Co znajdziesz w tym artykule?
Wprowadzenie do problemu / definicja
Badacze bezpieczeństwa opisali przypadek zestawu narzędzi ransomware, którego rozwój był wspierany przez modele AI oraz agentów automatyzujących wybrane etapy prac ofensywnych. Nie chodzi jednak o w pełni autonomiczne złośliwe oprogramowanie działające samodzielnie po stronie ofiary, lecz o wykorzystanie sztucznej inteligencji do przyspieszenia tworzenia, testowania i udoskonalania komponentów ataku.
Najistotniejszym elementem tego trendu jest połączenie automatyzacji omijania systemów EDR z rozpoznaniem środowisk Active Directory. To właśnie te dwa obszary mają kluczowe znaczenie dla skutecznego przygotowania kampanii ransomware i dalszej eskalacji działań po uzyskaniu dostępu do organizacji.
W skrócie
Analizowany framework wspierał przygotowanie ładunków utrudniających wykrycie przez rozwiązania ochronne oraz zawierał komponenty służące do automatyzacji rekonesansu usług katalogowych. W repozytorium badacze zidentyfikowali m.in. profile Cobalt Strike, mechanizmy komunikacji C2 oparte na infrastrukturze pośredniej, narzędzia do iniekcji shellcode’u oraz elementy maskujące backend sterowania.
Kluczowa zmiana nie polega na tym, że AI samodzielnie prowadzi atak, lecz na znacznym skróceniu czasu między publikacją technik ofensywnych a ich praktycznym wdrożeniem przez cyberprzestępców. To oznacza szybszą adaptację atakujących do nowych zabezpieczeń i większą presję na zespoły obronne.
Kontekst / historia
Początkowo część wykrytych komponentów mogła przypominać legalne narzędzia red teamowe wykorzystywane podczas testów bezpieczeństwa. Dopiero dalsza analiza wykazała cechy typowe dla działalności przestępczej, w tym odniesienia do not okupu i informacji wiązanych z aktywnością grup publikujących wycieki danych.
To rozróżnienie ma duże znaczenie praktyczne. W warstwie technicznej granica między komercyjnymi frameworkami do symulacji ataku a zestawami używanymi w kampaniach ransomware bywa niewielka, jednak operacyjnie i prawnie są to dwa zupełnie różne światy.
Szerszy kontekst potwierdza również obserwowany od kilku lat trend: napastnicy coraz szybciej osiągają cele pośrednie, takie jak rozpoznanie Active Directory, eskalacja uprawnień czy przygotowanie ruchu bocznego. Automatyzacja procesu badawczo-rozwojowego po stronie przestępców może dodatkowo skracać czas potrzebny na dostosowanie ataku do nowych realiów obronnych.
Analiza techniczna
Zidentyfikowany zestaw narzędzi miał charakter modularny. Jednym z jego ważniejszych elementów były profile Cobalt Strike przygotowane tak, aby ruch beaconów przypominał legalne żądania webowe. Taki kamuflaż utrudnia detekcję zarówno na poziomie sieciowym, jak i behawioralnym, szczególnie gdy organizacja dysponuje niepełną telemetrią lub działa pod dużym obciążeniem zdarzeniami.
Kolejną warstwą była komunikacja C2 realizowana z wykorzystaniem pośrednich kanałów, w tym API komunikatora. Dzięki temu operatorzy nie musieli utrzymywać oczywistych, bezpośrednich połączeń do serwera kontroli, a komunikacja mogła ukrywać się w legalnej infrastrukturze zewnętrznej. Badacze wskazali także wykorzystanie mechanizmów przekierowania i frontingu, co dodatkowo utrudnia blokowanie całego łańcucha komunikacji.
W zestawie znajdowały się również skrypty przygotowujące malware do działania w środowisku Windows. Obejmowały one m.in. osadzanie lub wstrzykiwanie shellcode’u do prawidłowych plików wykonywalnych przy zachowaniu ich pierwotnej funkcjonalności. Tego typu techniki zwiększają szanse obejścia kontroli opartych na reputacji, sygnaturach i prostych regułach statycznych.
Najciekawszy aspekt dotyczył jednak samego procesu rozwoju narzędzi. Według ustaleń badaczy część skryptów została wygenerowana z użyciem narzędzi AI, a całość wspierał zestaw agentów odpowiedzialnych za koordynację prac, dokumentowanie obejść, przygotowanie środowiska testowego, prowadzenie prób, wzmacnianie OPSEC i ocenę wyników.
Mechanizm odkrywania Active Directory działał iteracyjnie. Zbierał wyniki wcześniejszych działań, wybierał kolejny krok z przygotowanego zestawu operacji, delegował zadania do zdalnych komponentów, a następnie analizował rezultat i planował dalsze etapy. To podejście przypomina półautomatyczny proces decyzyjny, który może znacząco przyspieszyć rekonesans i przygotowanie dalszej fazy ataku.
Główny framework miał generować ładunki głównie w językach Rust i Go, zależnie od wybranej techniki unikania detekcji. Co ważne, nie znaleziono dowodów na to, że AI była osadzona bezpośrednio w malware wdrożonym u ofiar ani że samodzielnie operowała po kompromitacji. Sztuczna inteligencja pełniła przede wszystkim rolę akceleratora w fazie przygotowania i doskonalenia narzędzi.
