CyberStrikeAI в реальных атаках: LLM-оркестратор получил права администратора домена в образовательных учреждениях Латинской Америки и Африки

2 ноября 2026 года Kaspersky опубликовала отчёт Securelist и пресс-релиз, описывающие вторжения в организации сферы образования в нескольких странах Латинской Америки и Африки, в которых работы на этапе после эксплуатации направляла большая языковая модель. Инструментом был CyberStrikeAI — открытый фреймворк для тестирования на проникновение на основе Go, на сервере командования и управления которого размещена LLM, выбирающая инструменты и пишущая команды, пока обычный имплант выполняет их на хосте жертвы. В единственном случае, который Kaspersky подробно реконструирует, человек-оператор вошёл через скомпрометированный Microsoft SQL Server, сделал паузу на две недели, а затем позволил агенту действовать: учётные записи администраторов домена были захвачены в течение трёх–четырёх дней, а последний этап — горизонтальное перемещение, массовый дамп учётных данных и экспорт базы данных — завершился менее чем за час. Kaspersky не называет ни учреждение, ни страну, не приводит число жертв и сообщает, что наблюдала активность в период с сентября по октябрь 2026 года. Полная запись об этой кампании с её степенью серьёзности, оценкой уверенности и полным списком источников внесена в Orca AI Incident Archive наряду с другими записями об инцидентах с участием ИИ.

Что Kaspersky на самом деле опубликовала

Основной документ — «CyberStrikeAI in the wild: the use of AI in real-world attacks on organizations», опубликованный на Securelist 2 ноября 2026 года; его авторы — Кирилл Антонов, Владислав Власов и Дмитрий Чижмак из команды исследований угроз Kaspersky. К нему прилагается собственный пресс-релиз Kaspersky, выпущенный в тот же день и резюмирующий те же выводы. Оценка достоверности A, присвоенная в архиве, описывает, насколько эти два документа согласуются друг с другом и насколько конкретны технические детали; она не означает, что второстепенная организация независимо подтвердила эту атаку.

Вторичное освещение этого отчёта не даёт сведений о той второй организации. Cybersecuritynews.com, Cyberpress, SecurityOnline и базирующееся в Найроби издание TechTrends Kenya опубликовали свои материалы в период со 2 по 3 ноября 2026 года, и каждый из них опирается на пресс-релиз Kaspersky, а не на собственное расследование; публикация кенийского издания построена вокруг той же цитаты из пресс-релиза Никиты Назарова, руководителя направления Threat Exploration в Kaspersky. По состоянию на 9 ноября 2026 года ни один пострадавший университет, ни министерство образования, ни национальная служба реагирования на компьютерные инциденты публично не подтвердили эти вторжения, а Kaspersky не раскрыла личности пострадавших. Само это отсутствие является частью картины: подробно задокументированы методы работы, а не ущерб, нанесённый какому-либо названному учреждению.

Заявление Kaspersky о масштабе намеренно узкое. Подтверждёнными жертвами, по его словам, были «организации в сфере образования в нескольких странах Африки и Латинской Америки». В нём не говорится, сколько их, в каких странах или как кампания была обнаружена изначально, — только что команда нашла её «в рамках проактивного мониторинга угроз».

Здесь важно одно различие, потому что его легко размыть. Независимые организации уже сообщали о CyberStrikeAI в реальных вторжениях — но не об этих вторжениях. Team Cymru связала инфраструктуру, на которой работал этот инструмент, с кампанией января–февраля 2026 года против более чем 600 устройств FortiGate, наблюдая 21 уникальный IP-адрес, обслуживавший его в период с 20 января по 26 февраля 2026 года. Подразделение TrendAI компании Trend Micro в исследовании, опубликованном 23 октября 2026 года, описало оператора, запускавшего 44 скоординированных агента CyberStrikeAI, которые подвергли как минимум 19 идентифицируемых организаций, по меньшей мере 16 из них в Японии, проверочной активности в течение короткого временного окна в октябре того года. Аналитическая записка Cloud Security Alliance от 28 октября 2026 года объединяет оба случая и заключает, что ни один опубликованный источник пока не связал отдельные кампании CyberStrikeAI с одним субъектом. Совокупность этих работ подтверждает исходную предпосылку — что этот фреймворк используется для атак на реальные сети — и ничего не говорит о жертвах из сферы образования в Латинской Америке и Африке из отчёта Kaspersky.

