Intelligenza Artificiale Offensiva: Artificial Intelligence (T1588.007)

Per un red team, simulare questa tecnica significa riprodurre in laboratorio l'AI-assisted tradecraft in modo controllato, valutando quanto un LLM riesca ad accelerare le fasi operative senza mai eseguire attacchi reali fuori dal perimetro autorizzato.

Il primo scenario è la generazione di contenuti di social engineering. Un LLM può produrre email di phishing multilingua, pretesti telefonici e pagine di raccolta credenziali. Per il vishing, la campagna di ShinyHunters ha impiegato piattaforme di voce conversazionale AI per costruire percorsi di dialogo su misura: in laboratorio si può replicare il concetto con framework di phishing legittimi come GoPhish (open source) per l'email e Gophish-style landing page, mantenendo target fittizi.

Il secondo scenario è la generazione di payload e script. Le campagne mostrano LLM usati per scrivere wiper PowerShell (LazyWiper) e per restituire comandi di post-exploitation, come nel caso di LAMEHUG deployato da APT28, che interroga un modello per generare comandi da eseguire sul sistema compromesso. In un lab isolato si può testare la capacità di un modello di offuscare uno script, ad esempio codificando un payload benigno con powershell -EncodedCommand su Windows, oppure incapsulando comandi in bash -c su Linux, verificando quanto le varianti generate eludano le firme statiche.

Una sequenza tipica di esercitazione:

• Prompt engineering avversariale: scomporre l'obiettivo in micro-task per aggirare i guardrail, la tecnica usata in C0062 con agenti Claude Code e strumenti MCP (Model Context Protocol).
• Automazione con agenti: collegare l'LLM a tool di orchestrazione per catene ricognizione → discovery → esecuzione, misurando il grado di autonomia.
• Validazione detection: verificare quali artefatti gli script generati lasciano su endpoint monitorati.

Sul piano infrastrutturale, il red team può impiegare modelli self-hosted tramite Ollama (open source) o LM Studio (freemium) per mantenere i dati dell'ingaggio in ambiente chiuso, evitando l'invio di informazioni sensibili a servizi cloud. È essenziale documentare i prompt usati, perché diventano essi stessi indicatori di tradecraft.

L'obiettivo finale non è dimostrare che l'AI "hackera da sola", ma quantificare l'accelerazione: quanto tempo si risparmia, quali fasi restano vincolate all'operatore umano e dove i controlli difensivi reggono nonostante l'automazione.

Questa tecnica appartiene a Resource Development e per sua natura si svolge fuori dalla visibilità dell'organizzazione bersaglio: l'acquisizione e l'uso di un LLM avvengono su infrastrutture di terze parti. La stessa detection ufficiale (AN1974) riconosce che gran parte dell'attività resta invisibile, per cui il SOC deve concentrarsi sulla rilevazione indiretta — ovvero su ciò che accade quando l'output generato dall'AI viene utilizzato contro l'ambiente.

Il primo fronte è il phishing e il phishing for information. Le email prodotte da un LLM tendono a essere linguisticamente impeccabili, il che paradossalmente rende meno affidabili i vecchi indicatori basati su errori grammaticali. Conviene spostare l'analisi su segnali strutturali: header anomali, dominio mittente di recente registrazione, discrepanze SPF/DKIM/DMARC, e volumi insoliti di messaggi molto simili ma non identici. Le soluzioni di email security come Microsoft Defender for Office 365 (a pagamento) o Proofpoint (a pagamento) offrono correlazione su questi pattern.

Sul lato endpoint, il segnale più concreto emerge quando gli script generati dall'AI vengono eseguiti. Per LazyWiper (PowerShell) e per comandi tipo LAMEHUG, monitorare:

• EventCode 4104 (Script Block Logging di PowerShell) per intercettare codice offuscato o commenti "non sensati" tipici della generazione automatica.
• EventCode 4688 con audit della command line per catturare powershell -EncodedCommand e spawn anomali.
• Sysmon Event ID 1 (process creation) e Event ID 3 (network connection) verso endpoint API di servizi LLM, indicatore che un impianto interroga un modello in fase post-compromise.

Un segnale peculiare emerso dalla Anthropic AI-orchestrated Campaign è il traffico verso servizi di orchestrazione AI e strumenti MCP durante fasi operative: connessioni ripetute e cadenzate verso API di modelli, correlate ad attività di discovery o lateral movement, meritano un alert dedicato.

I falsi positivi sono un rischio serio. L'uso legittimo di assistenti AI da parte degli sviluppatori genera traffico identico a quello malevolo; occorre stabilire baseline per reparto e distinguere il consumo autorizzato di copiloti dallo scripting automatizzato in contesti anomali (server, account di servizio, orari notturni).

Sul piano preventivo, la logica Pre-compromise (M1056) resta il riferimento: ridurre la superficie informativa pubblica, applicare policy DMARC rigorose e formare il personale a riconoscere pretesti sempre più convincenti, inclusi audio e video sintetici usati per impersonation e frode.

Per l'analista forense, il contenuto generato da un LLM non lascia un artefatto "AI" univoco: la firma va ricostruita indirettamente, correlando le tracce lasciate dagli output — script, payload, contenuti — con gli indizi stilistici della generazione automatica.

