CyberStrikeAI i det vilda: En LLM-orchestrator nådde domänadministratörsbehörighet hos utbildningsmål i Latinamerika och Afrika

Den 2 november 2026 publicerade Kaspersky en Securelist-rapport och ett pressmeddelande som beskrev intrång hos utbildningsorganisationer i flera länder i Latinamerika och Afrika, där arbetet efter exploateringen styrdes av en stor språkmodell. Verktyget var CyberStrikeAI, ett Go-baserat ramverk för penetrationstestning med öppen källkod, vars kommando- och kontrollserver är värd för en LLM som väljer verktyg och skriver kommandon medan ett vanligt implantat kör dem på offrets värd. I det enda fall som Kaspersky rekonstruerar i detalj tog en mänsklig operatör sig in via en komprometterad Microsoft SQL Server, pausade i två veckor och lät sedan agenten köra: domänadministratörskonton föll inom tre till fyra dagar, och det sista steget – lateral förflyttning, massutvinning av inloggningsuppgifter och en export av en databas – avslutades inom en timme. Kaspersky anger ingen institution och inget land, ger ingen offerräkning och säger att de observerade aktiviteten mellan september och oktober 2026. Den fullständiga dokumentationen för denna kampanj, med dess allvarlighetsgrad, tillförlitlighetsbedömning och fullständiga källförteckning, finns i Orca AI Incident Archive, tillsammans med de andra posterna om AI-assisterade intrång.

Vad Kaspersky faktiskt publicerade

Huvuddokumentet är "CyberStrikeAI i det vilda: användningen av AI i verkliga attacker mot organisationer", publicerat på Securelist den 2 november 2026 och tillskrivet Kirill Antonov, Vladislav Vlasov och Dmitry Chizhmak från Kasperskys hotforskningsgrupp. Det åtföljs av Kasperskys eget pressmeddelande, som gavs ut samma dag och sammanfattar samma resultat. Arkivets förtroendegrad A beskriver hur väl de två dokumenten stämmer överens med varandra och hur specifik den tekniska detaljnivån är; det är inte ett påstående att en annan organisation oberoende har verifierat intrånget.

Den sekundära bevakningen av denna rapport tillhandahåller inte den andra organisationen. Cybersecuritynews.com, Cyberpress, SecurityOnline och Nairobi-baserade TechTrends Kenya publicerade alla redogörelser mellan 2 och 3 november 2026, och var och en härrör från Kasperskys pressmeddelande snarare än från sin egen undersökning; den kenyanska publikationens artikel är uppbyggd kring samma citat från pressmeddelandet av Nikita Nazarov, chef för Threat Exploration på Kaspersky. I och med den 9 november 2026 hade inget drabbat universitet, inget utbildningsministerium och inget nationellt datorberedskapsorgan offentligt bekräftat intrången, och Kaspersky har inte publicerat offrens identiteter. Denna frånvaro är i sig en del av dokumentationen: det som dokumenteras i detalj är tillvägagångssätten, inte skadan för någon namngiven institution.

Kasperskys omfångsbeskrivning är medvetet snäv. Bekräftade offer var, med företagets egna ord, ”organisationer inom utbildningssektorn i flera länder i Afrika och Latinamerika”. Den anger inte hur många, vilka länder eller hur kampanjen upptäcktes från början – bara att teamet hittade den ”som en del av proaktiv hotövervakning”.

En åtskillnad är viktig här, eftersom den lätt suddas ut. Oberoende organisationer har nu rapporterat CyberStrikeAI i verkliga intrång – men inte i dessa intrång. Team Cymru kopplade infrastruktur som körde verktyget till kampanjen januari–februari 2026 mot mer än 600 FortiGate-enheter, efter att ha observerat 21 unika IP-adresser som betjänade det mellan 20 januari och 26 februari 2026. Trend Micros TrendAI-enhet beskrev i forskning publicerad den 23 oktober 2026 en operatör som körde 44 samordnade CyberStrikeAI-agenter som utsatte minst 19 identifierbara organisationer, varav minst 16 i Japan, för valideringsaktivitet under ett kort fönster i oktober. Cloud Security Alliances forskningsnotis av den 28 oktober 2026 sammanställer båda och drar slutsatsen att ingen publicerad källa ännu hade kopplat de separata CyberStrikeAI-kampanjerna till en enda aktör. Den samlade forskningen styrker premissen – att detta ramverk används för att attackera verkliga nätverk – och säger ingenting om utbildningsoffren i Latinamerika och Afrika i Kasperskys rapport.