Инструмент — и где на самом деле находился ИИ

CyberStrikeAI, как описывает его Kaspersky, — это «открытая модульная платформа, написанная на Go для автоматизации тестирования на проникновение». Её ключевой конструктивный выбор заключается в том, что весь интеллектуальный слой размещается на сервере управления злоумышленника, а не на машине жертвы. Средства разведки и эксплуатации, управление веб-шеллами, назначение задач агентам и чтение результатов — всё это предоставляется модели как инструменты MCP внутри одного серверного процесса, и именно модель решает, какой из них вызвать следующим.

Имплант — это вторая половина, и он намеренно примитивен. Kaspersky пишет, что это «классический C2-агент без какой-либо функциональности ИИ — без API-ключей, без вызовов API сервисов ИИ и без автономной логики». Он опрашивает listener по HTTP/S, TCP или WebSocket, выполняет shell-команды и обращается к файловой системе. Это не модель, работающая в сети жертвы, и он никогда не связывается с поставщиком ИИ. Разделение труда — это фраза, которой Kaspersky объясняет всю схему: «Решения распределены между двумя уровнями: оператор определяет задачу в общих чертах, а модель определяет, как её выполнить».

Контроль со стороны человека сохраняется, а не устраняется. Kaspersky отмечает механизм с участием человека (human-in-the-loop), согласно которому «{{1}}оператор сохраняет полный контроль над процессом{{/1}}», а сгенерированные моделью команды «{{2}}могут требовать ручного одобрения или исправления перед выполнением{{/2}}». Шаги пишет ИИ; человек по-прежнему может от них отказаться.

Одно реконструированное вторжение — в том порядке, в котором его датирует Kaspersky.

В отчете описывается один инцидент в рамках кампании, и его первая фаза выглядит как обычная работа вручную с клавиатуры. Команды на системах жертвы исходили от процесса sqlservr.exe, указывая на «скомпрометированный SQL Server (версия 16.0.1000)» как на вероятный способ проникновения. Затем оператор собрал базовую информацию о хосте, развернул инструменты и вручную составил карту сети. Это заняло «почти день», после чего злоумышленники затихли примерно на две недели.

Вторая фаза — это этап, на котором меняется темп. После развертывания агента CyberStrikeAI закрепление и локальная разведка были выполнены «в течение 2 минут»: запланированная задача с именем SystemUpdate, указывающая на имплант, с ключом автозапуска в реестре по пути HKCU\Software\Microsoft\Windows\CurrentVersion\Run в качестве альтернативы фреймворка в Windows и записью crontab @reboot или строкой nohup в ~/.bashrc в качестве его альтернатив в Linux. Разведка домена выполнялась «в течение следующих 5 часов» с использованием сгенерированных моделью сценариев PowerShell и LDAP-запросов к Active Directory, включая поисковые запросы, необходимые для подготовки Kerberoasting и AS-REP Roasting, а также проверки LAPS, каталогов Azure и .azcopy. После «короткой паузы в несколько дней» заключительный этап — боковое перемещение по SMB и WMI, массовый дамп учетных данных и экспорт базы данных — занял «не более одного часа».

Итоговая фраза Kaspersky — та, которую стоит запомнить: вся атака, «от развертывания агента до компрометации администраторов домена — была завершена за 3–4 дня».

