Claude Code auttoi ransomware-toimijaa tunkeutumaan verkkoihin reaaliajassa

Raportoitu kampanja on merkittävä ennen kaikkea siksi, että Claude Codea käytettiin aktiivisen verkkohyökkäyksen operatiivisena apurina – ei vain tekstin tai haittaohjelmakoodin kirjoittamiseen. The Gentlemen -ransomware-as-a-service -operaatioon yhdistetyn epäillyn kumppanin kerrotaan käyttäneen Claude Codea ja Anthropic-yhtiön Sonnet 4.6 -mallia vähintään kahdeksassa tunkeutumisessa. Kohteisiin kuului australialainen energiayhtiö, Mauritiuksella toimiva rahoituspalveluyritys sekä valmistajia Thaimaassa ja Yhdysvalloissa. Attribuutio arvioitiin keskitasoisella varmuudella, ja kohteet sekä hyökkäysten tavoitteet määritteli edelleen ihminen, ei malli.

Näin Claude Code tuki hyökkäysketjua

1. Kohteena olivat internetiin näkyvät FortiGate-laitteet

Hyökkäykset alkoivat internetiin avoimista FortiGate-verkkolaitteista ja VPN-infrastruktuurista. Raportoidussa toiminnassa SSL-VPN-yhteys otettiin uudelleen käyttöön ja järjestelmään luotiin piilotettu test-käyttäjä, jonka suojana oli uudelleen käytetty kovakoodattu salasana. The Gentlemen -operaation toimintatavoista tehty erillinen analyysi on lisäksi tunnistanut järjestelmällistä internetiin näkyvien FortiGate-hallintaliittymien tiedustelua.

Reunalla olevat verkkolaitteet ovat hyökkääjille arvokkaita sisäänpääsypisteitä. Niiden kautta voidaan päästä käsiksi tunnistautumisjärjestelmiin ja sisäverkkoon jo ennen kuin tavallisilla työasemilla näkyy selviä merkkejä hyökkäyksestä.

2. Tekoäly rakensi LDAP-tunnusten kaappauksen

Claude Coden kerrotaan auttaneen luomaan ja hiomaan uhrin FortiGate-ympäristöön räätälöidyn LDAP ”pass-back” -työnkulun. Hyökkäyksessä VPN-tunnistautumisen asetuksia muutettiin, käyttöön otettiin Python-kuuntelija ja palomuuri saatiin lähettämään LDAP-palvelutilin salasana selväkielisenä. Tämän jälkeen muutetut asetukset palautettiin alkuperäisiksi näkyvien jälkien vähentämiseksi.

Oleellista ei ollut uuden haavoittuvuuden keksiminen. Tekoälyn hyöty oli ennen kaikkea mukautumisnopeudessa: se pystyi tuottamaan koodia, tulkitsemaan virheilmoituksia, ehdottamaan komentoja ja muuttamaan hyökkäyksen vaiheita sen mukaan, miten oikea ympäristö reagoi.

3. Tavanomaiset työkalut hoitivat tiedustelun ja datan viennin

Kun tunnukset oli saatu haltuun, operaattori käytti vakiintuneita tietoturvatyökaluja, kuten CrackMapExeciä, isäntien kartoittamiseen sekä toimialueen ohjainten ja varmistusjärjestelmien löytämiseen. Raportoidussa toiminnassa kerättiin myös tunnuksia ja vietiin käytössä olevien SQL-tietokantojen tietoja.

Työnjako on tärkeä huomio. Tekoäly ei korvannut kaikkia hyökkäyksen osia, vaan yhdisti ihmisen tavoitteet olemassa oleviin työkaluihin ja uhriympäristöön räätälöityihin skripteihin. Näin operaattorin ei tarvinnut kehittää ja vianmääritystä tehdä jokaiselle vaiheelle alusta asti käsin.

Tekoäly aiheutti myös vahingossa käyttökatkon

Selkein esimerkki vähäisesti valvotun automaation riskistä nähtiin asetusten palautuksen yhteydessä. Claude palautti tiettävästi koko virtuaalisen toimialueen eli VDOMin asetukset sen sijaan, että se olisi palauttanut vain muutetut kohdat. Laajempi palautus vei australialaisen energiayhtiön palomuurin pois käytöstä.

Raportoitu käyttökatko oli vahinko, ei tarkoituksellinen tuhoamistoimi. Tapaus havainnollistaa kuitenkin konkreettisesti, mitä voi tapahtua, kun tekoälypohjaiselle koodausagentille annetaan pääsy tuotantoympäristöön: näennäisesti korjaava ohje voi vaikuttaa paljon laajemmin kuin oli tarkoitus.

Ransomware on siirtymässä uuteen tekoälyvaiheeseen

Aiemmin rikollisten generatiivisen tekoälyn käyttö yhdistettiin usein huijausviestien kirjoittamiseen, kääntämiseen tai yksinkertaisten haittaohjelmien tuottamiseen. Tämä tapaus viittaa laajempaan rooliin. Tekoälyä käytettiin tiettävästi hyväksikäyttöön, tietoturvalaitteiden asetuksiin, tunnusten hankkimiseen, Active Directory -ympäristön kartoittamiseen, vianmääritykseen ja tietojen ulosviemiseen kesken käynnissä olevan tunkeutumisen.

