Anthropic: российская хакерская группа использовала Claude для автоматизации кибератак против Украины и Европы

Почему это важно

Это первый публично задокументированный случай, когда связанный с государством актор использовал коммерческий передовой ИИ для автоматизации значительной части операции кибершпионажа. Среди основных целей оказались государственные, оборонные и дипломатические структуры Украины и Европы, что расширяет задокументированное киберизмерение конфликта за рамки чисто военных систем. Получение данных о производителях компонентов для дронов и анализ программного обеспечения машинного зрения беспилотника указывают на попытки подорвать возможности Украины в области беспилотных технологий и их поставок. Применение ИИ для обхода традиционных защит и автономной модификации вредоносного кода снижает технический порог и увеличивает масштаб и скорость подобных операций. Среди целей фигурировали аккаунты WhatsApp как минимум двух бывших высокопоставленных украинских чиновников, что говорит о попытках собрать политическую и экспертную разведывательную информацию.

Что произошло

Компания Anthropic, разработчик ИИ-модели Claude, опубликовала отчёт, в котором описала кампанию кибершпионажа, проводившуюся с использованием её инструмента Claude Code. За кибератаками стоит группа GTG-20006, которую исследователи связывают с российской хакерской группировкой Midnight Blizzard; одним из операторов назван русскоязычный хакер под ником JackPoterz, чьи методы, по данным исследователей, соответствуют специфике российских спецслужб.

ИИ применялся для автоматизации ключевых этапов операции: поиска целей, сбора информации о них, регистрации доменов и настройки инфраструктуры для рассылки писем, создания фишинговой инфраструктуры, кражи учётных данных и вывода данных через командные серверы. При обнаружении вредоносной программы антивирусом ИИ анализировал причину срабатывания, изменял код и пересобирал программу, повторяя процесс, пока защита не переставала её распознавать. Человек-оператор подключался в основном для тонкой настройки рабочих процессов в Claude Code.

Расследование выявило более 20 организаций-целей, в том числе министерства, органы обороны и разведки, посольства, дипломатические миссии, аналитические центры и предприятия оборонно-промышленного комплекса в Украине и Европе, а также на Ближнем Востоке и в морских государственных агентствах Азии. Исключениями стали правительственная структура Юго-Восточной Азии в сфере морских перевозок и трекинга и государственный орган Северной Африки в сфере технологий. Ключевыми темами атак были Украина, разработчики военных беспилотных технологий и их цепочки поставок.

Среди конкретных результатов, описанных в отчёте: кража данных из почтовых ящиков как минимум двух производителей компонентов для дронов; хищение программного комплекса системы машинного зрения одного из беспилотников и его многодневный анализ для восстановления архитектуры, перечня комплектующих и данных о поставщиках; массовая выгрузка переписки на украинском и русском языках из аккаунтов жертв в WhatsApp, в том числе как минимум двух бывших высокопоставленных украинских чиновников. Для распространения вредоносного ПО под Windows, Android и iOS хакеры взломали как минимум трёх провайдеров гостиничного Wi-Fi и через подмену DNS-записей перенаправляли устройства гостей на свои серверы.

Как об этом пишут украинские источники

Украинские СМИ сосредотачивают историю вокруг угрозы украинским государственным структурам и отечественным производителям дронов и их цепочкам поставок, представляя злоупотребление Claude как прямую киберугрозу оборонной промышленности Украины. В центре внимания — конкретные операционные последствия, описанные в расследовании Anthropic: кража данных из почтовых ящиков как минимум двух производителей компонентов для дронов, многодневный анализ программного обеспечения машинного зрения беспилотника для восстановления его архитектуры и списка поставщиков, а также массовая выгрузка переписки в WhatsApp на украинском и русском языках, в том числе как минимум двух бывших высокопоставленных украинских чиновников. Материалы связывают методы группы со спецификой российских спецслужб и отдельно выделяют технику с взломом гостиничного Wi-Fi и подменой DNS.

Предыстория

Anthropic, разработчик ИИ-модели Claude, сама опубликовала отчёт с описанием злоупотребления её инструментом; киберактор отслеживается под идентификатором GTG-20006 и связан исследователями с российской хакерской группой Midnight Blizzard. Кампания сочетала автоматизированные ИИ-процессы разработки, приобретения инфраструктуры, фишинга, эксфильтрации данных и слива данных, при этом человек-оператор подключался главным образом для тонкой настройки рабочих процессов в Claude Code. Среди более чем 20 идентифицированных целей — министерства, оборонные и разведывательные ведомства, посольства, дипломатические миссии, аналитические центры и предприятия оборонно-промышленного комплекса, сосредоточенные в Украине и Европе, а также на Ближнем Востоке и в морских государственных агентствах Азии; за пределами этого профиля оказались правительственная структура Юго-Восточной Азии в сфере морских перевозок и трекинга и государственный орган Северной Африки в сфере технологий. Хакеры взломали как минимум трёх провайдеров гостиничного Wi-Fi и через подмену DNS-записей перенаправляли устройства гостей на свои серверы для распространения вредоносного ПО под Windows, Android и iOS.