Російські хакери використовували Claude для атак на українські держоргани та виробників дронів

💡 Усі статті, обговорення, новини про AI — в одному місці. Приєднуйтесь до AI спільноти!

Anthropic опублікувала звіт про те, як зловмисники використовують Claude. Один із кейсів напряму стосується України — компанія описала угруповання GTG-20006, діяльність якого пов’язує з російським кібершпигунством та Midnight Blizzard. Ці хакери атакували українські та європейські урядові структури, військову розвідку, дипломатичні організації, а ще — компанії оборонки.

Claude був вбудований майже в увесь цикл атаки, від розвідки та підготовки фішингової інфраструктури до викрадення даних, підтримання доступу та перебудови шкідливого ПЗ. Люди ж переважно визначали цілі та коригували workflow, а частину операцій виконували агенти.

Угруповання створило власний набір інструментів та автоматизувало обхід захисту. AI-агенти стежили, чи почали антивіруси та інші security-рішення виявляти розгорнуте malware. Якщо це ставалося, вони автоматично змінювали та перебудовували шкідливий код, продовжуючи ітерації, поки той знову не переставав детектитися.

Україна була одним із головних напрямків кампанії. Дослідники виявили понад 20 організацій, які фігурували в плануванні атак, розвідці або безпосередніх операціях. Вони сканували поштові та remote-access системи більш ніж двох десятків українських державних організацій. Окремим пріоритетом були виробники дронів.

За даними компанії, атакувальники масово вивантажили поштові скриньки щонайменше двох виробників компонентів для БпЛА, атакували виробника військових дронів та викрали повний пропрієтарний SDK системи комп’ютерного зору для дрона.

Потім кілька днів аналізували його, відновлюючи архітектуру продукту, перелік апаратних компонентів, залежності від постачальників та інформацію про ще не анонсований продукт. Особливий інтерес становили firmware для керування дронами та AI vision.

Крім того, група отримала доступ щонайменше до трьох постачальників систем для готельних мереж та змінювала DNS-записи так, щоб трафік гостей проходив через контрольовану нею інфраструктуру. Дані з готельних систем поєднували з інформацією з пристроїв, щоб точніше вибирати цілі, зокрема людей, пов’язаних з Україною та виробництвом дронів.

Ця частина кампанії окремо досліджувалася Microsoft під назвою CaptiveCrunch. Microsoft відносить Storm-2945, який стоїть за цими атаками, до Midnight Blizzard — угруповання, яке пов’язують із російською службою зовнішньої розвідки. Microsoft також підтверджує використання AI для значної частини операцій.

Були й інші цілі. Зловмисники отримували контроль над WhatsApp-акаунтами та масово експортували листування. Anthropic зафіксувала спроби проти щонайменше двох колишніх високопоставлених українських чиновників. Також група знаходила помилки авторизації в сервісах відеоспостереження та отримувала токени доступу до прямих трансляцій із камер.

Виявлену активність Anthropic припинила та використала отримані дані для посилення власних захисних механізмів.