Verktyget, och var AI:n faktiskt satt

CyberStrikeAI är, så som Kaspersky beskriver det, "en modulär plattform med öppen källkod skriven i Go för att automatisera penetrationstestning". Dess avgörande designval är att hela det intelligenta lagret finns på angriparens kontrollserver, inte på offrets maskin. Spanings- och exploateringsverktyg, webshell-hantering, uppgiftstilldelning till agenter och läsning av resultat exponeras alla för modellen som MCP-verktyg i en enda serverprocess, och det är modellen som avgör vilket av dem som ska anropas härnäst.

Implantatet är den andra halvan, och det är avsiktligt dumt. Kaspersky skriver att det är "en klassisk C2-agent utan AI-funktionalitet – inga API-nycklar, inga anrop till AI-tjänsters API:er och ingen autonom logik." Det pollar lyssnaren via HTTP/S, TCP eller WebSocket, kör skalkommandon och rör vid filsystemet. Det är inte en modell som körs i ett offers nätverk, och det kontaktar aldrig en AI-leverantör. Arbetsfördelningen är den mening Kaspersky använder för att förklara hela upplägget: "Beslut fördelas på två nivåer: operatören definierar uppgiften i allmänna termer, medan modellen avgör hur den ska utföras."

Mänsklig kontroll behålls i stället för att tas bort. Kaspersky noterar en human-in-the-loop-mekanism där ”operatören behåller full kontroll över processen” och att kommandon som genereras av modellen ”kan kräva manuellt godkännande eller korrigering innan de körs”. AI:n skriver stegen; en person kan fortfarande avvisa dem.

Ett rekonstruerat intrång, i den ordning Kaspersky daterar det

Rapporten följer en enskild incident inom kampanjen, och dess första fas ser ut som vanligt arbete direkt vid tangentbordet. Kommandon på offrets system kom från processen sqlservr.exe, vilket pekar på "en komprometterad SQL Server (version 16.0.1000)" som den sannolika vägen in. Operatören samlade sedan in grundläggande värdinformation, distribuerade verktyg och kartlade nätverket manuellt. Det tog "nästan en dag", varefter angriparna låg lågt i ungefär två veckor.

Det är i den andra fasen som tempot förändras. När CyberStrikeAI-agenten hade distribuerats utfördes persistens och lokal rekognosering "inom 2 minuter" – en schemalagd aktivitet med namnet SystemUpdate som pekade på implantatet, med en Run-registernyckel under HKCU\Software\Microsoft\Windows\CurrentVersion\Run som ramverkets alternativ för Windows, och en crontab @reboot-post eller en nohup-rad i ~/.bashrc som dess alternativ på Linux. Domänrekognoseringen pågick "under de kommande 5 timmarna" och använde PowerShell-skript som modellen genererade och LDAP-frågor mot Active Directory, inklusive de uppslagningar som behövdes för att förbereda Kerberoasting och AS-REP Roasting samt kontroller av LAPS, Azure och .azcopy-kataloger. Efter "en kort paus på flera dagar" tog det sista steget – laterala rörelser över SMB och WMI, massdumpning av autentiseringsuppgifter och en databassexport – "inte mer än en timme".

Kasperskys sammanfattande mening är den som är värd att behålla: hela attacken, "från utplacering av agenter till kompromettering av domänadministratörer – slutfördes inom 3–4 dagar."

