CyberStrikeAI ในการใช้งานจริง: ระบบประสานงาน LLM เข้าถึงสิทธิ์ Domain Admin ในเป้าหมายด้านการศึกษาในละตินอเมริกาและแอฟริกา

เมื่อวันที่ 2 พฤศจิกายน 2026 Kaspersky ได้เผยแพร่รายงาน Securelist และข่าวประชาสัมพันธ์ที่อธิบายถึงการบุกรุกในองค์กรภาคการศึกษาของหลายประเทศทั่วละตินอเมริกาและแอฟริกา ซึ่งงานหลังการเจาะระบบ (post-exploitation) ถูกสั่งการโดยโมเดลภาษาขนาดใหญ่ (large language model) เครื่องมือดังกล่าวคือ CyberStrikeAI ซึ่งเป็นเฟรมเวิร์กทดสอบการเจาะระบบแบบโอเพนซอร์สที่พัฒนาด้วย Go และเซิร์ฟเวอร์ command-and-control ของเฟรมเวิร์กนี้โฮสต์ LLM ที่เลือกเครื่องมือและเขียนคำสั่ง ขณะที่อิมแพลนต์ทั่วไปทำการรันคำสั่งเหล่านั้นบนโฮสต์เหยื่อ ในกรณีหนึ่งที่ Kaspersky สร้างภาพเหตุการณ์ขึ้นใหม่ได้อย่างละเอียด ผู้ปฏิบัติงานที่เป็นมนุษย์ได้เข้าทาง Microsoft SQL Server ที่ถูกบุกรุก จากนั้นหยุดชะงักไปสองสัปดาห์ แล้วปล่อยให้เอเจนต์ทำงาน: บัญชีผู้ดูแลโดเมนถูกยึดได้ภายในสามถึงสี่วัน และขั้นตอนสุดท้าย — การเคลื่อนที่ในแนวข้าง (lateral movement) การดัมป์ข้อมูลรับรองจำนวนมาก และการส่งออกฐานข้อมูล — เสร็จสิ้นภายในหนึ่งชั่วโมง Kaspersky ไม่ได้ระบุชื่อสถาบันหรือประเทศใด ไม่ได้ให้จำนวนเหยื่อ และกล่าวว่าตนสังเกตเห็นกิจกรรมนี้ระหว่างเดือนกันยายนถึงตุลาคม 2026 บันทึกฉบับเต็มสำหรับแคมเปญนี้ พร้อมระดับความรุนแรง คะแนนความเชื่อมั่น และรายการแหล่งข้อมูลครบถ้วน ถูกจัดเก็บไว้ใน Orca AI Incident Archive ร่วมกับรายการอื่น ๆ เกี่ยวกับการบุกรุกที่ใช้ AI ช่วย

สิ่งที่ Kaspersky เผยแพร่จริง ๆ

เอกสารหลักคือ “CyberStrikeAI in the wild: the use of AI in real-world attacks on organizations” ซึ่งเผยแพร่บน Securelist เมื่อวันที่ 2 พฤศจิกายน 2026 และระบุชื่อ Kirill Antonov, Vladislav Vlasov และ Dmitry Chizhmak จากทีมวิจัยภัยคุกคามของ Kaspersky เอกสารนี้มาพร้อมกับข่าวประชาสัมพันธ์ของ Kaspersky เองซึ่งออกในวันเดียวกัน และสรุปผลการค้นพบชุดเดียวกัน ระดับความเชื่อมั่น A ของคลังข้อมูลอธิบายว่าสองเอกสารนั้นสอดคล้องกันเพียงใดและรายละเอียดทางเทคนิคมีความเฉพาะเจาะจงเพียงใด ไม่ได้หมายความว่าองค์กรที่สองได้ตรวจสอบการบุกรุกนั้นอย่างเป็นอิสระ

