AI pomogło stworzyć ransomware, które omija EDR i skanuje Active Directory. Jak reagować?

Badacze firmy Sophos odkryli w środowisku klienta zestaw narzędzi, w którym AI wspomagała tworzenie ransomware i automatyzację rozpoznawania Active Directory. Choć atakujący wciąż podejmują ostateczne decyzje, tempo, w jakim są w stanie adaptować techniki obronne, wyraźnie rośnie. Dla administratorów oznacza to konieczność jeszcze bardziej systematycznego podejścia do segmentacji sieci oraz reagowania na incydenty.

Jak działa AI-wspomagane tworzenie malware

Jak opisuje Sophos w swoim raporcie, narzędzia AI, w tym Claude Opus i Cursor, zostały użyte do analizy publikacji badaczy bezpieczeństwa, wyodrębnienia technik obchodzenia zabezpieczeń i wygenerowania około 80 modułów ładujących. Każdy z nich testowano wobec EDR takich firm jak Sophos, CrowdStrike i Microsoft. Co istotne, jak podkreślają badacze, cały przepływ pracy był w pełni sterowany przez człowieka – AI nie działało autonomicznie w środowisku ofiary.

W praktyce oznacza to, że zagrożenie nie leży w samoświadomym systemie, ale w zdolności cyberprzestępców do szybkiego prototypowania i iteracji. „AI skraca czas między publikacją badań z zakresu bezpieczeństwa ofensywnego a ich praktycznym zastosowaniem przez aktorów zagrożeń” – zauważają autorzy raportu.

Automatyczne rozpoznawanie Active Directory

Sophos przechwyciło dane wskazujące na „zautomatyzowany panel do odkrywania Active Directory” oraz laboratorium do iteracyjnego rozwijania i testowania malware. Moduł AD discovery działał w oparciu o zbieranie obserwacji z wykonanych zadań i wybór kolejnych kroków z predefiniowanych opcji. „Następny krok jest delegowany do zdalnych agentów, a wyniki są ponownie oceniane” – czytamy w raporcie.

Dla administratorów i zespołów SOC oznacza to, że klasyczne metody opóźniania ataku – zanim napastnik zmapuje strukturę domeny – mogą być mniej skuteczne. Automatyzacja skraca czas między początkowym dostępem a eskalacją uprawnień.

Ewolucja narzędzi a odpowiedzialność zespołów IT

Opisany framework nie jest pierwszym przypadkiem użycia AI w cyberprzestępczości, ale pokazuje dojrzałość metody. Zamiast pojedynczych eksperymentów mamy do czynienia z powtarzalnym procesem: agent koordynuje rozwój, inny testuje, kolejny optymalizuje OPSEC. W raporcie Sophos zaznacza, że „nie znaleziono dowodów na to, aby AI było osadzone w samym malware lub działało autonomicznie w środowiskach ofiar”.

Dla firm i zespołów bezpieczeństwa kluczowa jest odpowiednia reakcja. Po pierwsze, regularne testowanie własnych zabezpieczeń za pomocą symulacji ataków (breach and attack simulations) może pomóc wykryć luki, zanim zrobią to napastnicy. Po drugie, segmentacja sieci domenowej, dostęp warunkowy i skuteczne logowanie zdarzeń w Active Directory stają się priorytetem.

Co robić – praktyczne kroki defensywne

Aktualizuj reguły detekcji – nowe techniki obchodzenia EDR pojawiają się szybciej niż kiedykolwiek. Warto śledzić publikacje dostawców EDR i wdrażać uaktualnienia reguł behawioralnych.

Segmentuj i monitoruj AD – ogranicz zasięg potencjalnego ataku przez podział domeny na jednostki organizacyjne z precyzyjnymi politykami. Loguj zdarzenia związane z replikacją i modyfikacją obiektów.

Wzmocnij uwierzytelnianie wieloskładnikowe – zwłaszcza w przypadku dostępu do systemów krytycznych i kont administracyjnych.

Regularnie testuj własne środowisko – jak zalecają specjaliści Sophos, symulacje ataków (breach and attack simulation) pomagają wykryć słabe punkty w alertach SIEM i EDR. W 2026 roku, gdy AI skraca czas między publikacją badań a ich użyciem przez atakujących, takie testowanie przestaje być luksusem.