Arbetet med autentiseringsuppgifter är en katalog över välkända Windows-tekniker snarare än något nytt: registerkuber som kopierats ut med reg.exe, lsass.exe som dumpats via MiniDump-funktionen i comsvcs.dll med hjälp av process-ID i stället för dess namn för att undgå kommandoradsmatchning, och – när det inbyggda domänadministratörskontot väl hade komprometterats – DCSync- och Golden Ticket-attacker som kördes via en omdöpt Mimikatz-binär, wdiag2.exe. Lateralförflyttning använde Impackets WMIExec, delade administrativa mappar och WMI, med ett reverse-shell-skript, p1.ps1, som skickades till fjärrvärdar och ringde tillbaka till 185.186.245[.]144:5501. Payloads delades upp i fragment som d3.b64 och sattes ihop igen med certutil, och en beacon maskerade sig som svchosts.exe.

Insamlingen skedde sist. Agenten genererade SQL-frågor skräddarsydda för uppgiften men kontrollerade databaskontots behörigheter innan den körde dem, skannade nätverksdelningar rekursivt innan den hämtade filer och returnerade allt över samma krypterade C2-kanal med data Base64-kodad i JSON. Skärmbilder på både Windows och Linux var tillgängliga men togs enligt Kasperskys uppgifter endast när orkestratorn gav kommandot. Rapporten anger att datainsamlingen "var attackens sista fas: kedjan slutade där, och vi observerade ingen ytterligare aktivitet."

Vad som togs, och vad protokollet inte säger

Kaspersky uppger att agenten exporterade databassposter från utbildningsorganisationens SQL-server och samlade in filer från nätverksresurser, och beskriver mekanismen i detalj. Det står inte hur många poster eller filer som fördes ut, om exporten slutfördes eller vems data som fanns i tabellerna. Sekundära sammanfattningar går längre än rapporten på denna punkt: SecurityOnlines artikel säger att agenten "genererade riktade SQL-frågor för att stjäla student- och personalposter från databastabeller", medan Kasperskys egen text beskriver frågorna mot en SQL-server för utbildningssektorn utan att ange vad tabellerna innehöll. Läsare bör betrakta beskrivningen "student- och personalposter" som en sekundär karakterisering, inte som ett Kaspersky-fynd.

Det saknas också uppgifter om huruvida något offer upptäckte själva intrånget, vad varje institution gjorde efteråt, huruvida tillsynsmyndigheter eller dataskyddsmyndigheter i de drabbade länderna informerades och huruvida kampanjen fortfarande pågår. Kaspersky säger bara att datainsamling var det sista observerade steget i de incidenter som granskades. Pressmeddelandet innehåller ingen åtgärdsvägledning för de drabbade organisationerna – rekommendationerna riktar sig generellt till försvarare.

Attribution: vad bevisningen stöder och vad den inte stöder

Kaspersky är tydliga med att de inte kan namnge en aktör. "Tillgängliga data gör det inte möjligt för oss att koppla aktiviteten till någon känd angripargrupp, eller att med säkerhet säga att samma operatör ligger bakom båda kampanjerna." Den artefakt de lutar sig mot är Go-buildmetadata inuti implantaten, som innehåller versionskontrollhashar, commit-tider och en flagga för smutsig arbetskopia – "ett unikt fingeravtryck för en specifik build." Utifrån det delas proverna in i två grupper, och inom varje grupp delar Windows- och Linux-nyttolasterna identisk metadata, vilket innebär att de kom från samma arbetskopia.

Grupperna hör inte ihop. De "delar inte en gemensam C2-infrastruktur", och olika versioner av CyberStrikeAI kördes på de två uppsättningarna kontrollservrar. Kaspersky anger två skäl till att attribuering är svårt här: ramverket är offentligt tillgängligt, så olika operatörer kan ha byggt nyttolaster självständigt under liknande förhållanden, och själva kommandona är modellgenererade, vilket ökar deras variation samtidigt som det tar bort de individuella vanor som beteendebaserad attribuering är beroende av.

Det som återstår är suggestivt snarare än avgörande. Vissa skript innehöll kommentarer på kinesiska, angriparna använde den kinesiska tjänsten dnslog[.]cn för att bekräfta internetåtkomst från offervärdar, och de flesta omstarter av kontrollservern – som går att återfinna eftersom det självsignerade TLS-certifikatet genereras på nytt i minnet vid varje start, så att dess not_before-fält registrerar omstartstiden – inträffade inom kontorstid i UTC+8. CyberStrikeAI utvecklades självt inom den kinesiska cybersäkerhetsgemenskapen. Kasperskys pressmeddelande drar gränsen tydligt: dessa artefakter "fastställer inte angriparnas identitet eller plats", och företaget "kunde inte tillskriva aktiviteten en känd hotgrupp eller bekräfta att samma operatör kontrollerade all identifierad infrastruktur." En kinesisktalande operatör är en slutledning, inte ett konstaterande.