การรายงานข่าวทุติยภูมิของรายงานฉบับนี้ไม่ได้ให้ข้อมูลจากองค์กรที่สองนั้น Cybersecuritynews.com, Cyberpress, SecurityOnline และ TechTrends Kenya ซึ่งตั้งอยู่ในไนโรบี ต่างเผยแพร่บทความระหว่างวันที่ 2 ถึง 3 พฤศจิกายน 2026 และแต่ละรายได้ข้อมูลจากข่าวประชาสัมพันธ์ของ Kaspersky มากกว่าจะมาจากการสอบสวนของตนเอง บทความของสำนักข่าวเคนยาถูกสร้างขึ้นรอบ ๆ คำกล่าวอ้างจากข่าวประชาสัมพันธ์เดียวกันของ Nikita Nazarov หัวหน้าฝ่าย Threat Exploration ของ Kaspersky ณ วันที่ 9 พฤศจิกายน 2026 ไม่มีมหาวิทยาลัย กระทรวงศึกษาธิการ หรือทีมรับมือเหตุฉุกเฉินทางคอมพิวเตอร์แห่งชาติใดที่ได้รับผลกระทบยืนยันการบุกรุกต่อสาธารณะ และ Kaspersky ไม่ได้เปิดเผยตัวตนของผู้เสียหาย การไม่มีข้อมูลดังกล่าวเองก็เป็นส่วนหนึ่งของบันทึก: สิ่งที่ได้รับการบันทึกไว้อย่างละเอียดคือเทคนิคกลยุทธ์ (tradecraft) ไม่ใช่ความเสียหายต่อสถาบันใดที่มีชื่อระบุ

คำแถลงขอบเขตของ Kaspersky จงใจจำกัดขอบเขตให้แคบ ตามคำพูดของบริษัท ผู้เสียหายที่ได้รับการยืนยันคือ "องค์กรในภาคการศึกษาในหลายประเทศทั่วแอฟริกาและละตินอเมริกา" โดยไม่ได้ระบุว่ามีกี่แห่ง ประเทศใดบ้าง หรือตรวจพบแคมเปญนี้ได้อย่างไรตั้งแต่แรก — เพียงบอกว่าทีมพบมัน "เป็นส่วนหนึ่งของการเฝ้าระวังภัยคุกคามเชิงรุก"

ความแตกต่างหนึ่งมีความสำคัญตรงนี้ เพราะเป็นเรื่องที่ทำให้สับสนได้ง่าย องค์กรอิสระต่างๆ ได้รายงานแล้วว่า CyberStrikeAI ถูกใช้ในเหตุการณ์บุกรุกจริง — แต่ไม่ใช่เหตุการณ์บุกรุกเหล่านี้ Team Cymru เชื่อมโยงโครงสร้างพื้นฐานที่รันเครื่องมือนี้เข้ากับแคมเปญระหว่างเดือนมกราคม–กุมภาพันธ์ 2026 ที่โจมตีอุปกรณ์ FortiGate มากกว่า 600 เครื่อง โดยสังเกตเห็นที่อยู่ IP ที่ไม่ซ้ำกัน 21 รายการซึ่งให้บริการเครื่องมือนี้ระหว่างวันที่ 20 มกราคม ถึง 26 กุมภาพันธ์ 2026 หน่วย TrendAI ของ Trend Micro ในงานวิจัยที่เผยแพร่เมื่อวันที่ 23 ตุลาคม 2026 บรรยายถึงผู้ปฏิบัติการที่รันเอเจนต์ CyberStrikeAI แบบประสานงานกัน 44 ตัว ซึ่งทำให้องค์กรที่ระบุตัวได้อย่างน้อย 19 แห่ง โดยอย่างน้อย 16 แห่งอยู่ในญี่ปุ่น ต้องเผชิญกับกิจกรรมการตรวจสอบยืนยันในช่วงเวลาสั้นๆ ในเดือนตุลาคมนั้น บันทึกวิจัยของ Cloud Security Alliance ลงวันที่ 28 ตุลาคม 2026 รวบรวมทั้งสองกรณีและสรุปว่า ยังไม่มีแหล่งข้อมูลที่เผยแพร่ใดเชื่อมโยงแคมเปญ CyberStrikeAI ที่แยกจากกันเหล่านี้เข้ากับผู้กระทำคนเดียวกันได้ งานชุดนี้สนับสนุนสมมติฐาน — ว่าเฟรมเวิร์กนี้ถูกใช้โจมตีเครือข่ายจริง — และไม่ได้กล่าวถึงเหยื่อการศึกษาในละตินอเมริกาและแอฟริกาในรายงานของ Kaspersky เลย

