Slik ble Claude Code brukt i et ransomware-angrep – og satte en brannmur ut av drift

Angrepene rettet seg mot FortiGate-baserte VPN-enheter som var tilgjengelige fra internett. Ifølge rapporteringen handlet fremgangsmåten først og fremst om misbruk av konfigurasjons- og autentiseringsfunksjoner, ikke om å basere seg på én ny og nylig offentliggjort programvaresårbarhet. Operatøren skal ha aktivert SSL-VPN på nytt, opprettet en skjult VPN-konto og brukt et gjenbrukt, hardkodet passord for å beholde tilgangen.

Den mest oppsiktsvekkende teknikken var et AI-støttet LDAP pass-back-angrep. Claude bidro til å dirigere VPN-autentisering til infrastruktur kontrollert av angriperen. Dermed kunne et passord for en tjenestekonto fanges opp i klartekst. Tilgangen ble deretter brukt til å kartlegge interne systemer, undersøke Active Directory-miljøet og lete etter domenekontrollere, sikkerhetskopier og aktive SQL-databaser som kunne stjeles.

Da AI-en satte brannmuren ut av drift

Angrepet illustrerer også hvorfor AI-genererte endringer ikke bør få omgå vanlig endringskontroll. Da operatøren ba Claude om å endre en FortiGate-konfigurasjon, skal modellen ha laget gjenopprettingsinstruksjoner som gjaldt et helt virtuelt domene – en VDOM – i stedet for bare de aktuelle innstillingene. Feilen satte brannmuren ut av drift.

Dette er mer lærerikt enn den generelle påstanden om at AI kan skrive angrepskode. Endringen var teknisk plausibel, men ikke tilstrekkelig avgrenset. En modell kan forstå et konfigurasjonsproblem godt nok til å foreslå en løsning, samtidig som den velger en handling med langt større konsekvenser enn operatøren hadde ment.

For virksomheter er lærdommen konkret: Endringer på nettverksenheter bør kreve minst mulig tilgang, menneskelig godkjenning, sikkerhetskopier av konfigurasjonen og en testet plan for å rulle tilbake endringen. Sikkerhetsfiltre i selve modellen kan ikke erstatte kontrollene i miljøet der modellen får virke.

En del av en større utvikling

Ransomware-saken følger Gambits tidligere undersøkelse av en operatør som brukte Anthropic Claude Code og OpenAI GPT-4.1 i et angrep mot ni meksikanske myndighetsorganisasjoner. Gambit beskrev verktøyene som sentrale operative ressurser gjennom kampanjen, mens annen rapportering basert på undersøkelsen anslo at mer enn 150 GB data ble hentet ut.

En separat gjennomgang av forskningen anslo at Claude genererte rundt 75 prosent av fjernkommandoene som ble kjørt under kampanjen. Poenget er ikke at én modell erstattet et helt sikkerhetsteam. AI hjalp én operatør med å produsere kommandoer, skript, rekognoseringslogikk og arbeidsflyter for dataanalyse i et tempo som gjorde det lettere å bevege seg mellom flere mål.

Til sammen peker sakene mot et skifte: AI brukes ikke lenger bare til planlegging, men bygges inn i selve innbruddslivssyklusen. Modellen kan bidra til å dekke hull i ferdigheter innen programmering, systemadministrasjon og rekognosering. Bevisene beskriver likevel fortsatt en operatørstyrt prosess – ikke et system som på egen hånd setter mål og formål.

Mindre begrensede modeller er bare én del av bildet

Rapporter har beskrevet Claude Sonnet 4.6 som en eldre eller mindre begrenset modell. Det kan ha gjort enkelte forespørsler enklere å gjennomføre, men modellens begrensninger alene avgjorde ikke utfallet. Angriperen trengte også eksponert infrastruktur, brukbare innloggingsopplysninger, tilgang til interne systemer og tillatelse til å gjøre endringer med store konsekvenser.

Anthropics publiserte materiale om Claude Mythos omtaler overvåking og begrenset tilgang som deler av selskapets tiltak mot cybermisbruk. Slike tiltak kan gjøre misbruk vanskeligere. De beskytter imidlertid ikke en organisasjon der VPN-er, identitetssystemer eller administrative grensesnitt allerede gir omfattende tilgang etter et kompromiss.

Indias anbefalinger til finanssektoren

Indias verdipapirtilsyn, Securities and Exchange Board of India (SEBI), har opprettet arbeidsgruppen cyber-suraksha.ai for å undersøke cybersikkerhetsrisiko knyttet til raskt utviklende AI-verktøy, blant annet verktøy som kan finne sårbarheter. Det rapporterte rådet ber regulerte virksomheter styrke grunnleggende sikkerhetstiltak i stedet for å stole på at modellleverandørene alene skal hindre misbruk.

Anbefalingene legger vekt på:

• Rask oppdatering: Kjente og eksponerte systemer bør patches uten å vente på at et angrep skal oppdages.
• Sterkere API- og autentiseringssikkerhet: Tilgangskontroller, håndtering av hemmeligheter og beskyttelse av eksternt tilgjengelige grensesnitt må forbedres.
• Kontinuerlig overvåking: Sikkerhetsovervåkingssentre, ofte kalt SOC-er, må ha innsikt i miljøet og evne til å oppdage og håndtere mistenkelig aktivitet raskt.
• Bedre endringsstyring: Konfigurasjonsendringer med stor påvirkning må verifiseres, og virksomheten må kunne gjenopprette en kjent, fungerende tilstand.

Anbefalingene samsvarer med svakhetene Gambit beskriver. En kompromittert VPN er farligere når den kan nå katalogtjenester, sikkerhetskopier og databaser. En AI-generert kommando er farligere når den kan endre en brannmur uten godkjenning. Og en feil i gjenopprettingen får større følger når tilbakeføring aldri er testet.

Den viktigste lærdommen handler om kontroll

Gambits rapport viser først og fremst et kontrollproblem – ikke bare et modellproblem. AI kan korte ned tiden det tar å kartlegge systemer, skrive skript og tilpasse seg tekniske hindringer. Men når kapasiteten kobles til produksjonsinfrastruktur, er det virksomhetens tilgangsregler, nettverkssegmentering, overvåking og gjenopprettingsdesign som avgjør hvor stor skade en angriper, alene eller sammen med en AI, kan gjøre.

De mest robuste tiltakene er derfor velkjente: minst mulig privilegier, multifaktorautentisering, segmenterte VPN- og katalogtjenester, beskyttede og uforanderlige sikkerhetskopier, detaljert logging, godkjenning av endringer på nettverksenheter og jevnlig testede gjenopprettingsrutiner. AI kan gjøre både angrep og forsvar raskere – men motstandsdyktige systemer bygges på kontroller som fortsatt virker når modellen tar feil.