Varför Kaspersky säger att detta inte är ett detekteringsnödläge

Rapportens slutsats motsätter sig idén att en LLM i attackkedjan kräver en ny typ av försvar. Eftersom modellen finns på angriparens server "lämnade den inga spår av sin närvaro i infrastrukturen (såsom specifika API-anrop till lokala LLM:er eller avvikande mönster för resursförbrukning hos värdar)". Det försvarare i stället ser är ett mänskligt format intrång: samma verktyg, samma sekvenser, samma poster i händelseloggen. Kasperskys bedömning är att "införandet av AI i attackkedjan ännu inte innebär i grunden nya utmaningar för upptäckt", att "klassiska, väljusterade regler för korrelation och beteendeanalys är tillräckliga", och att det nya "inte ligger i metoderna i sig, utan i den snabbhet och enkelhet med vilka de utfördes".

De publicerade detektionerna följer den logiken i stället för att hitta på nya. Kaspersky Anti Targeted Attack ger implantatets trafik nätverksomdömet Backdoor.CyberStrikeAI.HTTP.C&C; en regel för nätverksanomalidetektering med namnet "Scanning domain records via LDAP queries" fångar domänspaningen; Kaspersky SIEM levererar fler än 100 regler som täcker teknikerna i rapporten, inklusive DCSync, Golden Ticket, Kerberoasting och Impacket WMIExec; och implantaten klassificeras som HEUR:HackTool.Win64.CyberStrike.gen och HEUR:HackTool.Linux.CyberStrike.gen. Kasperskys vägledning till kunderna är konventionell – slutpunktsdetektering och respons, nätverksdetektering, hotintelligens samt övervakning utanför arbetstid eller via en hanterad tjänst.

Nazarovs uttalande i pressmeddelandet är samma argument i en mening: angriparna "använde en AI-agent baserad på CyberStrikeAI för att genomföra en fullständig attackkedja och anpassa sina nästa steg inom komprometterade nätverk", men "ramverket förlitade sig fortfarande på välbekanta tekniker och förfaranden, inklusive upptäckt, utvinning av autentiseringsuppgifter, lateral förflyttning samt insamling och exfiltrering."

Vad som är fastställt, och vad som inte är det

Rakt ut sagt: mekanismen är dokumenterad till en nivå som skulle låta en försvarare jaga den imorgon – processhärstamning från sqlservr.exe, en schemalagd aktivitet med namnet SystemUpdate, LSASS-åtkomst via comsvcs.dll, DCSync från en icke-domänkontrollant, HTTP-huvudet X-Implant-Token och de C2-adresser som Kaspersky listar. Kampanjen kring den mekanismen är det inte. Kaspersky publicerade ingen offerlista, ingen uppdelning per land, ingen uppskattning av datavolym och ingen aktör. Allt en läsare kan vilja veta om vilka som drabbades och hur allvarligt stannar vid sektorn och regionen.

Två detaljer är värda att uppmärksamma för den som går till rapporten och förväntar sig mer. För det första beskriver Kaspersky attacken som "en av de första offentliga beskrivningarna av en kompromiss som involverar en LLM i det vilda" snarare än den första – en försiktig formulering som håller påståendet till det teamet kunde hitta i offentliga rapporter. För det andra noterar rapporten att implantatets version inte följer serverns, att lyssnarkonfigurationer och nycklar överlever operatörsuppdateringar, och att ett samples byggdatum bara anger ett tidigaste möjligt utplaceringsdatum, inte hur länge en kompromiss varat. Siffran 3–4 dagar är en mätning av en rekonstruerad incident, inte en gräns för hur länge någon av dessa intrång pågick innan någon upptäckte dem.