CyberStrikeAI in het wild: een LLM-orchestrator bereikte Domain Admin bij onderwijsdoelwitten in Latijns-Amerika en Afrika

Op 2 november 2026 publiceerde Kaspersky een Securelist-rapport en een persbericht over intrusies bij organisaties in de onderwijssector in verschillende landen in Latijns-Amerika en Afrika, waarbij het post-exploitatiewerk werd aangestuurd door een groot taalmodel. Het hulpmiddel was CyberStrikeAI, een opensource-penetratietestframework op basis van Go, waarvan de command-and-controlserver een LLM host die tools selecteert en opdrachten schrijft, terwijl een gewone implant ze op de slachtofferhost uitvoert. In het ene geval dat Kaspersky in detail reconstrueert, kwam een menselijke operator binnen via een gecompromitteerde Microsoft SQL Server, pauzeerde twee weken en liet vervolgens de agent zijn gang gaan: domeinbeheerdersaccounts vielen binnen drie tot vier dagen, en de laatste fase — laterale beweging, grootschalige credentialdumping en een database-export — was binnen een uur afgerond. Kaspersky noemt geen instelling en geen land, geeft geen aantal slachtoffers en zegt de activiteit tussen september en oktober 2026 te hebben waargenomen. Het volledige verslag van deze campagne, met de ernstgraad, de betrouwbaarheidsscore en de volledige bronnenlijst, is opgenomen in het Orca AI Incident Archive, samen met de andere vermeldingen over AI-ondersteunde intrusies.

Wat Kaspersky daadwerkelijk heeft gepubliceerd

Het primaire document is "CyberStrikeAI in het wild: het gebruik van AI bij echte aanvallen op organisaties", gepubliceerd op Securelist op 2 november 2026 en toegeschreven aan Kirill Antonov, Vladislav Vlasov en Dmitry Chizhmak van het dreigingsonderzoeksteam van Kaspersky. Het gaat vergezeld van Kaspersky's eigen persbericht, dezelfde dag uitgegeven, dat dezelfde bevindingen samenvat. De betrouwbaarheidsgraad A van het archief beschrijft hoe goed die twee documenten met elkaar overeenkomen en hoe specifiek de technische details zijn; het is geen uitspraak dat een tweede organisatie de inbraak onafhankelijk heeft geverifieerd.

De secundaire berichtgeving in dit rapport levert die tweede organisatie niet. Cybersecuritynews.com, Cyberpress, SecurityOnline en het in Nairobi gevestigde TechTrends Kenya publiceerden tussen 2 en 3 november 2026 allemaal verslagen, en elk daarvan is afgeleid van Kaspersky's persbericht in plaats van van eigen onderzoek; het stuk van het Keniaanse medium is opgebouwd rond hetzelfde citaat uit het persbericht van Nikita Nazarov, hoofd Threat Exploration bij Kaspersky. Op 9 november 2026 had geen enkele getroffen universiteit, geen ministerie van Onderwijs en geen nationaal computer emergency response team de inbraken openbaar bevestigd, en Kaspersky heeft de identiteit van de slachtoffers niet gepubliceerd. Dat die bevestiging ontbreekt, is zelf onderdeel van de vastlegging: wat in detail is gedocumenteerd, zijn de gebruikte technieken en werkwijzen, niet de schade voor een met naam genoemde instelling.

De scopeverklaring van Kaspersky is bewust nauw. De bevestigde slachtoffers waren, in zijn woorden, "organisaties in de onderwijssector in meerdere landen in Afrika en Latijns-Amerika." Er staat niet hoeveel, welke landen, of hoe de campagne überhaupt werd ontdekt — alleen dat het team het "als onderdeel van proactieve dreigingsmonitoring" aantrof.

Eén onderscheid is hier belangrijk, omdat het gemakkelijk te vervagen is. Onafhankelijke organisaties hebben nu melding gemaakt van CyberStrikeAI bij echte inbraken — maar niet bij deze inbraken. Team Cymru koppelde infrastructuur waarop de tool draaide aan de campagne van januari–februari 2026 tegen meer dan 600 FortiGate-apparaten, nadat het tussen 20 januari en 26 februari 2026 21 unieke IP-adressen had waargenomen die de tool bedienden. De TrendAI-eenheid van Trend Micro beschreef in op 23 oktober 2026 gepubliceerd onderzoek een operator die 44 gecoördineerde CyberStrikeAI-agenten draaide, die ten minste 19 identificeerbare organisaties, waarvan ten minste 16 in Japan, in een kort venster in oktober aan validatieactiviteit onderwierpen. De onderzoeksnotitie van de Cloud Security Alliance van 28 oktober 2026 bundelt beide en concludeert dat geen enkele gepubliceerde bron de afzonderlijke CyberStrikeAI-campagnes nog aan één actor had gekoppeld. Dat geheel van werk bevestigt de premisse — dat dit framework wordt gebruikt om echte netwerken aan te vallen — en zegt niets over de Latijns-Amerikaanse en Afrikaanse slachtoffers in het onderwijs in het rapport van Kaspersky.