เครื่องมือ และจุดที่ AI นั่งอยู่จริง ๆ

CyberStrikeAI ตามที่ Kaspersky อธิบายไว้คือ "แพลตฟอร์มโอเพนซอร์สแบบโมดูลาร์ที่เขียนด้วย Go สำหรับการทดสอบเจาะระบบโดยอัตโนมัติ" ทางเลือกการออกแบบที่กำหนดเอกลักษณ์ของมันคือชั้นอัจฉริยะทั้งหมดอยู่บนเซิร์ฟเวอร์ควบคุมของผู้โจมตี ไม่ใช่บนเครื่องของเหยื่อ ยูทิลิตี้สำหรับการลาดตระเวนและการโจมตี การจัดการ webshell การมอบหมายงานให้เอเจนต์ และการอ่านผลลัพธ์ ล้วนถูกเปิดให้โมเดลเข้าถึงในฐานะเครื่องมือ MCP ภายในโปรเซสเซิร์ฟเวอร์เดียว และเป็นโมเดลที่ตัดสินใจว่าจะเรียกเครื่องมือใดต่อไป

อิมแพลนต์คืออีกครึ่งหนึ่ง และมันถูกทำให้โง่โดยเจตนา Kaspersky เขียนไว้ว่ามันเป็น "เอเจนต์ C2 แบบคลาสสิกที่ไม่มีความสามารถด้าน AI — ไม่มีคีย์ API ไม่มีการเรียก API ของบริการ AI และไม่มีตรรกะการทำงานอัตโนมัติ" มันส่งคำขอไปยัง listener เป็นระยะผ่าน HTTP/S, TCP หรือ WebSocket รันคำสั่งเชลล์ และเข้าถึงระบบไฟล์ มันไม่ใช่โมเดลที่รันอยู่ในเครือข่ายของเหยื่อ และไม่เคยติดต่อผู้ให้บริการ AI การแบ่งหน้าที่คือประโยคที่ Kaspersky ใช้ объяснять แผนทั้งหมดว่า "การตัดสินใจถูกกระจายไปยังสองระดับ: โอเปอเรเตอร์กำหนดงานในภาพรวม ส่วนโมเดลเป็นผู้กำหนดวิธีการดำเนินการ"

การควบคุมโดยมนุษย์ยังคงอยู่แทนที่จะถูกยกเลิกไป Kaspersky ระบุถึงกลไก human-in-the-loop ซึ่ง “ผู้ปฏิบัติงานยังคงควบคุมกระบวนการได้อย่างเต็มที่” และคำสั่งที่สร้างขึ้นโดยโมเดล “อาจต้องได้รับการอนุมัติหรือแก้ไขด้วยมือก่อนที่จะถูกดำเนินการ” AI เป็นผู้เขียนขั้นตอน แต่บุคคลยังสามารถปฏิเสธขั้นตอนเหล่านั้นได้

การบุกรุกที่ได้รับการสร้างใหม่หนึ่งครั้ง ตามลำดับเวลาที่ Kaspersky ระบุ

รายงานติดตามเหตุการณ์เดียวภายในแคมเปญ และระยะแรกดูเหมือนงานลงมือปฏิบัติผ่านคีย์บอร์ดตามปกติ คำสั่งบนระบบของผู้เสียหายมาจากกระบวนการ sqlservr.exe ซึ่งชี้ว่า "SQL Server ที่ถูกบุกรุก (เวอร์ชัน 16.0.1000)" เป็นเส้นทางเข้าที่น่าเป็นไปได้ ผู้ปฏิบัติการได้รวบรวมข้อมูลพื้นฐานของโฮสต์ ติดตั้งเครื่องมือ และทำแผนที่เครือข่ายด้วยมือ ซึ่งใช้เวลา "เกือบหนึ่งวัน" หลังจากนั้นผู้โจมตีเงียบไปประมาณสองสัปดาห์

