Kaspersky a publicat pe 2 noiembrie o investigație despre atacuri asupra unor instituții de învățământ din Africa și America Latină, în care CyberStrikeAI a coordonat operațiuni în rețele deja compromise. Activitatea a fost observată în septembrie și octombrie 2026, potrivit comunicatului companiei.
CyberStrikeAI este un instrument open-source pentru testarea securității. În cazurile analizate, atacatorii l-au folosit pentru recunoaștere, furt de credențiale, deplasare între calculatoare și colectarea datelor. Constatările sunt atribuite investigației Kaspersky; identitatea atacatorilor nu a fost stabilită.
Cum a fost folosit AI-ul
Raportul tehnic Securelist descrie un incident început printr-un SQL Server compromis. Operatorul a lucrat manual aproape o zi, apoi activitatea a fost întreruptă două săptămâni. După instalarea implantului CyberStrikeAI, compromiterea conturilor de administrare a domeniului a durat trei–patru zile.
Omul stabilea obiectivele, iar modelul selecta instrumentele și comenzile. AI-ul rula pe serverul de comandă al atacatorilor. Pe calculatoarele victimelor se afla un implant de control de la distanță, fără apeluri directe către servicii AI.
Distincția contează pentru apărare: blocarea accesului la un chatbot nu ar opri automat un asemenea atac. Echipa de securitate trebuie să urmărească acțiunile executate în sistem și comunicațiile cu infrastructura externă.
Ce pot urmări administratorii
Tehnicile observate sunt cunoscute: sarcini programate malițioase, acces la credențiale și comenzi executate pe alte calculatoare. Raportul include indicatori tehnici care pot fi folosiți în investigații.
Pentru reducerea riscului, administratorii pot prioritiza:
- limitarea privilegiilor conturilor de serviciu și separarea conturilor administrative de cele folosite zilnic;
- investigarea comenzilor neobișnuite pornite de servicii de baze de date;
- corelarea alertelor de pe calculatoare cu traficul de rețea, inclusiv în afara programului;
- izolarea rapidă a gazdelor compromise și verificarea conturilor folosite pentru acces la alte sisteme.
Automatizarea poate accelera o intruziune. Detectarea timpurie și limitarea drepturilor rămân esențiale pentru a împiedica transformarea unui singur server compromis într-un incident care afectează întreaga organizație.
Ilustrație conceptuală generată cu AI pentru CyberJurnal.