Konsekwencje / ryzyko
Największe zagrożenie wynika z kompresji czasu potrzebnego na uzbrojenie publicznie znanych technik. Jeżeli napastnicy potrafią półautomatycznie zbierać wiedzę z raportów badawczych, mapować ją na konkretne taktyki i techniki, a następnie testować skuteczność obejść przeciwko popularnym EDR, to przewaga czasowa obrońców szybko się kurczy.
Dla organizacji oznacza to wzrost skuteczności kampanii ransomware prowadzonych przez operatorów, którzy nie muszą ręcznie analizować każdej techniki i tworzyć całego kodu od podstaw. W praktyce może to przełożyć się na szybsze przygotowanie loaderów, bardziej elastyczne payloady, większą odporność na sandboxing i łatwiejsze dostosowanie złośliwego oprogramowania do konkretnego środowiska.
Szczególnie niebezpieczna jest automatyzacja rekonesansu Active Directory. AD pozostaje kluczowym elementem dla eskalacji uprawnień, identyfikacji kont uprzywilejowanych, ruchu bocznego i przygotowania etapu destrukcyjnego lub szyfrującego. Jeśli ten etap zostanie przyspieszony i ustandaryzowany, skuteczność późniejszych działań napastników może znacząco wzrosnąć.
Dodatkowym problemem jest fakt, że część artefaktów może wyglądać jak legalne narzędzia red teamowe. To utrudnia szybką klasyfikację incydentu i wymaga od SOC oraz zespołów IR głębszej analizy kontekstu operacyjnego, a nie tylko samej funkcji wykrytego narzędzia.
Rekomendacje
Organizacje powinny traktować ochronę przed ransomware jako zagadnienie obejmujące tożsamość, endpointy, sieć oraz jakość telemetrii. Sama blokada złośliwych plików wykonywalnych nie wystarczy w sytuacji, gdy atakujący korzystają z legalnych procesów, pośredniej infrastruktury komunikacyjnej i technik utrudniających klasyczną detekcję.
W pierwszej kolejności warto ograniczać ryzyko przejęcia i nadużycia Active Directory poprzez segmentację administracyjną, tiering kont uprzywilejowanych, wdrożenie silnego MFA odpornego na phishing oraz rygorystyczne monitorowanie działań katalogowych.
Detekcja behawioralna powinna obejmować przede wszystkim:
- nietypowe wzorce ruchu C2 maskowanego jako zwykły ruch webowy,
- uruchamianie binariów z podejrzanymi relacjami parent-child,
- iniekcję shellcode’u i nadużycia legalnych procesów,
- wykorzystanie niestandardowych redirectorów i narzędzi pośredniczących,
- nagły wzrost aktywności rozpoznawczej wobec Active Directory.
W środowiskach Windows szczególne znaczenie ma kontrola aplikacji, blokowanie nieautoryzowanych interpreterów i kompilatorów, monitorowanie pamięci procesów, egzekwowanie zasady najmniejszych uprawnień oraz ograniczanie możliwości uruchamiania narzędzi post-exploitation.
Równolegle organizacje powinny skrócić czas walidacji nowo opublikowanych technik obejścia zabezpieczeń i szybciej przekładać wyniki threat intelligence na reguły detekcji, polityki EDR oraz scenariusze testów purple team.
Z perspektywy gotowości operacyjnej istotne są również:
- regularne ćwiczenia reagowania na incydenty ransomware,
- kopie zapasowe odseparowane logicznie i organizacyjnie,
- monitorowanie dostępu do repozytoriów kodu i skryptów administracyjnych,
- aktywne wyszukiwanie artefaktów wskazujących na laboratoria testowe lub iteracyjne przygotowanie payloadów.
Podsumowanie
Opisany przypadek pokazuje, że najważniejszym skutkiem wykorzystania AI przez cyberprzestępców nie musi być w pełni autonomiczne malware. Znacznie bardziej realistyczny i groźny jest scenariusz, w którym sztuczna inteligencja przyspiesza cały cykl rozwoju narzędzi ofensywnych, od generowania kodu po iteracyjne testowanie skuteczności obejść.
Automatyzacja omijania EDR oraz wspierane agentowo odkrywanie Active Directory tworzą model ataku szybszy, bardziej skalowalny i trudniejszy do zatrzymania tradycyjnymi metodami. Dla obrońców oznacza to konieczność przesunięcia nacisku z detekcji pojedynczych próbek na analizę technik, zachowań oraz zależności tożsamościowych w środowisku.
Źródła
- BleepingComputer – AI-built ransomware toolkit automates EDR evasion, AD discovery — https://www.bleepingcomputer.com/news/security/ai-built-ransomware-toolkit-automates-edr-evasion-ad-discovery/
- Sophos – Nowhere, man: The 2026 Active Adversary Report — https://www.sophos.com/en-us/blog/2026-sophos-active-adversary-report
- Sophos – Sophos Active Adversary Report 2026: Identity attacks dominate as threat groups proliferate — https://www.sophos.com/en-us/press/press-releases/sophos-active-adversary-report-2026-identity-attacks-dominate-as-threat-groups-proliferate