Работа с учётными данными представляет собой каталог хорошо известных техник Windows, а не что-то новое: кусты реестра, скопированные с помощью reg.exe; дамп lsass.exe через функцию MiniDump из comsvcs.dll с использованием идентификатора процесса, а не его имени, чтобы обойти сопоставление командной строки; а после компрометации встроенной учётной записи администратора домена — атаки DCSync и Golden Ticket, выполнявшиеся через переименованный бинарник Mimikatz wdiag2.exe. Для бокового перемещения использовались WMIExec из Impacket, общие административные папки и WMI: скрипт обратной оболочки p1.ps1 отправлялся на удалённые хосты и осуществлял обратное подключение к 185.186.245[.]144:5501. Полезные нагрузки разбивались на фрагменты, такие как d3.b64, и собирались обратно с помощью certutil, а один beacon маскировался под svchosts.exe.

Сбор данных был последним. Агент формировал SQL-запросы, адаптированные под задачу, но перед их выполнением проверял привилегии учетной записи базы данных, рекурсивно сканировал сетевые ресурсы перед извлечением файлов и возвращал всё через тот же зашифрованный канал C2, причем данные были закодированы в Base64 внутри JSON. Скриншоты как в Windows, так и в Linux были доступны, но, по данным Kaspersky, делались только когда оркестратор отдавал команду. В отчете говорится, что сбор данных «был заключительным этапом атаки: цепочка на этом завершилась, и мы не наблюдали дальнейшей активности».

Что было изъято — и о чём не говорит запись

Kaspersky сообщает, что агент экспортировал записи базы данных с SQL-сервера образовательной организации и собирал файлы из сетевых ресурсов, и подробно описывает механизм. При этом не указывается, сколько записей или файлов было выведено, завершился ли экспорт и чьи данные находились в таблицах. Вторичные сводки в этом вопросе идут дальше, чем отчёт: в материале SecurityOnline говорится, что агент «сформировал целевые SQL-запросы для похищения записей студентов и сотрудников из таблиц базы данных», тогда как в собственном тексте Kaspersky описываются запросы к SQL-серверу образовательной организации без указания того, что содержалось в таблицах. Читателям следует относиться к описанию «записи студентов и сотрудников» как к вторичной характеристике, а не как к выводу Kaspersky.

В материалах также отсутствуют сведения о том, обнаружила ли какая-либо из жертв само вторжение, что каждая организация предприняла после этого, были ли уведомлены регуляторы или органы по защите данных в пострадавших странах и продолжается ли кампания до сих пор. Kaspersky сообщает лишь, что сбор данных был последним наблюдавшимся этапом в изученных ею инцидентах. Пресс-релиз не содержит рекомендаций по устранению последствий для пострадавших организаций — его рекомендации адресованы специалистам по защите в целом.

Атрибуция: что подтверждают доказательства, а что нет

Kaspersky прямо заявляет, что не может назвать исполнителя. «Имеющиеся данные не позволяют нам связать эту активность с какой-либо известной группой злоумышленников или утверждать с уверенностью, что за обеими кампаниями стоит один и тот же оператор». Артефакт, на который она опирается, — это метаданные сборки Go внутри имплантов, которые содержат хеши системы контроля версий, время коммитов и флаг «грязной» рабочей копии — «уникальный отпечаток для конкретной сборки». На этом основании образцы разделяются на две группы, и внутри каждой группы полезные нагрузки для Windows и Linux имеют идентичные метаданные, что означает, что они происходят из одной и той же рабочей копии.

Группы не объединяются. Они «не используют общую инфраструктуру C2», и на двух наборах управляющих серверов работали разные версии CyberStrikeAI. Kaspersky приводит две причины, по которым здесь сложно установить авторство: фреймворк находится в открытом доступе, поэтому разные операторы могли независимо создавать полезные нагрузки в похожих условиях, а сами команды генерируются моделью, что увеличивает их разнообразие, но стирает индивидуальные привычки, от которых зависит поведенческая атрибуция.

То, что остаётся, — скорее косвенное указание, чем окончательный вывод. В некоторых скриптах были комментарии на китайском языке, злоумышленники использовали китайский сервис dnslog[.]cn для подтверждения доступа в интернет с хостов-жертв, и большинство перезапусков сервера управления — восстановимых, поскольку самоподписанный TLS-сертификат заново генерируется в памяти при каждом запуске, поэтому его поле not_before фиксирует время перезапуска, — пришлись на рабочие часы UTC+8. Сам CyberStrikeAI был разработан внутри китайского сообщества кибербезопасности. Пресс-релиз Kaspersky прямо обозначает границу: эти артефакты «не устанавливают личность или местоположение злоумышленников», и компания «не смогла связать активность с известной группировкой угроз или подтвердить, что все выявленные объекты инфраструктуры контролировал один и тот же оператор». Оператор, говорящий по-китайски, — это предположение, а не установленный факт.

