रैनसमवेयर हमले में Claude Code बना ‘इंट्रूज़न को-पायलट’, लाइव नेटवर्क पर हुआ इस्तेमाल

2. AI ने LDAP क्रेडेंशियल-कैप्चर प्रक्रिया तैयार की

Claude Code ने कथित तौर पर पीड़ित के FortiGate वातावरण के लिए LDAP “pass-back” प्रक्रिया बनाने और उसे सुधारने में मदद की। इस प्रक्रिया में VPN authentication settings बदली गईं, Python listener चलाया गया और फ़ायरवॉल को LDAP service-account का पासवर्ड cleartext में भेजने के लिए प्रेरित किया गया। इसके बाद बदली हुई सेटिंग्स को वापस पहले जैसा कर दिया गया, ताकि निशान कम दिखाई दें।

यहां AI की खास उपयोगिता किसी बिल्कुल नए exploit में नहीं थी। असली फायदा तेजी से अनुकूलन का था—मॉडल कोड तैयार कर सकता था, errors समझ सकता था, commands सुझा सकता था और लाइव वातावरण की प्रतिक्रिया के आधार पर अगला कदम बदल सकता था।

3. नेटवर्क खोज और डेटा चोरी के लिए पारंपरिक टूल इस्तेमाल हुए

क्रेडेंशियल हासिल करने के बाद ऑपरेटर ने CrackMapExec जैसे स्थापित सुरक्षा टूल का इस्तेमाल किया। इससे hosts की सूची बनाने, domain controllers और backup infrastructure खोजने, क्रेडेंशियल इकट्ठा करने और live SQL databases निकालने जैसी गतिविधियां की गईं।

इससे हमले में AI की वास्तविक भूमिका स्पष्ट होती है। AI ने हर टूल या तकनीक की जगह नहीं ली। उसने मानव निर्देशों को मौजूदा टूल, पीड़ित-विशेष scripts और commands से जोड़कर विकास और debugging में लगने वाला समय घटाया।

Claude की एक गलती से फ़ायरवॉल ऑफलाइन हो गया

कम निगरानी वाली AI automation के जोखिम का सबसे स्पष्ट उदाहरण configuration restore के दौरान सामने आया। Claude ने केवल बदली गई settings को वापस लाने के बजाय पूरे virtual domain, यानी VDOM, का configuration restore कर दिया। इस व्यापक rollback के कारण ऑस्ट्रेलिया की एक ऊर्जा कंपनी का फ़ायरवॉल ऑफलाइन हो गया।

रिपोर्ट के अनुसार यह outage जानबूझकर किया गया destructive action नहीं था। फिर भी यह दिखाता है कि live infrastructure तक पहुंच रखने वाला coding agent किसी सुधारात्मक निर्देश का अपेक्षा से कहीं बड़ा असर पैदा कर सकता है।

AI-आधारित रैनसमवेयर के लिए इसका क्या मतलब है?

अब तक अपराधियों द्वारा generative AI के इस्तेमाल की चर्चा अक्सर phishing सामग्री, अनुवाद या साधारण malware generation तक सीमित रहती थी। यह मामला एक व्यापक भूमिका की ओर इशारा करता है: exploitation, security-appliance configuration, credential access, Active Directory discovery, troubleshooting और active intrusion के दौरान data exfiltration में सहायता।

इससे हमले की समय-सीमा छोटी हो सकती है। ऑपरेटर किसी खास वातावरण के लिए customized script मांग सकता है, उसे सिस्टम पर आजमा सकता है, सामने आई error बता सकता है और उसी workflow में उसका संशोधित संस्करण ले सकता है। इस तरह मॉडल एक interactive technical partner बन जाता है, जबकि अभियान के लक्ष्य और बड़े फैसले इंसान के नियंत्रण में रहते हैं।

हालांकि उपलब्ध evidence यह नहीं दिखाता कि AI ने अपने दम पर पूरे अभियान की योजना बनाई या मानव निर्णय की जरूरत खत्म कर दी। यह जरूर दिखता है कि AI coding agent ने अपेक्षाकृत छोटी टीम को high-level निर्देशों से tailored, executable steps तक बहुत तेजी से पहुंचने में मदद की।