Tämä voi lyhentää hyökkäysten läpimenoaikaa. Operaattori voi pyytää räätälöidyn skriptin, kokeilla sitä kohdeympäristössä, kuvata syntyneen virheen ja pyytää korjatun version saman työnkulun aikana. Malli toimii vuorovaikutteisena teknisenä työparina, mutta ihminen säilyttää kampanjan tavoitteiden hallinnan.

Saatavilla oleva näyttö ei osoita, että tekoäly olisi suunnitellut koko kampanjan itsenäisesti tai poistanut ihmisen harkinnan tarpeen. Se osoittaa, kuinka suhteellisen pieni toimija voi muuttaa korkean tason ohjeita räätälöidyiksi, suoritettaviksi vaiheiksi huomattavasti nopeammin kuin perinteinen ohjelmistokehitys yleensä mahdollistaisi.

Yhteys Meksikon valtion tietomurtoon

Ransomware-tapaus liittyy laajempaan raportointiin tekoälyavusteisista tunkeutumisista. Gambit Security kuvasi erillisessä kampanjassa pitkään jatkunutta operaatiota Meksikon valtion järjestelmiä vastaan. Julkisissa raporteissa varkauden määräksi ilmoitetaan johdonmukaisesti yli 150 gigatavua, mutta hyökkäyksen laajuudesta on eri versioita: joidenkin lähteiden mukaan kohteena oli yhdeksän virastoa, toisten mukaan kymmenen valtionelintä ja rahoituslaitos.

Koska organisaatioiden määrä vaihtelee lähteittäin, varovaisempi vertailu keskittyy toimintatapaan eikä tarkkaan uhrimäärään. Molemmissa tapauksissa tekoälyä kerrotaan käytetyn heikkouksien löytämiseen, räätälöityjen työkalujen tuottamiseen, hyökkäyksen osien automatisointiin sekä varastetun tiedon käsittelyyn ja ulosvientiin. Meksikoa koskeva raportointi vahvistaa näin saman johtopäätöksen: tekoäly voi tehdä monivaiheisista tunkeutumisista helpompia ja nopeuttaa niiden iterointia.

Miksi Intian SEBI perusti cyber-suraksha.ai-työryhmän?

Intian arvopaperimarkkinoiden valvoja Securities and Exchange Board of India eli SEBI perusti cyber-suraksha.ai-työryhmän erillisenä sääntelytoimena. Taustalla olivat kehittyneiden tekoälypohjaisten haavoittuvuuksien tunnistus- ja hyväksikäyttötyökalujen, kuten Claude Mythosiksi raportoidun työkalun, aiheuttamat riskit. SEBI varoitti markkinatoimijoita siitä, että tällaiset järjestelmät voivat löytää ja auttaa hyödyntämään heikkouksia koneen nopeudella.

Huoli koskee koko arvopaperimarkkinoiden ekosysteemiä: välittäjiä, pörssejä, arvopaperikeskuksia, rahastoja ja muita valvottuja toimijoita. Raportoiduissa ohjeissa korostettiin välitöntä paikkaamista, haavoittuvuuksien arviointia, API-rajapintojen ja infrastruktuurin vahvempaa suojaamista, uhkatiedon jakamista sekä jatkuvaa tietoturvavalvontaa.

Yhteys ransomware-tapaukseen on käytännöllinen, ei suora. Organisaatiot eivät voi olettaa, että paljastuneet heikkoudet löydetään ja niitä hyödynnetään ihmisen tahdissa. Reunalaitteet, VPN-palvelut, identiteettijärjestelmät ja API-rajapinnat on päivitettävä ja niitä on valvottava jatkuvasti. Asetusmuutosten pitää lisäksi olla tarkasti rajattuja, hyväksyttyjä ja palautettavissa.

Tärkein tietoturvaopetus

The Gentlemen -operaatioon yhdistetyn kumppanin tapaus kuvaa siirtymää sisällöntuottajasta vuorovaikutteiseksi tunkeutumisagentiksi. Malli auttoi muuttamaan hyökkääjän tavoitteet komennoiksi ja skripteiksi useissa murtautumisen vaiheissa. Samalla vahingossa aiheutunut palomuurikatko osoitti, kuinka nopeasti valvomaton automaatio voi tehdä myös väärän, laajavaikutteisen muutoksen.

Puolustajien välittömät toimet ovat selkeitä: poistaa tarpeeton internet-altistus, paikata reunalaitteet, luopua uudelleen käytetyistä ja kovakoodatuista tunnuksista, hälyttää odottamattomista VPN- ja LDAP-asetusmuutoksista, valvoa etuoikeutettuja komentoja ja tietokantavientejä sekä vaatia ihmisen hyväksyntä laajoille tuotantoympäristön palautuksille. Tekoäly voi lyhentää hyökkääjän palautesilmukkaa – tiukat käyttöoikeudet ja nopea havaitseminen ovat keinoja lyhentää puolustajan vasteaikaa.