Почему Kaspersky считает, что это не экстренная ситуация с обнаружением

Вывод отчёта оспаривает идею о том, что использование LLM в цепочке атаки требует нового класса средств защиты. Поскольку модель размещается на сервере атакующего, она «не оставила следов своего присутствия в инфраструктуре (например, специфических API-запросов к локальным LLM или аномальных паттернов потребления ресурсов хостами)». Вместо этого защитники видят вторжение, по виду напоминающее действия человека: те же утилиты, те же последовательности, те же записи журнала событий. Вывод Kaspersky таков: «внедрение ИИ в цепочку атаки пока не создаёт принципиально новых проблем для обнаружения», «классических, хорошо настроенных правил корреляции и поведенческого анализа достаточно», а новизна «заключается не в самих методах, а в скорости и лёгкости, с которыми они были выполнены».

Опубликованные детекции следуют этой логике, а не изобретают новые. Kaspersky Anti Targeted Attack присваивает сетевой вердикт Backdoor.CyberStrikeAI.HTTP.C&C трафику импланта; правило обнаружения сетевых аномалий под названием "Scanning domain records via LDAP queries" выявляет разведку домена; Kaspersky SIEM поставляет более 100 правил, охватывающих техники из отчёта, включая DCSync, Golden Ticket, Kerberoasting и Impacket WMIExec; а импланты классифицируются как HEUR:HackTool.Win64.CyberStrike.gen и HEUR:HackTool.Linux.CyberStrike.gen. Рекомендации Kaspersky для клиентов стандартны — обнаружение и реагирование на конечных точках, сетевое обнаружение, threat intelligence и мониторинг в нерабочее время или через управляемый сервис.

Заявление Назарова в пресс-релизе — это тот же аргумент в одном предложении: злоумышленники «использовали ИИ-агента на базе CyberStrikeAI, чтобы провести полную цепочку атаки и адаптировать свои дальнейшие шаги в скомпрометированных сетях», но «фреймворк по-прежнему опирался на знакомые техники и процедуры, включая разведку, дампинг учетных данных, боковое перемещение, а также сбор и эксфильтрацию».

Что установлено, а что — нет

Если сказать прямо: механизм задокументирован настолько подробно, что защитник сможет начать охоту за ним уже завтра — происхождение процессов от sqlservr.exe, запланированная задача с именем SystemUpdate, доступ к LSASS через comsvcs.dll, DCSync с компьютера, не являющегося контроллером домена, HTTP-заголовок X-Implant-Token и адреса C2, которые перечисляет Kaspersky. А кампания вокруг этого механизма — нет. Kaspersky не опубликовала ни списка жертв, ни разбивки по странам, ни оценки объёма данных, ни сведений об акторе. Всё, что читатель мог бы захотеть узнать о том, кто пострадал и насколько сильно, ограничивается сектором и регионом.

Стоит отметить две детали для тех, кто откроет отчёт в надежде найти больше. Во-первых, Kaspersky описывает атаку как «одно из первых публичных описаний компрометации с участием LLM в реальных условиях», а не как первое — оговорка, которая ограничивает утверждение лишь тем, что команда смогла найти в публичных отчётах. Во-вторых, в отчёте отмечается, что версия импланта не соответствует версии сервера, что конфигурации слушателей и ключи сохраняются после обновлений, выполняемых оператором, и что дата сборки образца указывает лишь на самую раннюю возможную дату развёртывания, а не на длительность компрометации. Показатель в 3–4 дня — это измерение одного реконструированного инцидента, а не ограничение того, как долго могли длиться любые из этих вторжений до того, как кто-то заметил.