Co znajdziesz w tym artykule?
Wprowadzenie do problemu / definicja
Cyberprzestępcy coraz częściej wykorzystują generatywną sztuczną inteligencję nie do autonomicznego prowadzenia ataków, lecz do przyspieszania tworzenia, testowania i udoskonalania narzędzi ofensywnych. Najnowsze ustalenia badaczy pokazują, że AI może pełnić rolę praktycznego akceleratora w projektach powiązanych z ransomware, wspierając rozwój mechanizmów omijania systemów EDR, automatyzację rekonesansu w środowisku Active Directory oraz iteracyjne poprawianie skuteczności ładunków malware.
To istotna zmiana z perspektywy obrony. Zagrożenie nie polega wyłącznie na pojawieniu się nowych technik, ale na tym, że znane metody są szybciej adaptowane, testowane i wdrażane do realnych operacji przestępczych.
W skrócie
Badacze zidentyfikowali framework używany w działaniach powiązanych z ransomware, którego rozwój był wspierany przez agentów AI. Zestaw obejmował komponenty do maskowania ruchu Cobalt Strike, komunikację C2 opartą na Telegramie, skrypty do osadzania i uruchamiania shellcode’u w legalnych procesach Windows, a także warstwę pośredniczącą ukrywającą właściwą infrastrukturę operatora.
Szczególnie istotne były dwa elementy: automatyzacja rekonesansu Active Directory oraz generator loaderów payloadów tworzonych głównie w Rust i Go. Według badaczy proces pozostawał pod kontrolą człowieka, natomiast AI odpowiadała za przyspieszenie prac badawczo-rozwojowych i testów skuteczności.
Kontekst / historia
Aktywność została ujawniona po wykryciu podejrzanych plików testowych w środowisku klienta. Początkowo mogły one przypominać legalne działania red teamowe, ponieważ użyte komponenty i metodologia były zbliżone do narzędzi stosowanych w symulacjach ataków. Dopiero analiza artefaktów operacyjnych, logów operatora oraz odniesień do infrastruktury związanej z wymuszeniami wskazała na przestępczy charakter operacji.
Znaczenie tego przypadku wykracza poza sam zestaw narzędzi. Pokazuje on, jak szybko publicznie opisywane techniki obejścia zabezpieczeń, ukrywania telemetrii czy maskowania komunikacji mogą zostać przekształcone w działające moduły ofensywne. AI obniża koszt eksperymentowania, skraca czas poprawek i zwiększa tempo budowy kolejnych wariantów narzędzi.
Analiza techniczna
W analizowanym frameworku zidentyfikowano kilka klas komponentów typowych dla nowoczesnych operacji ransomware. Jednym z nich były profile Cobalt Strike przygotowane tak, aby ruch beaconów przypominał legalne zapytania webowe. Takie maskowanie utrudnia wykrywanie anomalii sieciowych i osłabia skuteczność detekcji opartej na prostych sygnaturach ruchu C2.
Kolejnym elementem był kanał sterowania oparty na API Telegrama. Taki model ogranicza bezpośrednią ekspozycję infrastruktury operatora i częściowo ukrywa wymianę poleceń w ruchu kierowanym do popularnej usługi. Dodatkowo zastosowano warstwę pośredniczącą w roli redirectora, która oddzielała publicznie widoczny frontend od właściwego serwera C2.
Istotną rolę odgrywały także skrypty w Pythonie służące do osadzania shellcode’u w legalnych plikach wykonywalnych Windows przy zachowaniu ich podstawowej funkcjonalności. Tego typu technika zwiększa szanse na obejście wstępnej kontroli użytkownika oraz części mechanizmów reputacyjnych, szczególnie gdy plik wygląda poprawnie i działa zgodnie z oczekiwaniami.
Najbardziej niepokojącym elementem był jednak model rozwoju malware wspierany przez agentów AI. Repozytorium zawierało komponenty do automatycznego rozpoznania Active Directory oraz laboratorium do iteracyjnego testowania próbek przeciwko rozwiązaniom EDR różnych producentów. Proces miał charakter zadaniowy: zbierano wyniki testów, wybierano kolejne działania z predefiniowanego zbioru, delegowano je do wyspecjalizowanych agentów, a następnie oceniano rezultaty i nanoszono poprawki.
Poszczególni agenci realizowali wyspecjalizowane funkcje, takie jak koordynacja procesu badawczo-rozwojowego, testowanie bypassów, wzmacnianie OPSEC, dokumentowanie eksperymentów, przygotowywanie środowisk wirtualnych czy obsługa testów proxy. W praktyce oznacza to częściową automatyzację pełnego cyklu budowy narzędzia ofensywnego — od analizy technik publikowanych przez badaczy, przez ich odtworzenie i dostosowanie, po test skuteczności oraz kolejne iteracje.
Centralnym komponentem był generator loaderów payloadów napisany w Pythonie, produkujący ładunki głównie w Rust i Go. Loadery miały opakowywać surowy payload w wiele warstw szyfrowania, technik unikania analizy i alternatywnych metod wykonania kodu. Choć nie wszystkie próby kończyły się sukcesem, iteracyjny model rozwoju pozwalał szybko poprawiać skuteczność wobec rozwiązań ochronnych.