ระยะที่สองคือจุดที่จังหวะเปลี่ยนไป เมื่อติดตั้งเอเจนต์ CyberStrikeAI แล้ว การคงอยู่และการสำรวจภายในเครื่องถูกดำเนินการ “ภายใน 2 นาที” — มีงานตามกำหนดเวลาชื่อ SystemUpdate ที่ชี้ไปยังอิมแพลนต์ พร้อมคีย์ Run ในรีจิสทรีภายใต้ HKCU\Software\Microsoft\Windows\CurrentVersion\Run เป็นทางเลือกของเฟรมเวิร์กบน Windows และรายการ crontab @reboot หรือบรรทัด nohup ใน ~/.bashrc เป็นทางเลือกบน Linux การสำรวจโดเมนทำงาน “ตลอด 5 ชั่วโมงถัดไป” โดยใช้สคริปต์ PowerShell ที่โมเดลสร้างขึ้นและคิวรี LDAP กับ Active Directory รวมถึงการค้นหาที่จำเป็นเพื่อเตรียม Kerberoasting และ AS-REP Roasting sowie การตรวจสอบ LAPS, Azure และไดเรกทอรี .azcopy หลังจาก “หยุดพักสั้น ๆ หลายวัน” ขั้นตอนสุดท้าย — การเคลื่อนที่ในแนวนอนผ่าน SMB และ WMI, การดึงข้อมูลรับรองจำนวนมาก และการส่งออกฐานข้อมูล — ใช้เวลา “ไม่เกินหนึ่งชั่วโมง”

ประโยคสรุปของ Kaspersky คือสิ่งที่ควรจดจำไว้: การโจมตีทั้งหมด "ตั้งแต่การติดตั้งใช้งานเอเจนต์ไปจนถึงการยึดครองสิทธิ์ของผู้ดูแลโดเมน – เสร็จสิ้นภายใน 3–4 วัน"

งานด้านข้อมูลรับรองนี้เป็นรายการเทคนิค Windows ที่รู้จักกันดี มากกว่าจะเป็นสิ่งใหม่: การคัดลอก registry hive ออกมาด้วย reg.exe, การดัมป์ lsass.exe ผ่านฟังก์ชัน MiniDump ของ comsvcs.dll โดยใช้ process ID แทนชื่อเพื่อหลีกเลี่ยงการจับคู่บน command line และ — เมื่อบัญชีผู้ดูแลโดเมนในตัวถูกยึด — การโจมตี DCSync และ Golden Ticket ที่รันผ่านไบนารี Mimikatz ที่ถูกเปลี่ยนชื่อเป็น wdiag2.exe การเคลื่อนที่ในแนวนอนใช้ WMIExec ของ Impacket, โฟลเดอร์ผู้ดูแลระบบที่แชร์ร่วม และ WMI โดยมีสคริปต์ reverse-shell ชื่อ p1.ps1 ถูกส่งไปยังโฮสต์ระยะไกลและติดต่อกลับไปยัง 185.186.245[.]144:5501 มีการแบ่งเพย์โหลดออกเป็นชิ้นส่วน เช่น d3.b64 และประกอบกลับด้วย certutil และมีบีคอนตัวหนึ่งปลอมตัวเป็น svchosts.exe

การเก็บรวบรวมข้อมูลมาเป็นลำดับสุดท้าย เอเจนต์สร้างคิวรี SQL ที่ปรับให้เหมาะกับภารกิจ แต่ตรวจสอบสิทธิ์ของบัญชีฐานข้อมูลก่อนเรียกใช้ สแกนแชร์เครือข่ายแบบเรียกซ้ำก่อนดึงไฟล์ และส่งทุกอย่างกลับผ่านช่องทาง C2 ที่เข้ารหัสเดียวกัน โดยข้อมูลถูกเข้ารหัส Base64 อยู่ภายใน JSON มีความสามารถจับภาพหน้าจอได้ทั้งบน Windows และ Linux แต่ตามรายงานของ Kaspersky ภาพหน้าจอจะถูกบันทึกเฉพาะเมื่อออร์เคสเตรเตอร์ออกคำสั่งเท่านั้น รายงานระบุว่าการเก็บรวบรวมข้อมูล "เป็นขั้นตอนสุดท้ายของการโจมตี: ห่วงโซ่สิ้นสุดที่นั่น และเราไม่พบกิจกรรมใด ๆ ต่อเนื่องอีก"

