Claude Code jako narzędzie w rękach cyberprzestępców. Analiza przypadków użycia agentów AI w realnych atakach

Mówiąc o wsparciu sztucznej inteligencji w branży IT, jeszcze do niedawna mogliśmy mieć na myśli pisanie prostych funkcji, generowanie dokumentacji na bazie kodu czy tworzenie autouzupełnień w IDE. W przypadku branży związanej z cyberbezpieczeństwem asystent AI często był kojarzony z przygotowywaniem wiarygodnych wiadomości phishingowych (bez literówek w treści) oraz tworzeniem prostych skryptów automatyzujących żmudne zadania. Te czasy już minęły.

TLDR:

• Badacze bezpieczeństwa z Gambit Security opublikowali raport opisujący przypadki użycia agentów AI w realnych atakach.
• W szczególności zwrócili uwagę na narzędzie Claude Code, które wspierało cyberprzestępców na każdym etapie – od rekonesansu aż po eksfiltrację danych.
• Inne opisywane przypadki dotyczyły wykorzystania asystentów AI do generowania zaawansowanych narzędzi, których wynikiem działań był raport podsumowujący zebrane informacje.
• Użycie sztucznej inteligencji drastycznie skraca czas trwania ataku i obniża próg wejścia dla cyberprzestępców.
• Jednak agentom AI wciąż zdarzają się krytyczne pomyłki mogące skutkować uszkodzeniem infrastruktury sieciowej i odcięciem atakującego od eksfiltrowanych zasobów.

Analizując najnowszy raport opublikowany przez Gambit Security można dojść do wniosku, że duże modele językowe (LLM-y) stały się pełnoprawnym partnerem operacyjnym, uczestniczącym niemal na każdym etapie ataku. To, co kiedyś wymagało sztabu ludzi, specjalistycznych narzędzi, skryptów i tygodni analiz zostało skompresowane do pojedynczego operatora (często nieposiadającego dogłębnej wiedzy technicznej) oraz asystenta AI.

W raporcie przedstawiono przypadki wykorzystania sztucznej inteligencji w realnych atakach. Na szczególną uwagę zasługują działania cyberprzestępcy powiązanego z grupą Ransomware-as-a-Service – The Gentlemen. O grupie pisaliśmy jakiś czas temu na łamach sekuraka. Tym razem nie chodzi jednak o ich model działania oraz dystrybuowane oprogramowanie ransomware. Uwagę badaczy zwrócił sposób używania AI przez jednego z ich członków w trakcie trwania ataku. 

Operator używał narzędzia Claude Code od firmy Anthropic do wsparcia niemal każdego etapu ataku. Działania te obejmowały m.in. opracowanie scenariusza ataku na urządzenia VPN wystawione do sieci, wykradanie poświadczeń logowania, enumerację infrastruktury Active Directory, zmiana ustawień firewalla oraz wykonanie dumpu bazy danych. 

Podczas rozmowy, asystent sugerował wątpliwości co do realizowanych zadań oraz wysyłał monit o okazanie dokumentów/pozwolenia na przeprowadzone działania. Odpowiednia modyfikacja promptów, ponowne uruchomienie asystenta z nowym wątkiem pozwoliły na ominięcie zabezpieczeń oraz otrzymanie zamierzonego efektu. 

Warto wspomnieć o kradzieży konta usługowego LDAP. Claude zmodyfikował ustawienia VPN, przekierowując weryfikację logowań na własny, przygotowany w Pythonie serwer nasłuchujący uruchomiony na maszynie atakującego na porcie 389. Wykonanie polecenia diagnose test authserver zmusiło FortiGate do przesłania hasła konta usługowego tekstem jawnym, po czym model przywrócił pierwotną konfigurację, pomyślnie dostarczając operatorowi poświadczenia logowania. 

Podczas dalszych działań agent włączył dostęp przez SSL-VPN (tam gdzie nie był aktywny) oraz utworzył konto typu backdoor o nazwie “test” ze stałym hasłem. Na niektórych urządzeniach docelowych dodał również reguły na firewallu, aby zapewnić dostęp z poziomu VPN do dodatkowych podsieci wewnętrznych.

Dalsze użycie Claude wiązało się z rekonesansem oraz ruchem bocznym (lateral movement). Dysponując poświadczeniami oraz dostępem do VPN, operator zlecał agentowi uruchomienie narzędzi crackmapexec lub nxc w podsieciach wewnętrznych w celu mapowania hostów, enumeracji zasobów współdzielonych (shares) i kont lokalnych. Na ogół atakujący wklejał wyniki poleceń, gotowe polecenia do wykonania lub opisywał zadanie i prosił o krótki raport. Claude analizował otrzymane wyniki i wskazywał konkretne maszyny – kontrolery domen, serwery plików, backupy, na które warto wykonać kolejny skok (pivot). 

W jednym z analizowanych przypadków (SQL Server) agent zidentyfikował produkcyjne bazy danych oraz repozytoria dokumentów klienckich. Ocenił, które z nich są najbardziej interesujące z punktu widzenia wartości biznesowej. Następnie przygotował polecenia do wykonania ich backupu oraz kompresji w celu eksfiltracji.

Warto mieć z tyłu głowy, że asystent AI nie jest nieomylny Podczas ataku na urządzenie sieciowe jednej z firm energetycznych Claude próbował zmienić opcję w ustawieniach portalu za pomocą API. Gdy to nie zadziałało, pobrał całą konfigurację, zmodyfikował ją lokalnie, a następnie wymusił pełne przywrócenie wirtualnej domeny (VDOM). 

Takie działania na żywym organizmie często wymagają ponownego załadowania interfejsów lub restartu usług sieciowych. Ponieważ konfiguracja była niepoprawna, firewall całkowicie odciął dostęp do sieci na wszystkich portach. W efekcie atakujący utracił dostęp do przejętej infrastruktury. Zapytany o sytuację Claude przyznał się do błędu odpowiadając że “nawalił” i nic dalej nie da się z tym zrobić.

W trakcie realizowanych działań operator korzystał najprawdopodobniej z modelu Claude Sonnet 4.6. Według oceny badaczy z Gambit Security cyberprzestępca mógł podjąć próby ataku na co najmniej 8 organizacji z różnych sektorów, w tym australijskie przedsiębiorstwo energetyczne, firmy z branży finansowych, sektora IT oraz zakłady produkcyjne.

Zgodnie z przedstawionym raportem cyberprzestępcy coraz częściej używają AI do tworzenia narzędzi służących do rekonesansu. Wyniki działania skryptów są interpretowane przez asystentów, po czym do atakującego trafia raport zawierający kluczowe informacje, takie jak poświadczenia logowania, adresy interesujących maszyn oraz instrukcje dotyczące eksfiltracji danych.

Czasy się zmieniają. Wsparcie narzędzi AI w działaniach ofensywnych jest widoczne niemal w każdym ataku. Biorąc pod uwagę niski próg wejścia, można założyć, że skala ataków będzie z roku na rok rosła  w zastraszającym tempie. Stawia to nie lada wyzwanie przed zespołami typu Blue Team. Być może szansą jest wykorzystanie tej samej broni i wdrażanie narzędzi AI do aktywnej obrony?

Źródło: raport Gambit Security

~_secmike