Warto podkreślić, że badacze nie znaleźli dowodów na osadzenie AI bezpośrednio w złośliwym oprogramowaniu uruchamianym na hostach ofiar. Oznacza to, że nie chodzi o autonomiczne malware podejmujące decyzje w czasie rzeczywistym, ale o wykorzystanie AI jako zaplecza wspierającego programistyczną i operacyjną stronę działań ransomware.
Konsekwencje / ryzyko
Najpoważniejszą konsekwencją jest skrócenie czasu między publikacją technik ofensywnych a ich wykorzystaniem w realnych kampaniach. To zwiększa presję na zespoły SOC, threat hunting i inżynierię detekcji, ponieważ klasyczne okno czasowe na dostosowanie zabezpieczeń staje się coraz krótsze.
Z perspektywy obrony szczególnie niebezpieczne są trzy cechy tego podejścia: modularność, testowanie przeciwko konkretnym produktom ochronnym oraz automatyzacja rekonesansu Active Directory. W efekcie napastnicy mogą szybciej identyfikować relacje zaufania, uprzywilejowane konta, serwery krytyczne i potencjalne ścieżki ruchu bocznego, a jednocześnie elastycznie podmieniać komponenty odpowiedzialne za wykonanie, komunikację i unikanie detekcji.
Dla organizacji oznacza to wzrost ryzyka ataków lepiej przygotowanych operacyjnie, bardziej odpornych na standardowe reguły wykrywania i szybciej dostosowujących się do środowiska ofiary. W praktyce może to skrócić czas od początkowej kompromitacji do eskalacji uprawnień, ruchu lateralnego i finalnego szyfrowania zasobów.
Rekomendacje
Organizacje powinny przyjąć założenie, że przeciwnicy będą coraz sprawniej tworzyć warianty malware omijające detekcję opartą wyłącznie na znanych wskaźnikach kompromitacji. Dlatego konieczne jest wzmacnianie detekcji behawioralnej, korelacji telemetrycznej i analiz opartych na pełnych łańcuchach zdarzeń.
- Monitorowanie nietypowych uruchomień procesów potomnych z legalnych binariów.
- Wykrywanie technik wstrzykiwania kodu, refleksyjnego ładowania i innych form ukrytego wykonania.
- Analiza anomalii w komunikacji wychodzącej do usług chmurowych, komunikatorów i pośredników sieciowych.
- Identyfikacja wykorzystania redirectorów maskujących właściwą infrastrukturę C2.
- Wykrywanie masowych lub sekwencyjnych zapytań do usług katalogowych wskazujących na automatyczny rekonesans AD.
W środowiskach Active Directory kluczowe znaczenie mają ograniczanie uprawnień, segmentacja administracyjna, model tieringu oraz monitorowanie działań związanych z enumeracją domeny, grup uprzywilejowanych, relacji zaufania i kontrolerów domeny. Warto również stosować pułapki detekcyjne, takie jak konta-wabiki, hosty pułapki oraz reguły dla nietypowych zapytań LDAP i PowerShell.
- Regularne testy breach and attack simulation oraz ćwiczenia purple teaming.
- Walidacja skuteczności reguł EDR/XDR wobec aktualnych technik bypassu.
- Blokowanie nieautoryzowanych narzędzi zdalnej administracji i frameworków post-eksploatacyjnych.
- Stosowanie allowlistingu aplikacji i ograniczanie uruchamiania niepodpisanych binariów.
- Ochrona repozytoriów kodu i środowisk deweloperskich przed nadużyciami.
- Szybka izolacja hostów wykazujących oznaki testowania payloadów lub aktywności laboratoryjnej.
Podsumowanie
Opisana operacja pokazuje kolejny etap ewolucji ekosystemu ransomware. Sztuczna inteligencja nie zastępuje operatora, ale wyraźnie zwiększa tempo działania, skalę eksperymentów i zdolność do szybkiego poprawiania narzędzi ofensywnych. Szczególnie groźne jest połączenie automatyzacji rekonesansu Active Directory, iteracyjnego testowania bypassów EDR oraz modularnych loaderów payloadów.
Dla obrońców najważniejszy wniosek jest praktyczny: przewaga napastnika coraz częściej wynika nie z całkowicie nowych technik, lecz z szybkości ich wdrażania. Odpowiedzią musi być szybsza walidacja zabezpieczeń, lepsza widoczność telemetryczna i koncentracja na detekcji zachowań, a nie wyłącznie konkretnych próbek malware.
Źródła
- Sophos News: https://news.sophos.com/en-us/2026/06/02/multiple-ai-agents-used-to-create-and-test-ransomware-related-tooling/
- BleepingComputer: https://www.bleepingcomputer.com/news/security/ai-built-ransomware-toolkit-automates-edr-evasion-ad-discovery/
- MITRE ATT&CK Framework: https://attack.mitre.org/