สิ่งที่ถูกพรากไป และสิ่งที่บันทึกไม่ได้บอกไว้

Kaspersky บันทึกว่าเอเจนต์ได้ส่งออกระเบียนฐานข้อมูลจากเซิร์ฟเวอร์ SQL ขององค์กรด้านการศึกษา และรวบรวมไฟล์จากทรัพยากรเครือข่าย พร้อมทั้งอธิบายกลไกอย่างละเอียด แต่ไม่ได้ระบุว่ามีระเบียนหรือไฟล์จำนวนเท่าใดถูกส่งออกไป การส่งออกเสร็จสมบูรณ์หรือไม่ หรือข้อมูลในตารางเป็นของใคร บทสรุปจากแหล่งทุติยภูมิบางฉบับกล่าวเกินกว่าที่รายงานระบุในประเด็นนี้: บทความของ SecurityOnline ระบุว่าเอเจนต์ "สร้างคิวรี SQL แบบเจาะจงเพื่อขโมยระเบียนของนักศึกษาและบุคลากรจากตารางฐานข้อมูล" ขณะที่ข้อความของ Kaspersky เองอธิบายถึงคิวรีที่กระทำต่อเซิร์ฟเวอร์ SQL ด้านการศึกษา โดยไม่ได้ระบุว่าตารางเหล่านั้นเก็บอะไรไว้ ผู้อ่านควรถือว่าคำอธิบายเรื่อง "ระเบียนของนักศึกษาและบุคลากร" เป็นการพรรณนาจากแหล่งทุติยภูมิ ไม่ใช่ข้อค้นพบของ Kaspersky

สิ่งหนึ่งที่ขาดหายไปจากบันทึกเช่นกันคือว่า มีเหยื่อรายใดตรวจพบการบุกรุกด้วยตนเองหรือไม่ แต่ละสถาบันทำอะไรหลังจากนั้น หน่วยงานกำกับดูแลหรือหน่วยงานคุ้มครองข้อมูลในประเทศที่ได้รับผลกระทบได้รับการแจ้งหรือไม่ และแคมเปญนี้ยังดำเนินอยู่หรือไม่ Kaspersky ระบุเพียงว่าการเก็บข้อมูลเป็นขั้นตอนสุดท้ายที่ตรวจพบในเหตุการณ์ที่ mereka ตรวจสอบ ข่าวประชาสัมพันธ์ไม่มีคำแนะนำในการแก้ไขสำหรับองค์กรที่ได้รับผลกระทบ คำแนะนำของข่าวประชาสัมพันธ์มุ่งเป้าไปที่ผู้ป้องกันโดยทั่วไป

การระบุสาเหตุ: สิ่งที่หลักฐานสนับสนุน และสิ่งที่หลักฐานไม่สนับสนุน

Kaspersky ระบุชัดเจนว่าไม่สามารถระบุชื่อกลุ่มผู้โจมตีได้ "ข้อมูลที่มีอยู่ไม่อนุญาตให้เราเชื่อมโยงกิจกรรมนี้กับกลุ่มผู้โจมตีกลุ่มใดที่รู้จักกัน หรือระบุได้อย่างแน่ชัดว่าผู้ดำเนินการรายเดียวกันอยู่เบื้องหลังแคมเปญทั้งสอง" สิ่งที่ใช้เป็นหลักฐานคือข้อมูลเมตาการ-build ของ Go ภายในอิมแพลนต์ ซึ่งบรรจุแฮชจากระบบควบคุมเวอร์ชัน เวลาคอมมิต และแฟล็กบ่งชี้ว่าสำเนาทำงานมีการแก้ไขค้างอยู่ — "เป็นลายนิ้วมือที่ไม่ซ้ำสำหรับการ-build ครั้งใดครั้งหนึ่ง" บนพื้นฐานนั้น ตัวอย่างจึงแยกออกเป็นสองกลุ่ม และภายในแต่ละกลุ่ม เพย์โหลด Windows และ Linux มีข้อมูลเมตาที่เหมือนกันทุกประการ หมายความว่ามันมาจากสำเนาทำงานเดียวกัน

กลุ่มเหล่านี้ไม่ได้เชื่อมโยงกันเป็นกลุ่มเดียวกัน พวกเขา “ไม่ได้ใช้โครงสร้างพื้นฐาน C2 ร่วมกัน” และมี CyberStrikeAI คนละเวอร์ชันทำงานอยู่บนเซิร์ฟเวอร์ควบคุมสองชุดที่แตกต่างกัน Kaspersky ให้เหตุผลสองประการที่ทำให้การระบุตัวตนในกรณีนี้เป็นเรื่องยาก ได้แก่ เฟรมเวิร์กนี้เปิดให้เข้าถึงได้ publicly จึงเป็นไปได้ที่ผู้ปฏิบัติการที่แตกต่างกันจะสร้างเพย์โหลดขึ้นเองอย่างอิสระภายใต้เงื่อนไขที่คล้ายกัน และตัวคำสั่งเองนั้นถูกสร้างโดยโมเดล ซึ่งทำให้ความหลากหลายของคำสั่งเพิ่มขึ้น ขณะเดียวกันก็ตัดพฤติกรรมเฉพาะบุคคลที่การระบุตัวตนเชิงพฤติกรรมต้องอาศัยออกไป