De tool, en waar de AI echt zat

CyberStrikeAI is, zoals Kaspersky het beschrijft, "een open-source, modulair platform geschreven in Go voor het automatiseren van penetratietests." De bepalende ontwerpkeuze is dat de volledige intelligente laag op de besturingsserver van de aanvaller draait, niet op de machine van het slachtoffer. Verkennings- en exploitatiehulpprogramma's, webshell-beheer, toewijzing van taken aan agents en het lezen van resultaten worden allemaal als MCP-tools binnen één enkel serverproces aan het model beschikbaar gesteld, en het is het model dat beslist welke daarvan het vervolgens aanroept.

De implant is de andere helft, en hij is bewust dom. Kaspersky schrijft dat het "een klassieke C2-agent is zonder AI-functionaliteit — geen API-sleutels, geen aanroepen naar API's van AI-diensten en geen autonome logica." Hij pollt de listener via HTTP/S, TCP of WebSocket, voert shellopdrachten uit en raakt het bestandssysteem aan. Het is geen model dat in het netwerk van een slachtoffer draait, en het neemt nooit contact op met een AI-provider. De arbeidsverdeling is de zin die Kaspersky gebruikt om de hele opzet uit te leggen: "Beslissingen zijn verdeeld over twee niveaus: de operator definieert de taak in algemene termen, terwijl het model bepaalt hoe deze wordt uitgevoerd."

Menselijke controle blijft behouden in plaats van te worden weggenomen. Kaspersky wijst op een human-in-the-loop-mechanisme waarbij "de operator volledige controle over het proces behoudt", en dat door het model gegenereerde commando's "mogelijk handmatige goedkeuring of correctie vereisen voordat ze worden uitgevoerd." De AI schrijft de stappen; een persoon kan ze nog steeds weigeren.

Eén gereconstrueerde inbraak, in de volgorde waarin Kaspersky die dateert

Het rapport volgt één incident binnen de campagne, en de eerste fase ziet eruit als gewoon handmatig werk achter het toetsenbord. Commando's op de systemen van het slachtoffer kwamen uit het sqlservr.exe-proces, wat wijst op "een gecompromitteerde SQL Server (versie 16.0.1000)" als de waarschijnlijke manier waarop ze binnenkwamen. De operator verzamelde vervolgens basisinformatie over de host, zette tools in en bracht het netwerk handmatig in kaart. Dat kostte "bijna een dag", waarna de aanvallers ongeveer twee weken stil bleven.

De tweede fase is waar het tempo verandert. Met de CyberStrikeAI-agent ingezet, werden persistentie en lokale verkenning "binnen 2 minuten" uitgevoerd — een geplande taak met de naam SystemUpdate die naar het implant wees, met een register-Run-sleutel onder HKCU\Software\Microsoft\Windows\CurrentVersion\Run als het alternatief van het framework op Windows, en een crontab @reboot-item of een nohup-regel in ~/.bashrc als de alternatieven daarvan op Linux. Domeinverkenning liep "gedurende de daaropvolgende 5 uur", met door het model gegenereerde PowerShell-scripts en LDAP-query's tegen Active Directory, inclusief de opzoekingen die nodig waren om Kerberoasting en AS-REP Roasting voor te bereiden en controles voor LAPS, Azure en .azcopy-mappen. Na "een korte pauze van enkele dagen" duurde de laatste fase — laterale beweging via SMB en WMI, grootschalige credential dumping en een database-export — "niet langer dan één uur."

De samenvattende zin van Kaspersky is het onthouden waard: de hele aanval, "van de uitrol van de agent tot de compromittering van domeinbeheerders – werd binnen 3–4 dagen voltooid."

