AI napędza cyberataki, a luka ComoDoS osłabia zaufanie do narzędzi ochronnych

Co znajdziesz w tym artykule?

1 Wprowadzenie do problemu / definicja
2 W skrócie
3 Kontekst / historia
4 Analiza techniczna
5 Konsekwencje / ryzyko
6 Rekomendacje
7 Podsumowanie
8 Źródła

Wprowadzenie do problemu / definicja

Krajobraz cyberzagrożeń w 2026 roku staje się coraz bardziej złożony, ponieważ atakujący łączą klasyczne techniki kompromitacji z automatyzacją opartą na sztucznej inteligencji. W praktyce oznacza to szybsze przygotowywanie kampanii, łatwiejsze skalowanie działań oraz skuteczniejsze wykorzystywanie błędów konfiguracyjnych, luk w zabezpieczeniach i zaufania użytkowników do legalnych narzędzi.

Na szczególną uwagę zasługują cztery równoległe zjawiska: rosnąca rola AI w operacjach ofensywnych, kampanie malware nastawione na cryptomining i trwały dostęp do środowiska ofiary, aktywność operatorów ransomware oraz krytyczne podatności w produktach bezpieczeństwa. To połączenie pokazuje, że organizacje nie mogą już patrzeć na ryzyko wyłącznie przez pryzmat pojedynczych incydentów, lecz muszą analizować całe łańcuchy ataku.

W skrócie

Sztuczna inteligencja coraz częściej wspiera działania ofensywne zgodne z taktykami MITRE ATT&CK.
Atakujący wykorzystują pozycjonowanie wyników wyszukiwania i rekomendacje narzędzi AI do dystrybucji fałszywego oprogramowania.
Kampanie cryptominingowe nie służą wyłącznie do kradzieży mocy obliczeniowej, ale mogą stanowić etap wstępny do dalszej kompromitacji.
Niezałatana podatność ComoDoS w Comodo Internet Security ma umożliwiać zdalne wywołanie awarii systemu Windows przy użyciu pojedynczego spreparowanego pakietu IPv6.
Utrzymuje się zagrożenie dla środowisk OT i infrastruktury krytycznej, zwłaszcza tam, gdzie urządzenia są bezpośrednio wystawione do internetu.

Kontekst / historia

W ostatnich miesiącach obserwujemy zmianę jakościową w sposobie prowadzenia ataków. Przestępcy coraz rzadziej polegają na jednym narzędziu lub jednym exploicie, a coraz częściej budują wieloetapowe operacje obejmujące socjotechnikę, legalne oprogramowanie zdalnego dostępu, mechanizmy unikania detekcji i automatyzację późniejszych etapów kompromitacji.

Równolegle dojrzewa model cyberprzestępczości jako usługi. Ransomware-as-a-service, gotowe zestawy malware i łatwo dostępne komponenty do obchodzenia zabezpieczeń sprawiają, że próg wejścia dla mniej zaawansowanych grup maleje. W tym samym czasie narzędzia AI przestają pełnić wyłącznie rolę pomocniczą przy tworzeniu treści czy kodu i zaczynają wspierać rozpoznanie, planowanie oraz orkiestrację działań po uzyskaniu dostępu.

To ważny punkt zwrotny także dla obrońców. Dotychczas wiele organizacji zakładało, że wdrożenie klasycznych produktów ochronnych znacząco obniża ryzyko. Jednak przypadki niezałatanych luk w samym oprogramowaniu bezpieczeństwa pokazują, że także warstwa ochronna może stać się źródłem ekspozycji.

Analiza techniczna

Jednym z najważniejszych sygnałów jest wzrost zainteresowania AI jako komponentem wspierającym operacje cybernetyczne. Mapowanie aktywności przeciwników do MITRE ATT&CK wskazuje, że duże modele językowe mogą być wykorzystywane do przyspieszania przygotowania procedur ataku, generowania artefaktów operacyjnych oraz wspierania działań związanych z ruchem lateralnym czy pozyskiwaniem poświadczeń. Kluczowe znaczenie ma tu nie sam model, ale warstwa orkiestracyjna pozwalająca łączyć kolejne kroki w bardziej autonomiczny łańcuch.

Drugim istotnym trendem są kampanie, w których przestępcy podszywają się pod legalne narzędzia. Wykorzystują do tego zarówno pozycjonowanie wyników wyszukiwania, jak i odpowiedzi generowane przez chatboty AI. Użytkownik, przekonany o legalności pliku, pobiera fałszywe narzędzie, które instaluje mechanizm trwałego dostępu, a następnie uruchamia ładunek wykorzystujący GPU do kopania kryptowalut. Taki schemat łączy socjotechnikę, nadużycie zaufania do znanych marek oraz ukrywanie aktywności wewnątrz zaufanych procesów systemowych.

Nie mniej groźna pozostaje aktywność grup ransomware. Opisywany wariant powiązany z rodziną „The Gentlemen” wykorzystuje szyfrator napisany w Go oraz techniki utrudniające analizę. Szczególnie istotne są możliwości samodzielnego rozprzestrzeniania się w sieci oraz tworzenia zadań harmonogramu z uprawnieniami SYSTEM. Oznacza to, że po uzyskaniu pierwszego punktu wejścia malware może szybko zwiększyć zasięg kompromitacji i przejść od pojedynczego hosta do wielu systemów w tym samym segmencie.

