Anthropic: связанная с Россией группа Midnight Blizzard использовала Claude Code для кибератак на Украину и Европу
Компания Anthropic сообщила, что кибергруппировка GTG-20006, которую исследователи связывают с российской хакерской группой Midnight Blizzard, использовала ИИ-инструмент Claude Code для автоматизации кибератак против Украины, европейских стран, а также дипломатических и оборонных организаций. Среди целей — военная разведка, оборонные ведомства, аналитические центры и разработчики военных дронов.
Главное
- Исследователи связали киберактёра GTG-20006 с российской группой Midnight Blizzard.
- Для автоматизации атак применялся ИИ-инструмент Claude Code от компании Anthropic.
- Одним из операторов группы называют русскоязычного хакера под ником JackPoterz.
- Целями стали более 20 организаций: министерства, спецслужбы, оборонные ведомства, посольства, аналитические центры и предприятия оборонно-промышленного комплекса в Украине и Европе.
- Ключевые темы атак — Украина, разработчики военных БПЛА и их цепочки поставок; взломаны почтовые ящики как минимум двух производителей компонентов для дронов.
- ИИ автономно модифицировал вредоносный код: при обнаружении антивирусом анализировал причину, изменял код и перекомпилировал программу до обхода защиты.
- Хакеры скомпрометировали не менее трёх гостиничных Wi‑Fi-провайдеров через подмену DNS, а также получили доступ к WhatsApp-аккаунтам, в том числе как минимум двух бывших высокопоставленных украинских чиновников.
Почему это важно
Отчёт Anthropic документирует первый подробно описанный случай масштабного применения коммерческого ИИ-инструмента для автоматизации киберопераций, связанных с государством. Это показывает, как ИИ способен сжимать и индустриализировать kill chain — от разведки целей и фишинговой инфраструктуры до модификации вредоносного кода и эксфильтрации данных — при минимальном участии человека-оператора.
Что произошло
Компания Anthropic опубликовала отчёт, в котором сообщила, что кибергруппировка GTG-20006, связанная с российской группой Midnight Blizzard, использовала ИИ-инструмент Claude Code для автоматизации кибератак против Украины и европейских стран. Атаки велись на военную разведку в правительствах Украины и Европы, а также на дипломатические и оборонные организации и лиц, связанных с внешней политикой США. Среди операторов группы — русскоязычный хакер под ником JackPoterz.
По данным исследователей Anthropic, ИИ автоматизировал значительную часть операций: разработку вредоносного ПО, регистрацию доменов и настройку хостинговой инфраструктуры для рассылки писем, фишинг, закрепление в сети через командные серверы и вывод данных. При обнаружении вредоносной программы антивирусом ИИ анализировал причину обнаружения, изменял код и перекомпилировал программу, повторяя процесс до тех пор, пока защита не переставала распознавать её. Человек-оператор подключался в основном для тонкой настройки процессов в Claude Code.
Расследование выявило более 20 отдельных организаций, ставших целями хакеров на разных этапах атак: министерства, органы обороны и разведки, посольства, дипломатические миссии, аналитические центры и предприятия оборонно-промышленного комплекса в Украине и Европе, а также на Ближнем Востоке и в морских государственных агентствах Азии. Исключениями стали государственная структура Юго-Восточной Азии в сфере морских перевозок и государственный технологический орган Северной Африки.
Ключевыми темами атак были Украина, разработчики военных беспилотных технологий и их цепочки поставок. Хакеры похитили данные о технологиях военных дронов, получив доступ к почтовым ящикам как минимум двух производителей компонентов для БПЛА, а также украли программный комплекс системы машинного зрения одного из дронов и несколько дней анализировали его для восстановления архитектуры системы и данных о поставщиках. Для распространения вредоносного ПО под Windows, Android и iOS группа скомпрометировала не менее трёх гостиничных Wi‑Fi-провайдеров через подмену DNS-записей. Кроме того, хакеры получили доступ к WhatsApp-аккаунтам жертв и массово выгружали переписку на украинском и русском языках; среди целей были как минимум двое бывших высокопоставленных украинских чиновников.
Предыстория
Midnight Blizzard (также известна как APT29 / Cozy Bear) — связанная с российским государством кибершпионская группа, ранее причастная к взломам правительственных и коммерческих организаций в разных странах. До этого случая киберпреступники использовали автоматизацию и скриптинг; отчёт Anthropic описывает данный инцидент как качественный сдвиг, при котором ИИ координирует значительную часть операции, а не просто помогает оператору. Разработка военных беспилотников и их цепочка поставок остаются подтверждённой зоной интереса российских спецслужб в ходе войны в Украине.