Operatori legați de Midnight Blizzard au folosit Claude pentru a reconstrui malware detectat

Un grup de spionaj pe care cercetătorii îl leagă de actorul statal rus Midnight Blizzard a folosit Claude, modelul de AI al Anthropic, pentru a-și modifica malware-ul de fiecare dată când acesta era prins de soluțiile de securitate. Așa și-a menținut operațiunile împotriva unor ținte guvernamentale, diplomatice, think-tank-uri și organizații din domeniul apărării din Ucraina și Europa. Noi cercetări arată că tactica a schimbat fișierele, dar nu și comportamentul malware-ului sau serverele cu care comunica, iar exact asta le-a permis apărătorilor să cartografieze campania.

Ce s-a întâmplat

Anthropic urmărește activitatea sub numele GTG-20006. Compania spune că țintele și metodele corespund rapoartelor publice despre Midnight Blizzard și că operațiunea a vizat peste 20 de organizații. Operatorul a folosit Claude pentru a găsi implanturile detectate, a le modifica și a le relansa. AI-ul a fost folosit și pentru infrastructura de phishing, pentru actualizări de malware și pentru gestionarea datelor furate.

ReversingLabs a pornit de la două mostre publicate și a extins analiza într-o hartă mai amplă a campaniei (raport din 15 octombrie):

• ChocoShell, un stager PowerShell care își ascunde fereastra, slăbește politica de execuție, rulează cod codificat Base64 și folosește module publice PowerSploit/Empire. Colectează istoricul browserului, interoghează shadow copies prin WMI și raportează progresul printr-un endpoint HTTPS de tip „tracking pixel”.
• CornFlake, un backdoor Windows scris în Go, care obține persistență printr-o intrare în cheia Run și printr-o sarcină programată, se injectează într-un proces suspendat și citește profilurile de browser și cache-ul Microsoft Teams. Rulările în sandbox au indicat și keylogging.

Microsoft legase anterior ambele familii de raportarea sa CaptiveCrunch și de Storm-2945, pe care o consideră un subgrup operațional al Midnight Blizzard. Potrivit acelei raportări, etapele timpurii ale atacului au abuzat portaluri Wi-Fi compromise din hoteluri și locații de evenimente, pentru a redirecționa călătorii către pagini de phishing și capcane de tip ClickFix.

Cercetătorii au găsit încă cinci variante de stager într-o fereastră de 25 de zile (9 iulie – 3 august), ceea ce sugerează un ciclu continuu de reconstruire. Au mai găsit două scurtături Internet Shortcut (.url) de 60 de octeți care trimiteau către același server de staging. Scurtăturile nu conțineau cod executabil și 0 din 37 de motoare antivirus nu le-au semnalat; pericolul stătea doar în destinația lor. Serverul de staging încă livra fișiere malițioase pe 5 octombrie.

Nuanțele contează

Povestea arată bine de ce informațiile despre amenințări trebuie citite cu atenție:

• Fișierele nu dovedesc atribuirea. ReversingLabs spune că analiza sa nu stabilește independent cine se află în spatele activității; legătura cu Midnight Blizzard se bazează pe evaluările Anthropic și Microsoft.
• Nu e confirmat că AI-ul a scris fiecare variantă. Tiparul reconstruirilor se potrivește cu relatarea Anthropic, dar cercetătorii nu pot stabili din datele lor dacă acele versiuni au fost generate de AI.
• „Văzut prima dată” nu înseamnă „detectat prima dată”. Primele apariții ale mostrelor arată doar că au fost colectate, nu un verdict independent; fișierele au fost clasificate drept malițioase abia după dezvăluirea Microsoft.
• Nu orice potrivire înseamnă același actor. Unele scripturi foloseau același set de unelte, dar fără legătură de rețea observată cu campania, deci ar putea fi vorba de alt operator care refolosește cod similar.

De ce contează

Rescrierea asistată de AI face detecția bazată pe hash ușor de ocolit: fiecare reconstruire produce un hash nou, iar unele modificări au stricat chiar și potrivirea prin fuzzy hashing. Comportamentul însă nu s-a schimbat. Toate cele cinci variante aveau același profil de 35 de capabilități, iar operatorul a refolosit aceleași etichete de beacon. O regulă YARA construită pe aceste etichete și pe acțiunile PowerShell a identificat șapte scripturi malițioase, inclusiv mostra originală.

Lecția pentru echipele de apărare e simplă: urmăriți ce face malware-ul și unde se conectează. Un hash de fișier sau un număr mic de detecții pe un serviciu de reputație spun puțin în timpul unei investigații active.

Ce trebuie făcut

1. Vânați comportamente, nu hash-uri. Scrieți detecții pentru comportamentele descrise mai sus: PowerShell cu fereastră ascunsă, modificări ale politicii de execuție și payload-uri Base64, interogări WMI pentru shadow copies din scripturi și beacon-uri HTTPS către endpoint-uri de tip /t/pixel.gif cu etichete precum stage2_entry / stage2_ctx_.
2. Verificați stațiile pentru artefactele de persistență raportate pentru CornFlake: %LOCALAPPDATA%\Microsoft\svchost32\svchost32.exe, un serviciu numit svchost32 cu numele afișat Cloud Sync Service, plus intrări Run și sarcini programate care trimit acolo. Atenție: svchost32.exe apare și în malware fără legătură cu această campanie, deci confirmați înainte să tratați o potrivire ca fiind a ei.
3. Tratați fișierele .url / .lnk ca vehicule de livrare. Blocați sau puneți în carantină atașamentele de tip Internet Shortcut la nivelul gateway-ului de e-mail și generați alerte când scurtăturile lansează PowerShell sau descarcă „JavaScript” care se dovedește a fi script.
4. Restricționați autentificarea device-code. Limitați autentificarea Microsoft Entra prin device code acolo unde nu e necesară și verificați autentificările recente de acest tip pentru anomalii.
5. Căutați întâi în istoric, apoi blocați. Înainte să adăugați infrastructura publicată în listele de blocare, căutați-o în logurile de proxy, DNS și EDR, ca să găsiți și contactele din trecut, nu doar să le opriți pe cele noi. Indicatori principali (dezactivați): staging/C2 213[.]145[.]86[.]112, C2 104[.]194[.]151[.]133, server de stocare a datelor 104[.]194[.]159[.]55 și domeniile care imită servicii legitime ms365-live[.]com, owa-ms365[.]com, ms365-device[.]com, m365-owa[.]com, wa-meeting[.]com, chamber-ua[.]org, cdncounter[.]net. Validați indicatorii cu încredere mai scăzută înainte de blocare.
6. Avertizați angajații care călătoresc. Directorii și diplomații conectați la Wi-Fi în hoteluri sau la evenimente ar trebui să folosească VPN și să nu „repare” niciodată conexiunea rulând comenzi sau deschizând fișiere oferite de un portal captiv.
7. Testați regulile de detecție pe fișiere curate înainte de implementare. Unii indicatori publicați, cum ar fi import hash-ul CornFlake, se potrivesc și cu multe binare Go legitime.

Pe baza relatării Cyber Security News și a cercetărilor publicate de ReversingLabs, Anthropic și Microsoft. Listele complete de hash-uri și URL-uri se găsesc în raportul ReversingLabs.