สิ่งที่หลงเหลืออยู่เป็นเพียงการบ่งชี้ มากกว่าข้อสรุปที่แน่ชัด สคริปต์บางส่วนมีคอมเมนต์เป็นภาษาจีน ผู้โจมตีใช้บริการ dnslog[.]cn ของจีนเพื่อยืนยันการเข้าถึงอินเทอร์เน็ตจากโฮสต์เหยื่อ และการรีสตาร์ตเซิร์ฟเวอร์ควบคุมส่วนใหญ่ — ซึ่งกู้คืนเวลาได้เพราะใบรับรอง TLS ที่ลงนามเองถูกสร้างใหม่ในหน่วยความจำทุกครั้งที่เริ่มระบบ ดังนั้นฟิลด์ not_before จึงบันทึกเวลารีสตาร์ต — เกิดขึ้นในช่วงเวลาทำการ UTC+8 CyberStrikeAI เองถูกพัฒนาขึ้นภายในชุมชนความมั่นคงไซเบอร์ของจีน ข่าวประชาสัมพันธ์ของ Kaspersky วางเส้นแบ่งไว้อย่างชัดเจน: สิ่งเหล่านี้ "ไม่ได้พิสูจน์ตัวตนหรือสถานที่ของผู้โจมตี" และบริษัท "ไม่สามารถระบุว่ากิจกรรมนี้เป็นของกลุ่มภัยคุกคามที่รู้จัก หรือยืนยันว่าผู้ปฏิบัติการรายเดียวกันควบคุมโครงสร้างพื้นฐานทั้งหมดที่ระบุได้" ผู้ปฏิบัติการที่พูดภาษาจีนเป็นเพียงการอนุมาน ไม่ใช่ข้อค้นพบ

ทำไม Kaspersky จึงบอกว่านี่ไม่ใช่เหตุฉุกเฉินด้านการตรวจจับ

ข้อสรุปของรายงานโต้แย้งแนวคิดที่ว่า LLM ในห่วงโซ่การโจมตีจำเป็นต้องมีชั้นการป้องกันประเภทใหม่ เนื่องจากโมเดลนี้อยู่บนเซิร์ฟเวอร์ของผู้โจมตี มันจึง "ไม่ทิ้งร่องรอยการมีอยู่ของมันไว้ในโครงสร้างพื้นฐาน (เช่น คำขอ API ที่เฉพาะเจาะจงไปยัง LLM ภายในเครื่อง หรือรูปแบบการใช้ทรัพยากรที่ผิดปกติของโฮสต์)" สิ่งที่ผู้ป้องกันเห็นแทนคือการบุกรุกที่มีลักษณะเหมือนมนุษย์: ยูทิลิตี้เดียวกัน ลำดับเดียวกัน รายการบันทึกเหตุการณ์เดียวกัน คำตัดสินของ Kaspersky คือ "การนำ AI เข้ามาในห่วงโซ่การโจมตียังไม่ก่อให้เกิดความท้าทายใหม่โดยพื้นฐานต่อการตรวจจับ" ว่า "กฎการวิเคราะห์ความสัมพันธ์และพฤติกรรมแบบคลาสสิกที่ปรับแต่งมาอย่างดีนั้นเพียงพอ" และความแปลกใหม่นั้น "ไม่ได้อยู่ที่วิธีการเอง แต่อยู่ที่ความเร็วและความง่ายในการลงมือปฏิบัติ"