Na osobne omówienie zasługuje podatność ComoDoS w Comodo Internet Security. Z ujawnionych informacji wynika, że błąd może umożliwiać zdalne doprowadzenie do awarii chronionego systemu Windows przez wysłanie pojedynczego spreparowanego pakietu związanego z IPv6. Z perspektywy operacyjnej jest to scenariusz bardzo poważny, ponieważ nie wymaga klasycznego obejścia polityki bezpieczeństwa, a skutkiem może być utrata dostępności stacji roboczej lub serwera chronionego przez produkt bezpieczeństwa.

Dodatkowe ostrzeżenia dotyczą systemów Automatic Tank Gauge wystawionych do internetu. To dobrze znany problem w środowiskach OT: urządzenia projektowane z myślą o sieciach zamkniętych trafiają do publicznej sieci bez odpowiedniej segmentacji, silnego uwierzytelniania i kontroli dostępu. W takiej sytuacji cyberzagrożenie może bardzo szybko przełożyć się na ryzyko operacyjne i fizyczne.

Konsekwencje / ryzyko

Dla przedsiębiorstw, administracji i operatorów infrastruktury krytycznej najgroźniejsza jest dziś kumulacja wielu czynników ryzyka. AI obniża próg wejścia dla części działań ofensywnych i skraca czas przygotowania kampanii. Jednocześnie przestępcy coraz skuteczniej ukrywają się za legalnymi narzędziami, zaufanymi instalatorami i oprogramowaniem do zdalnego wsparcia, co utrudnia wykrycie incydentu na wczesnym etapie.

Kampanie cryptominingowe generują skutki finansowe wykraczające poza samo zużycie mocy obliczeniowej. Wysokie obciążenie CPU i GPU może powodować spadek wydajności, wzrost kosztów energii, szybsze zużycie sprzętu oraz zakłócenia pracy użytkowników. Jeśli jednak ten sam wektor infekcji daje atakującemu trwały dostęp do hosta, należy zakładać możliwość dalszej eskalacji, kradzieży danych lub wdrożenia ransomware.

W przypadku luki ComoDoS głównym zagrożeniem jest utrata dostępności. Nawet bez bezpośredniego wykonania kodu możliwość zdalnego wywołania awarii systemu może wystarczyć do zakłócenia działania kluczowych stanowisk, usług lub serwerów końcowych. Dla organizacji o wysokiej zależności od ciągłości działania oznacza to realne ryzyko przestojów i kosztownych działań naprawczych.

W środowiskach OT i systemach przemysłowych skutki mogą być jeszcze poważniejsze. Ekspozycja urządzeń monitorujących i kontrolnych na internet może prowadzić nie tylko do incydentów po stronie IT, ale również do zaburzenia procesów fizycznych, naruszenia bezpieczeństwa operacyjnego oraz problemów regulacyjnych.

Rekomendacje

Organizacje powinny potraktować obecne sygnały jako impuls do wzmocnienia zarówno podstawowej higieny bezpieczeństwa, jak i zaawansowanych zdolności detekcyjnych. W pierwszej kolejności warto ograniczyć możliwość pobierania nieautoryzowanego oprogramowania z internetu oraz wdrożyć kontrolę aplikacji opartą na listach dozwolonych, reputacji plików i weryfikacji podpisów cyfrowych.

Monitorować instalacje narzędzi do zdalnego wsparcia i zdalnej administracji.
Rozszerzyć telemetrię o procesy systemowe, PowerShell, harmonogram zadań, usługi zdalne oraz nietypowe użycie GPU.
Uzupełnić alerting o anomalie wydajnościowe mogące wskazywać na cryptomining.
Wdrożyć polityki bezpiecznego korzystania z chatbotów i narzędzi generatywnej AI.
Walidować źródła plików wykonywalnych i szkolić użytkowników z rozpoznawania fałszywych narzędzi.

W odniesieniu do produktów ochronnych konieczny jest proces szybkiej oceny ekspozycji na nowe podatności. Jeśli poprawka nie jest dostępna, należy uruchamiać działania kompensacyjne, takie jak ograniczenie ruchu IPv6 tam, gdzie nie jest on wymagany biznesowo, filtrowanie pakietów na granicy sieci, dodatkowe mechanizmy IDS/IPS oraz segmentacja hostów najbardziej narażonych na zakłócenia.

Środowiska OT powinny zostać bezwzględnie odseparowane od publicznego internetu. Zdalny dostęp należy realizować wyłącznie przez kontrolowane punkty pośrednie, z silnym uwierzytelnianiem, rejestrowaniem sesji oraz restrykcyjnym nadawaniem uprawnień. Każde urządzenie projektowane pierwotnie do pracy w sieci zamkniętej powinno być traktowane jako nieprzystosowane do bezpośredniej ekspozycji internetowej.

Podsumowanie

Najnowsze sygnały z rynku pokazują, że cyberzagrożenia rozwijają się jednocześnie na kilku frontach. Atakujący coraz odważniej wykorzystują AI jako element wsparcia operacyjnego, kampanie malware skutecznie łączą socjotechnikę z nadużyciem legalnych narzędzi, a niezałatane luki w produktach bezpieczeństwa przypominają, że nawet warstwa ochronna wymaga ciągłej weryfikacji.

Dla zespołów bezpieczeństwa najważniejszy wniosek jest prosty: sama obecność narzędzi ochronnych nie wystarcza. O odporności organizacji decydują dziś segmentacja, monitoring, szybka reakcja na podatności, kontrola źródeł oprogramowania oraz zdolność do łączenia sygnałów z wielu warstw środowiska w jeden spójny obraz ryzyka.