«Лаборатория Касперского» исследовала кибератаки на образовательные организации в Латинской Америке и Африке, в которых злоумышленники использовали искусственный интеллект для автоматизации практически всех этапов взлома. По данным компании, атакующие применяли открытый фреймворк CyberStrikeAI, позволивший организовать полный цикл атаки — от сбора информации до получения контроля над доменом организации.
CyberStrikeAI объединяет сервер управления, программных агентов и большую языковую модель. Оператор задаёт задачи, после чего ИИ самостоятельно подбирает инструменты, формирует команды и анализирует результаты.
В одном из расследованных инцидентов злоумышленники сначала получили доступ к SQL-серверу и вручную собрали информацию о системе. Затем последовала двухнедельная пауза, после которой на устройства установили имплант CyberStrikeAI. Всего за три-четыре дня атакующие смогли скомпрометировать учётные записи администраторов домена. Финальная стадия, включавшая перемещение по сети, сбор паролей и выгрузку базы данных, заняла менее часа.
При этом искусственный интеллект работал на серверах злоумышленников, а не на взломанных компьютерах. Установленный имплант лишь выполнял команды и передавал результаты на управляющий сервер.
В скриптах специалисты обнаружили комментарии на китайском языке, однако этого недостаточно, чтобы связать атаки с конкретной хакерской группировкой. Для выявления угрозы применялись средства Kaspersky EDR Expert и сетевые инструменты мониторинга компании.
По оценке экспертов, использование ИИ позволяет ускорить и координировать сложные кибератаки, хотя сами методы взлома остаются известными: разведка, кража учётных данных и перемещение между системами. В «Лаборатории Касперского» рекомендуют организациям усилить контроль конечных устройств и сетевого трафика, регулярно обновлять данные о киберугрозах и обеспечить круглосуточный мониторинг инфраструктуры.