การตรวจจับที่เผยแพร่เป็นไปตามตรรกะนั้นมากกว่าการคิดค้นตรรกะใหม่ขึ้นมา Kaspersky Anti Targeted Attack กำหนด verdict เครือข่ายเป็น Backdoor.CyberStrikeAI.HTTP.C&C สำหรับทราฟฟิกของ implant; กฎการตรวจจับความผิดปกติของเครือข่ายชื่อ "Scanning domain records via LDAP queries" จับการสำรวจโดเมน; Kaspersky SIEM มาพร้อมกฎมากกว่า 100 ข้อที่ครอบคลุมเทคนิคในรายงาน รวมถึง DCSync, Golden Ticket, Kerberoasting และ Impacket WMIExec; และ implant ถูกจัดประเภทเป็น HEUR:HackTool.Win64.CyberStrike.gen และ HEUR:HackTool.Linux.CyberStrike.gen คำแนะนำของ Kaspersky สำหรับลูกค้าเป็นแบบทั่วไป — endpoint detection and response, network detection, threat intelligence และการเฝ้าระวังนอกเวลาทำงานหรือผ่านบริการที่มีผู้ดูแลจัดการ

คำกล่าวของ Nazarov ในข่าวประชาสัมพันธ์ก็เป็นข้อโต้แย้งเดียวกันในประโยคเดียว: ผู้โจมตี "ใช้เอเจนต์ AI ที่อิงกับ CyberStrikeAI เพื่อดำเนินห่วงโซ่การโจมตีแบบครบวงจรและปรับขั้นตอนถัดไปของตนภายในเครือข่ายที่ถูกบุกรุก" แต่ "กรอบงานนี้ยังคงพึ่งพาเทคนิคและขั้นตอนที่คุ้นเคย รวมถึง discovery, credential dumping, lateral movement และ collection and exfiltration"

สิ่งที่ได้รับการยืนยันแล้ว และสิ่งที่ยังไม่ได้รับการยืนยัน

พูดให้ชัดเจน: กลไกนี้มีเอกสารอธิบายไว้ในระดับที่ผู้ป้องกันสามารถล่าหามันได้ในวันพรุ่งนี้ — ลำดับชั้นของโปรเซสจาก sqlservr.exe งานที่ตั้งเวลาไว้ชื่อ SystemUpdate การเข้าถึง LSASS ผ่าน comsvcs.dll DCSync จากเครื่องที่ไม่ใช่โดเมนคอนโทรลเลอร์ HTTP header X-Implant-Token และที่อยู่ C2 ที่ Kaspersky ระบุไว้ แต่แคมเปญที่อยู่รอบ ๆ กลไกนั้นไม่ได้มีเอกสารอธิบายในระดับเดียวกัน Kaspersky ไม่ได้เผยแพร่รายชื่อเหยื่อ ไม่มีข้อมูลแยกตามประเทศ ไม่มีประมาณการปริมาณข้อมูล และไม่ระบุผู้กระทำ ทุกสิ่งที่ผู้อ่านอาจอยากรู้เกี่ยวกับว่าใครได้รับผลกระทบและรุนแรงเพียงใดนั้นหยุดอยู่ที่ภาคส่วนและภูมิภาค

มีสองรายละเอียดที่ควรชี้ให้เห็นสำหรับใครก็ตามที่ไปอ่านรายงานโดยคาดหวังว่าจะมีมากกว่านี้ ประการแรก Kaspersky อธิบายการโจมตีนี้ว่าเป็น "หนึ่งในคำอธิบายสาธารณะแรก ๆ ของการถูกบุกรุกที่เกี่ยวข้องกับ LLM ในสภาพแวดล้อมจริง" ไม่ใช่คำอธิบายแรก — เป็นถ้อยคำแบบระวังที่จำกัดข้อกล่าวอ้างไว้เพียงเท่าที่ทีมค้นพบได้ในรายงานสาธารณะ ประการที่สอง รายงานระบุว่าเวอร์ชันของอิมแพลนต์ไม่ตรงตามเวอร์ชันของเซิร์ฟเวอร์ การกำหนดค่าตัวรับฟังและคีย์ยังคงอยู่รอดหลังการอัปเดตของผู้ปฏิบัติการ และวันที่ build ของตัวอย่างให้เพียงวันที่เร็วที่สุดที่เป็นไปได้ในการติดตั้งใช้งาน ไม่ใช่ระยะเวลาของการถูกบุกรุก ตัวเลข 3–4 วันเป็นการวัดเหตุการณ์ที่ถูกสร้างขึ้นใหม่หนึ่งเหตุการณ์ ไม่ใช่ขอบเขตจำกัดว่าการบุกรุกใด ๆ เหล่านี้ดำเนินไปนานเท่าใดก่อนจะมีคนสังเกตเห็น