Spionaggio Russo Potenziato dall’AI: malware che si rigenera da solo e aggira le difese in pochi minuti

Un recente caso di cyber espionage mostra come gli attori statali stiano integrando l’intelligenza artificiale generativa nei loro processi offensivi per aumentare velocità e resilienza. Una campagna attribuita a un gruppo russo identificato come GTG 20006 ha utilizzato Claude per costruire un flusso di lavoro assistito da AI capace di reagire in modo automatico alle rilevazioni dei prodotti di sicurezza.

In pratica, quando un malware veniva individuato da firme statiche o regole note, agenti AI avviavano la modifica del codice, la ricompilazione e la ridistribuzione degli artefatti, con l’obiettivo di eludere le difese e ridurre il tempo tra detection e nuova infezione.

I target osservati includono strutture di intelligence militare e organismi governativi in Ucraina e in diversi paesi europei, oltre a enti diplomatici e della difesa e persone collegate alla politica estera degli Stati Uniti. Il toolkit descritto comprende:

• Due impianti per Windows
• Un kit di sfruttamento mobile
• Uno strumento di furto credenziali focalizzato sugli archivi password dei browser
• Una piattaforma di phishing costruita per imitare organizzazioni governative
• Una console amministrativa per gestire account compromessi

Una volta ottenuta una versione del malware che supera i controlli, gli attaccanti la posizionano su server di hosting usa e getta e reindirizzano le vittime per il download tramite phishing, tecniche ClickFix e schemi di DNS hijacking. L’AI viene impiegata anche per:

• Registrare domini
• Predisporre infrastrutture di invio email
• Creare e distribuire messaggi
• Monitorare i canali di comando e controllo per verificare i compromessi riusciti

Nel corso delle operazioni sono state prese di mira oltre 20 organizzazioni tra ministeri, enti di difesa e intelligence, ambasciate, think tank e aziende della difesa, con estensioni verso Medio Oriente e agenzie governative in Asia legate al settore marittimo. In un filone collegato, gli attaccanti avrebbero compromesso fornitori di Wi‑Fi per hotel, usando credenziali admin per alterare record DNS e intercettare traffico e identificativi dei dispositivi, per poi servire esche ClickFix e malware per Windows, Android e iOS. L’uso dell’AI lungo l’intera catena di attacco sposta i costi sui difensori, perché ogni nuova regola di rilevazione può essere aggirata più rapidamente tramite rigenerazione automatizzata degli artefatti.