Het credentialwerk is een catalogus van bekende Windows-technieken in plaats van iets nieuws: registerhives die met reg.exe werden gekopieerd, lsass.exe dat via de MiniDump-functie van comsvcs.dll werd gedumpt met het proces-ID in plaats van de naam om command-line-matching te omzeilen, en — nadat het ingebouwde domeinadministratoraccount was gecompromitteerd — DCSync- en Golden Ticket-aanvallen uitgevoerd via een hernoemde Mimikatz-binary, wdiag2.exe. Voor laterale beweging werd gebruikgemaakt van Impacket's WMIExec, gedeelde administratieve mappen en WMI, waarbij een reverse-shellscript, p1.ps1, naar externe hosts werd gepusht en terugbelde naar 185.186.245[.]144:5501. Payloads werden opgesplitst in fragmenten zoals d3.b64 en opnieuw samengevoegd met certutil, en één beacon deed zich voor als svchosts.exe.

Datacollectie kwam als laatste. De agent genereerde SQL-query's op maat voor de taak, maar controleerde eerst de rechten van het databaseaccount voordat hij ze uitvoerde, scande netwerkshares recursief voordat hij bestanden ophaalde, en stuurde alles terug via hetzelfde versleutelde C2-kanaal, met de gegevens Base64-gecodeerd in JSON. Schermafbeeldingen op zowel Windows als Linux waren beschikbaar, maar werden volgens Kaspersky alleen gemaakt wanneer de orchestrator de opdracht gaf. Het rapport stelt dat datacollectie "de laatste fase van de aanval was: de keten eindigde daar en we hebben geen verdere activiteit waargenomen."

Wat er is meegenomen, en wat het verslag niet zegt

Kaspersky meldt dat de agent databaserecords van de SQL-server van de onderwijsorganisatie heeft geëxporteerd en bestanden van netwerkbronnen heeft verzameld, en beschrijft het mechanisme in detail. Het zegt niet hoeveel records of bestanden zijn vertrokken, of de export is voltooid, of wiens gegevens zich in de tabellen bevonden. Secundaire samenvattingen gaan op dit punt verder dan het rapport: het artikel van SecurityOnline zegt dat de agent 'gerichte SQL-query's heeft gegenereerd om studenten- en personeelsrecords uit databasetabellen te stelen', terwijl Kaspersky's eigen tekst de query's tegen een onderwijs-SQL-server beschrijft zonder te specificeren wat de tabellen bevatten. Lezers moeten de beschrijving 'studenten- en personeelsrecords' als een secundaire karakterisering beschouwen, niet als een bevinding van Kaspersky.

Ook ontbreekt in het verslag: of een slachtoffer de inbraak zelf heeft gedetecteerd, wat elke instelling daarna heeft gedaan, of toezichthouders of autoriteiten voor gegevensbescherming in de getroffen landen op de hoogte zijn gebracht, en of de campagne nog steeds loopt. Kaspersky zegt alleen dat gegevensverzameling de laatst waargenomen stap was in de incidenten die het heeft onderzocht. Het persbericht bevat geen herstelrichtlijnen voor de getroffen organisaties — de aanbevelingen zijn in het algemeen gericht op verdedigers.

Toeschrijving: wat het bewijs ondersteunt, en wat niet.

Kaspersky zegt expliciet dat het geen actor kan noemen. "De beschikbare gegevens stellen ons niet in staat de activiteit aan een bekende groep aanvallers te koppelen, noch om met zekerheid te stellen dat dezelfde operator achter beide campagnes zit." Het artefact waarop het zich baseert, is de Go-buildmetadata in de implants, die versiebeheerhashes, commit-tijden en een markering voor een vervuilde werkkopie bevat — "een unieke vingerafdruk voor een specifieke build." Op die basis vallen de samples uiteen in twee groepen, en binnen elke groep delen de Windows- en Linux-payloads identieke metadata, wat betekent dat ze uit dezelfde werkkopie afkomstig zijn.

De groepen zijn niet aan elkaar te koppelen. Ze "delen geen gemeenschappelijke C2-infrastructuur", en op de twee reeksen controleservers draaiden verschillende versies van CyberStrikeAI. Kaspersky noemt twee redenen waarom attributie hier moeilijk is: het framework is openbaar beschikbaar, waardoor verschillende operators onder vergelijkbare omstandigheden onafhankelijk payloads hadden kunnen bouwen, en de commando's zelf zijn door modellen gegenereerd, wat hun variatie vergroot terwijl de individuele gewoonten worden weggenomen waarop gedragsmatige attributie berust.