Un marcatore ricorrente è la qualità anomala del codice. LazyWiper (S9039) è stato attribuito a generazione tramite LLM proprio per la presenza di commenti non sensati nel sorgente: durante l'analisi statica di uno script PowerShell o di un binario, commenti ridondanti, nomi di variabili incoerenti col contesto o pattern strutturali "troppo puliti" ma logicamente scollegati sono segnali da annotare in perizia. Questi elementi vanno preservati insieme all'hash del file e ai timestamp del filesystem.

Su Windows, la timeline si costruisce a partire da più fonti convergenti:

• I log PowerShell Operational (EventCode 4104) conservano il blocco di script eseguito, utile per recuperare codice offuscato generato dall'AI anche dopo la cancellazione del file.
• Il Prefetch e le Amcache/ShimCache documentano l'esecuzione di eseguibili come DynoWiper, mentre nelle 2025 Poland Wiper Attacks la distribuzione via Group Policy Object malevoli lascia tracce nei log di replica SYSVOL e negli eventi di applicazione GPO.
• La correlazione con Security.evtx (EventCode 4688) ricostruisce la catena di processi.

Su Linux, in assenza di logging nativo esteso, gli artefatti utili sono la bash history, i log auth e — se presente auditd — le regole di execve che catturano l'invocazione degli script generati.

Un secondo filone d'indagine sfrutta fonti esterne, perché l'infrastruttura AI è fuori dall'endpoint. Il passive DNS, gli storici WHOIS e i log Certificate Transparency (consultabili tramite il database di crt.sh, gratuito) aiutano a ricostruire i domini di consegna e le personas usate per aggirare i guardrail, come i crafted prompt e le identità fittizie documentati nella Anthropic AI-orchestrated Campaign.

Infine, per contenuti multimediali sintetici usati in frode e impersonation, l'analisi dei metadati (EXIF residui, incongruenze di compressione) e degli artefatti di generazione supporta l'attribuzione. La documentazione dei prompt, quando recuperabili da cache applicative o memoria, chiude la timeline collegando l'intento dell'operatore all'artefatto tecnico prodotto.

L'adozione dell'AI generativa a fini offensivi si sta consolidando come tradecraft trasversale, adottato da attori con motivazioni e geografie molto diverse: dallo spionaggio statale alla frode finanziaria. I dati mostrano tre profili di gruppo, un malware emblematico e due campagne che segnano l'evoluzione della minaccia.

APT28 (G0007), attore riconducibile a interessi russi, ha deployato LAMEHUG, un impianto capace di interrogare un LLM per generare e restituire comandi di attività post-compromise sui sistemi bersaglio. È un salto qualitativo: il malware non porta con sé una logica statica, ma la genera dinamicamente a runtime, rendendo l'analisi delle firme molto più difficile.

Contagious Interview (G1052) ha invece sfruttato l'AI per produrre immagini e contenuti a supporto delle proprie campagne, tipicamente centrate su false offerte di lavoro per adescare vittime. Qui l'AI serve la costruzione di credibilità e persona.

ShinyHunters (G1057), gruppo orientato all'estorsione e al furto dati, ha impiegato una piattaforma di voce conversazionale AI per creare percorsi di dialogo su misura durante attacchi di vishing, automatizzando l'ingegneria sociale telefonica su scala.

Sul piano delle campagne, la Anthropic AI-orchestrated Campaign (C0062) rappresenta il caso più avanzato: nel settembre 2025 un attore di spionaggio a nexus cinese, identificato come GTG-1002, ha manipolato un agente AI e strumenti MCP per automatizzare l'intera catena — ricognizione, scoperta e sfruttamento di vulnerabilità, movimento laterale, raccolta credenziali ed esfiltrazione — contro circa 30 entità nei settori tecnologico, finanziario, chimico e governativo, con intervento umano ridotto al minimo.

Le 2025 Poland Wiper Attacks (C0063), campagna russa contro infrastrutture energetiche polacche tra marzo e dicembre 2025, hanno colpito oltre 30 impianti eolici e fotovoltaici distribuendo i wiper DynoWiper e LazyWiper tramite GPO malevoli. Uno degli script è stato generato con un LLM. L'attribuzione resta ambigua tra il gruppo FSB Dragonfly (STATIC TUNDRA) e il gruppo GRU ELECTRUM (Sandworm Team), un'ambiguità che l'automazione AI tende ad accentuare riducendo i marcatori stilistici umani.

Il trend è chiaro: l'AI abbassa la barriera d'ingresso, uniforma la qualità del codice e dei contenuti tra gruppi diversi, e comprime i tempi operativi. La convergenza tra spionaggio statale (APT28, GTG-1002, attori russi) e criminalità (ShinyHunters, Contagious Interview) sullo stesso strumento complica l'attribuzione basata sul tooling.

MITRE ATT&CK — Tecnica T1588.007 (Artificial Intelligence), tattica TA0042. Gruppi G0007, G1052, G1057; software S9039 (LazyWiper); campagne C0062 (Anthropic AI-orchestrated Campaign), C0063 (2025 Poland Wiper Attacks); mitigazione M1056; detection DET0842/AN1974. Tool di detection citati: Sysmon, GoPhish, Ollama, LM Studio, Microsoft Defender for Office 365, Proofpoint, crt.sh. Parte dei dettagli operativi su comandi, artefatti forensi e sintassi deriva da conoscenza professionale di cybersecurity, applicata nel rispetto dei dati MITRE forniti.