AI buduje ransomware obchodzące EDR. Co to oznacza dla administratorów?

W świecie cyberbezpieczeństwa rzadko zdarza się, by nowa technologia od razu trafiała w ręce cyberprzestępców w postaci gotowego, sprawdzonego narzędzia. Badacze firmy Sophos udokumentowali właśnie przypadek, który zasługuje na uwagę polskich administratorów i specjalistów IT – zestaw narzędzi ransomware tworzony z pomocą sztucznej inteligencji, który automatycznie omija systemy wykrywania i reagowania (EDR) na endpointach oraz eksploruje Active Directory. To nie autonomiczny atak AI, ale sygnał, że sztuczna inteligencja skraca czas między publikacją badań a ich wykorzystaniem w przestępczym kodzie.

Jak działa AI-built ransomware toolkit?

Zgodnie z raportem opublikowanym przez Sophos, atakujący wykorzystali narzędzia AI – w tym modele Cursor i Claude Opus – do pomocy w kodowaniu, analizie oraz testowaniu złośliwego oprogramowania. Jak czytamy w komunikacie, „narzędzia i rozwój payloadów były wspomagane przez agentów Cursor i Claude Opus na różnych etapach, w tym wstępnego kodowania, analizy i przeglądu”. Celem było stworzenie ram ataku, który obchodzi mechanizmy obronne.

W ramach prac sprawdzano, jak przygotowane przez AI moduły radzą sobie z ochroną oferowaną przez produkty Sophos, CrowdStrike i Microsoft. Testy odbywały się w środowiskach wirtualnych. Mimo że początkowa skuteczność była niska, po kilku iteracjach moduły omijały niemal wszystkie systemy EDR. Jak zauważa Sophos, „chodzi o skrócenie okresu między publikacją badań z zakresu bezpieczeństwa ofensywnego a ich praktycznym wdrożeniem przez cyberprzestępców”.

Elementy zestawu narzędzi – Cobalt Strike, Telegram i Cloudflare

Odkryty zestaw narzędzi nie jest pojedynczym wirusem, lecz platformą ewazji i komunikacji. Wśród jego elementów znalazły się:

• Profile Cobalt Strike zaprojektowane tak, aby ruch beacona upodobnić do legalnych zapytań HTTP,
• mechanizm Command & Control (C2) oparty na API bota Telegram zamiast bezpośrednich połączeń,
• skrypty w Pythonie do wstrzykiwania shellcodu do legalnych plików wykonywalnych Windows,
• a także wykorzystanie Cloudflare Worker jako front-endowego przekierowywania, maskującego prawdziwy serwer C2.

W pierwszej chwili badacze Sophos zakładali, że mają do czynienia z działaniem legalnego zespołu Red Team. Jednak dalsze śledztwo ujawniło „artefakty wskazujące na złośliwą i przestępczą działalność”. Dowodem były logi Cobalt Strike zawierające treść żądania okupu oraz dane wielu organizacji widniejących na stronach z wyciekami ransomware.

Rola sztucznej inteligencji – przyspieszenie, nie autonomia

Fundamentalne pytanie brzmi: czy AI działa autonomicznie? Sophos odpowiada jasno – „nie znaleziono dowodów na to, by AI była osadzona w wdrożonym złośliwym oprogramowaniu lub działała niezależnie w środowisku ofiary”. Zamiast tego technologia została użyta do przyspieszenia iteracyjnego procesu: opracowywania, testowania i doskonalenia ładunków przeciwko produktom zabezpieczającym.

W raporcie opisano wieloagentowy system, w którym jeden agent (Claude Opus 4.5) pełnił rolę koordynatora, a inne odpowiadały za testowanie, utwardzanie operacyjne (OPSEC), dokumentację i wdrażanie maszyn wirtualnych. Część agentów analizowała publikacje badawcze Kaspersky, Palo Alto Networks, Bishop Fox i SpecterOps, a także posty w mediach społecznościowych, by wyodrębnić techniki obchodzenia zabezpieczeń. Następnie mapowano je na macierz MITRE ATT&CK, przygotowywano laboratorium i testowano skuteczność.

Głównym rezultatem jest generator payloadów w Pythonie, który tworzy ładunki głównie w językach Rust i Go, opakowując surowy kod w warstwy szyfrowania, ewazji i alternatywnych technik wykonywania. Jak opisuje Sophos: „ten modularny loader payloadów dla Windows owija surowy payload warstwami szyfrowania, ewazji i alternatywnych technik wykonania, tworząc niestandardowe pliki wykonywalne lub DLL zaprojektowane tak, by opierać się sandboxingowi, antywirusom i detekcji EDR”.

Wnioski dla administratorów w Polsce

Opisane narzędzie nie jest jeszcze szeroko rozpowszechnione – Sophos wykrył je w środowisku jednego klienta. Jednak trend jest jasny. Możliwość szybkiego generowania wariantów malware, które omijają konkretne produkty EDR, zmienia dynamikę wyścigu zbrojeń. Administratorzy powinni:

• utrzymywać aktualne sygnatury i reguły detekcji we wszystkich systemach EDR i AV,
• monitorować nietypowe połączenia wychodzące, zwłaszcza do infrastruktury Telegram i Cloudflare,
• regularnie przeglądać konfigurację Active Directory pod kątem nadmiarowych uprawnień,
• rozważyć wdrożenie Zasady najmniejszego uprzywilejowania (Least Privilege) oraz silnego uwierzytelniania wieloskładnikowego (MFA),
• śledzić komunikaty producentów EDR – Sophos, CrowdStrike i Microsoft są już świadomi tej konkretnej kampanii.

Zagrożenie nie polega na tym, że AI sama atakuje, ale na tym, że obniża barierę wejścia i skraca czas potrzebny na adaptację nowych technik obronnych przez przestępców. Dla polskich firm i instytucji oznacza to konieczność jeszcze większej czujności i regularnych testów bezpieczeństwa.

Obserwujmy dalszy rozwój sytuacji. Jest wysoce prawdopodobne, że podobne zestawy narzędzi zaczną pojawiać się częściej, a ich wykrycie będzie wymagało nie tylko sygnatur, ale też analizy behawioralnej i ludzkiego oka.