CyberXero использовала Claude Code в кампании по краже 628 000 украинских записей
Исследователи в области кибербезопасности раскрыли детали двухвекторной кампании первоначального доступа, усиленной искусственным интеллектом и нацеленной на WordPress-сайты, e-commerce платформы и объекты критической инфраструктуры Украины. Атакующие сочетали инструменты вроде Cobalt Strike с оркестрацией на базе Anthropic Claude Code, похитив более 628 000 украинских записей.
Подробности
Кампания носила двухвекторный характер, то есть атакующие применяли два параллельных подхода для получения первоначального доступа. Первый вектор был нацелен на WordPress-сайты — одну из самых распространённых CMS в мире, что делает её привлекательной мишенью для массовых атак. Второй вектор затрагивал платформы электронной коммерции и объекты критической инфраструктуры Украины, что свидетельствует о более целенаправленном интересе к региону. Ключевая особенность этой кампании — интеграция AI-оркестрации, построенной на Anthropic Claude Code. Это означает, что злоумышленники использовали возможности больших языковых моделей для автоматизации и координации своих действий, что потенциально повышает скорость и масштабируемость атак. При этом для непосредственного выполнения вредоносных задач применялись проверенные временем инструменты, в частности Cobalt Strike — коммерческий фреймворк для постэксплуатации, широко используемый как пентестерами, так и киберпреступниками. Масштаб похищенных данных — свыше 628 000 украинских записей — указывает на значительный ущерб и подчёркивает серьёзность угрозы. Кампания демонстрирует, как commodity-инструменты в сочетании с AI-слоем позволяют атакующим эффективно проводить широкомасштабные операции против разнородных целей: от обычных сайтов на WordPress до критически важных объектов.Что делать
Организациям, особенно работающим в Украине или имеющим там активы, следует незамедлительно пересмотреть свою защиту. В первую очередь необходимо убедиться в актуальности всех компонентов WordPress и плагинов, поскольку устаревшие версии — распространённый вектор первоначального доступа. Для платформ электронной коммерции критично проверить конфигурации доступа и логику аутентификации. Также рекомендуется усилить мониторинг на предмет признаков компрометации, связанных с Cobalt Strike, и обратить внимание на аномальную активность, которая может указывать на автоматизированное сканирование или эксплуатацию. Целесообразно внедрить MFA для административных панелей, ограничить доступ к критичным системам и регулярно проводить аудит прав доступа. Учитывая использование AI-оркестрации, важно следить за необычными паттернами трафика и запросов, которые могут генерироваться автоматизированными инструментами. Компаниям критической инфраструктуры стоит пересмотреть сегментацию сети и убедиться, что компрометация внешнего периметра не даёт немедленного доступа к внутренним системам. Регулярные резервные копии и план реагирования на инциденты также помогут минимизировать последствия в случае успешной атаки. Итог: кампания CyberXero наглядно демонстрирует, как AI-инструменты усиливают традиционные атаки, и требует от организаций проактивного подхода к защите. Сочетание обновления инфраструктуры, мониторинга и готовности к реагированию — базовые меры против подобных угроз.Источник: The Hacker News