συμπιέστηκαν και προετοιμάστηκαν για εξαγωγή από τον χειριστή.
Η τεχνητή νοημοσύνη έκανε και λάθη
Η αυτοματοποίηση δεν ήταν πάντοτε επιτυχής. Σε μία περίπτωση, κατά την τροποποίηση firewall, το Claude πραγματοποίησε κατά λάθος πλήρη επαναφορά διαμόρφωσης, με αποτέλεσμα η συσκευή να τεθεί εκτός λειτουργίας.
Η υπόθεση δείχνει ότι η τεχνητή νοημοσύνη εξελίσσεται σε ενεργό εργαλείο κυβερνοεπιθέσεων, μειώνοντας την ανάγκη για συνεχή ανθρώπινη παρέμβαση και δημιουργώντας νέες προκλήσεις για τις ομάδες κυβερνοασφάλειας.
