Threat Intelligence Report: August 2025
Anthropic, 2025
Блог, отчет

Вышел новый отчет Anthropic по использованию их технологий в нежелательных целях, в частности для мошенничества и проведения киберопераций. Основные выводы исследователей:

1. Агентные системы могут активно применяться в наступательных операциях.
2. LLM снижают барьер для проведения достаточно сложных киберопераций.
3. LLM используется на всех стадиях кибератак, от разведки до коммуникации с жертвой.
4. LLM используется на всех стадиях мошеннических операций, от профилирования до создания несуществующих персон для контактов.

Этот отчет немного интереснее, чем предыдущие, потому что в нем подробно рассматривается два достаточно интересных кейса.

В первом случае исследователи рассказывают про некоторую финансово-мотивированную группировку, которая использовала Claude Code для проведения полного спектра активностей в рамках атак, затронувших минимум 17 организаций, включая государственные, медицинские и религиозные и приведшие к утечкам медицинских данных и требованиям выкупа более 500 тысяч долларов. Злоумышленники конфигурировали Claude Code через CLAUDE.md, представляясь специалистами по пентесту с официальной санкцией. Что делал Claude Code:

1. Сканировал хосты в интернете для поиска уязвимых точек входа (например, VPN и другой инфраструктуры).
2. Помогал в непосредственных атаках, сканируя сети, изучая AD и находя уязвимости.
3. Участвовал в избегании детектирования (evasion), помогая с masquerading, добавлением шифрования и анти-отладки, помогая создавать обфусцированные версии фреймворка Chisel.
4. Анализировал краденные данные, чтобы находить в них самые ценные.
5. Помогал писать требования о выкупе с учетом данных и законодательства.

В целом кейс демонстрирует очень серьезный рост в возможностях, особенно в том, что касается разведки и поиска начальных векторов атаки (которые могут реализовываться практически автоматически), и значительную помощь (пусть и без автономности) в процессах уклонения от детектирования закрепления и пост-эксплуатации.

Второй кейс очень забавный. Существует много отчетов, где северокорейских программистов обвиняют в том, что они под видом людей из стран запада устраиваются на работу в западные компании, причем зачастую не ради шпионажа, а просто чтобы зарабатывать правительству деньги. Для этого в Северной Корее есть университеты, где готовят разработчиков, но с появлением LLM это стало не обязательно: можно легко поддерживать иллюзию компетентности, успешно проходить собесы и активно работать в компаниях из Fortune 500, не умея ничего. В основном, что примечательно, пользователи из этого кластера активности устраивались фронтендерами. Для понимания: они спрашивали у LLM, «что такое аутлук» (счастливый человек), «как проверить, что установлен Go», «что значит первый пикник сезона» и «что такое ^_^» (смотрите скрины, там смешно). Заставляет задуматься, почему я тоже не работаю еще на паре работ, поддерживая «иллюзию компетентности» 🤑