Wat overblijft, is indicatief en niet beslissend. Sommige scripts bevatten opmerkingen in het Chinees, de aanvallers gebruikten de Chinese dienst dnslog[.]cn om internettoegang vanaf slachtofferhosts te bevestigen, en de meeste herstarts van de controleserver — reconstrueerbaar omdat het zelfondertekende TLS-certificaat bij elke start opnieuw in het geheugen wordt gegenereerd, zodat het veld not_before de herstarttijd vastlegt — vielen binnen kantooruren in UTC+8. CyberStrikeAI zelf werd ontwikkeld binnen de Chinese cybersecuritygemeenschap. Het persbericht van Kaspersky formuleert het duidelijk: deze artefacten "stellen de identiteit of locatie van de aanvallers niet vast", en het bedrijf "kon de activiteit niet toeschrijven aan een bekende dreigingsgroep of bevestigen dat dezelfde operator alle geïdentificeerde infrastructuur beheerde". Een Chineestalige operator is een gevolgtrekking, geen bevinding.

Waarom Kaspersky zegt dat dit geen detectie-noodgeval is

De conclusie van het rapport verzet zich tegen het idee dat een LLM in de kill chain een nieuwe klasse van verdediging vereist. Omdat het model op de server van de aanvaller draait, "liet het geen sporen van zijn aanwezigheid in de infrastructuur achter (zoals specifieke API-verzoeken aan lokale LLM's of afwijkende patronen van resourceverbruik door hosts)." Wat verdedigers daarentegen zien, is een intrusie die op menselijk handelen lijkt: dezelfde hulpprogramma's, dezelfde sequenties, dezelfde vermeldingen in gebeurtenislogboeken. Kaspersky's oordeel is dat "de introductie van AI in de aanvalsketen nog geen fundamenteel nieuwe uitdagingen voor detectie oplevert", dat "klassieke, goed afgestelde correlatie- en gedragsanalyseregels voldoende zijn", en dat het nieuwe "niet in de methoden zelf ligt, maar in de snelheid en het gemak waarmee ze werden uitgevoerd."

De gepubliceerde detecties volgen die logica in plaats van nieuwe te bedenken. Kaspersky Anti Targeted Attack geeft het netwerkverdict Backdoor.CyberStrikeAI.HTTP.C&C op het verkeer van de implant; een regel voor netwerkanomaliedetectie met de naam "Scanning domain records via LDAP queries" vangt de domeinverkenning af; Kaspersky SIEM levert meer dan 100 regels die de technieken in het rapport dekken, waaronder DCSync, Golden Ticket, Kerberoasting en Impacket WMIExec; en de implants worden geclassificeerd als HEUR:HackTool.Win64.CyberStrike.gen en HEUR:HackTool.Linux.CyberStrike.gen. Kaspersky's advies aan klanten is conventioneel — endpointdetectie en -respons, netwerkdetectie, threat intelligence en monitoring buiten werktijden of via een beheerde dienst.

De verklaring van Nazarov in het persbericht is hetzelfde argument in één zin: de aanvallers "gebruikten een AI-agent op basis van CyberStrikeAI om een volledige aanvalsketen uit te voeren en hun volgende stappen aan te passen binnen gecompromitteerde netwerken", maar "het framework vertrouwde nog steeds op bekende technieken en procedures, waaronder verkenning, het dumpen van inloggegevens, laterale beweging en het verzamelen en exfiltreren van gegevens."

Wat is vastgesteld, en wat niet

Simpel gezegd: het mechanisme is tot op een niveau gedocumenteerd dat een verdediger het morgen kan opsporen — procesafstamming vanaf sqlservr.exe, een geplande taak met de naam SystemUpdate, LSASS-toegang via comsvcs.dll, DCSync vanaf een niet-domeincontroller, de HTTP-header X-Implant-Token, en de C2-adressen die Kaspersky vermeldt. De campagne rond dat mechanisme is dat niet. Kaspersky publiceerde geen slachtofferlijst, geen uitsplitsing per land, geen schatting van de hoeveelheid data en geen actor. Alles wat een lezer mogelijk wil weten over wie er schade opliep en hoe ernstig die was, blijft steken bij de sector en de regio.

Twee details zijn het vermelden waard voor iedereen die naar het rapport gaat in de verwachting meer te vinden. Ten eerste beschrijft Kaspersky de aanval als "een van de eerste openbare beschrijvingen van een compromittering waarbij een LLM in het wild betrokken is" in plaats van de eerste — een voorbehoud dat de bewering beperkt tot wat het team in openbare rapportage kon vinden. Ten tweede merkt het rapport op dat de versie van het implant niet die van de server volgt, dat listenerconfiguraties en sleutels operatorupdates overleven, en dat de builddatum van een sample alleen een vroegst mogelijke inzetdatum geeft, niet de duur van een compromittering. Het cijfer van 3–4 dagen is een meting van één gereconstrueerd incident, geen grens aan hoe lang een van deze intrusies liep voordat iemand het merkte.