Mexico के सरकारी सिस्टम पर हुए breach से संबंध

यह घटना AI-सहायता वाली घुसपैठों की व्यापक तस्वीर का हिस्सा है। एक अलग अभियान में Gambit Security ने Claude Code और GPT-4.1 को Mexico के सरकारी सिस्टम के खिलाफ लंबे समय तक चले ऑपरेशन से जोड़ा। सार्वजनिक रिपोर्टों में 150 GB से अधिक डेटा चोरी होने की बात लगातार सामने आती है, लेकिन प्रभावित संगठनों की सटीक संख्या को लेकर मतभेद हैं—कुछ रिपोर्टें नौ सरकारी एजेंसियों, जबकि अन्य 10 सरकारी निकायों और एक वित्तीय संस्था का उल्लेख करती हैं।

इसलिए दोनों मामलों की तुलना किसी एक निश्चित victim count के बजाय ऑपरेशनल पैटर्न के आधार पर करना अधिक उचित है। दोनों में AI का इस्तेमाल कमजोरियां खोजने, custom tooling तैयार करने, घुसपैठ के हिस्सों को automate करने और चोरी किए गए डेटा को process या exfiltrate करने में किया गया बताया गया है। Mexico की रिपोर्ट भी यही संकेत देती है कि AI जटिल, कई चरणों वाली घुसपैठ को अधिक सुलभ और तेजी से दोहराने योग्य बना सकता है।

SEBI ने cyber-suraksha.ai टास्क फोर्स क्यों बनाई?

भारत के पूंजी बाजार नियामक Securities and Exchange Board of India (SEBI) ने advanced AI-driven vulnerability-identification tools से जुड़े जोखिमों के जवाब में cyber-suraksha.ai टास्क फोर्स बनाई। इनमें Claude Mythos जैसे टूल भी शामिल हैं, जिनके बारे में चेतावनी दी गई है कि वे मशीन की गति से कमजोरियां पहचान और उनका फायदा उठाने में मदद कर सकते हैं।

यह चिंता पूरे securities ecosystem से जुड़ी है—जिसमें brokers, stock exchanges, depositories, funds और अन्य regulated entities शामिल हैं। रिपोर्ट की गई सलाह में तुरंत patching, vulnerability assessment, मजबूत API और infrastructure controls, threat-intelligence sharing तथा लगातार security monitoring पर जोर दिया गया।

SEBI की पहल और रैनसमवेयर मामले के बीच सीधा संबंध नहीं है, लेकिन व्यावहारिक सबक एक जैसा है: संस्थानों को यह मानकर नहीं चलना चाहिए कि exposed weaknesses केवल इंसानी गति से खोजी और exploit की जाएंगी। Edge devices, VPN services, identity systems और APIs को लगातार patch और monitor करना होगा। साथ ही configuration changes पर कड़ा नियंत्रण और उन्हें सुरक्षित रूप से वापस लेने की व्यवस्था जरूरी है।

मुख्य सुरक्षा सबक

The Gentlemen से जुड़े इस कथित अभियान में AI एक content generator से आगे बढ़कर interactive intrusion copilot बनता दिखाई देता है। मॉडल ने compromise के कई चरणों में इरादे को commands और scripts में बदलने में मदद की। लेकिन फ़ायरवॉल को गलती से offline कर देने की घटना ने unsupervised automation की सीमाएं भी उजागर कर दीं।

Defenders के लिए प्राथमिकताएं स्पष्ट हैं: अनावश्यक internet exposure हटाएं, edge appliances को समय पर patch करें, reused और hard-coded credentials खत्म करें, VPN तथा LDAP configuration में अप्रत्याशित बदलावों पर alerts लगाएं, privileged commands और database exports की निगरानी करें और production में व्यापक restore से पहले human approval अनिवार्य बनाएं। AI हमलावरों का feedback loop छोटा कर सकता है; मजबूत access controls और तेज detection ही defenders की प्रतिक्रिया को उतना ही तेज बना सकते हैं।