Hacker russi legati allo Stato hanno ricostruito il malware dopo il rilevamento da parte dei sistemi di sicurezza

Anthropic afferma di aver interrotto una campagna di cyber-spionaggio in cui hacker russi sponsorizzati dallo Stato hanno utilizzato Claude in quasi ogni fase dell’operazione, dalla ricognizione al phishing, fino alla distribuzione del malware e al monitoraggio dei canali command-and-control.

Il gruppo di minacce, monitorato con il nome GTG-20006, ha preso di mira più di venti organizzazioni attive nei settori governativo, della difesa, diplomatico, dell’intelligence, della ricerca e industriale. Anthropic ritiene che l’attività sia compatibile con le segnalazioni relative a Midnight Blizzard, il gruppo russo noto anche come APT29 e Cozy Bear. L’attribuzione indica una sovrapposizione tra le attività valutate, ma non afferma in modo definitivo che le denominazioni siano intercambiabili.

L’elemento distintivo della campagna non era semplicemente l’uso dell’AI per la programmazione del malware. GTG-20006 ha creato flussi di lavoro automatizzati in grado di rilevare quando un software di sicurezza identificava un artefatto dannoso, modificarlo, ricostruirlo e distribuire la nuova versione attraverso infrastrutture usa e getta.

Questo ciclo di feedback poteva ridurre drasticamente l’efficacia difensiva delle firme statiche.

Claude operava lungo l’intero ciclo dell’intrusione

GTG è l’acronimo di Generative Threat Group, la denominazione usata da Anthropic per indicare i gruppi che fanno un uso operativo dell’AI generativa. In questo caso, secondo le informazioni disponibili, Claude era integrato in un ampio sistema di agenti, invece di essere utilizzato occasionalmente come assistente alla programmazione.

Gli agenti supportavano lo sviluppo del malware, la ricognizione degli obiettivi, la distribuzione dell’infrastruttura, il phishing, la persistenza, il monitoraggio delle compromissioni e la supervisione dei canali C2. Registravano inoltre domini, preparavano l’infrastruttura di phishing, distribuivano i messaggi e controllavano i canali command-and-control alla ricerca di segnali che indicassero la compromissione di una vittima.

Altri agenti monitoravano il malware già in esecuzione negli ambienti on-premises. Valutavano se gli impianti riuscissero a rimanere furtivi e persistenti e se i controlli di sicurezza avessero iniziato a rilevarli.

Quando si verificava un rilevamento, il flusso di lavoro poteva avviare un nuovo ciclo di sviluppo. Il malware veniva modificato e ricostruito per eludere il rilevamento esistente, quindi caricato su un server di hosting usa e getta per una nuova distribuzione.

Questo è l’elemento tecnico più rilevante della campagna. Il rilevamento tradizionale basato sulle firme può costringere un attaccante a fermarsi, analizzare il motivo per cui un payload è stato individuato, modificare manualmente il codice, testarlo e predisporre una nuova infrastruttura di distribuzione. L’automazione comprime questi passaggi e consente all’attaccante di ripeterli con maggiore frequenza.

Il sistema non rende inutile il rilevamento. Rende però meno duraturi i rilevamenti basati principalmente su proprietà stabili dei file.

Anthropic non ha pubblicato un punteggio CVSS né una valutazione formale della gravità. Queste classificazioni sarebbero inoltre poco adatte, perché la divulgazione riguarda un’operazione avversaria e non una singola vulnerabilità software. L’attività dovrebbe comunque essere considerata ad alto impatto, poiché combinava malware adattivo, sorveglianza, acquisizione di account, furto di credenziali ed esfiltrazione su larga scala di dati identificativi.

Il toolkit comprendeva Windows, dispositivi mobili e infrastrutture di phishing

Il toolkit più ampio di GTG-20006 comprendeva due impianti per Windows, un kit per lo sfruttamento dei dispositivi mobili, un infostealer per le password dei browser e una piattaforma di phishing in grado di impersonare obiettivi di alto profilo, come le organizzazioni governative.

Il gruppo gestiva inoltre una console amministrativa per controllare gli account compromessi. Falsi avvisi di aggiornamento software venivano utilizzati per distribuire infostealer di credenziali Windows, mentre alcune utility di supporto consentivano l’accesso remoto e interferivano con gli aggiornamenti di sicurezza delle vittime.

Quando un artefatto ricostruito sembrava in grado di aggirare il rilevamento, gli attaccanti lo caricavano su un’infrastruttura di hosting temporanea. Le vittime venivano indirizzate verso tale infrastruttura tramite il phishing tradizionale, la social engineering in stile ClickFix e la manipolazione dei record DNS.

Gli attacchi ClickFix convincono in genere gli utenti a eseguire personalmente un’azione apparentemente correttiva. In questa operazione, l’esca faceva parte di una catena di distribuzione che selezionava il malware in base al sistema operativo della vittima.

I payload Windows resi noti erano:

• PowerChrome
• WUEngine
• Shadow C2
• MiniPlasma
• CloudSyncSvc

I dispositivi Android ricevevano GiftDrop, descritto come una versione rinominata del Trojan Android di sorveglianza e accesso remoto GiftsExpress. Il payload per iOS è stato identificato come DarkSword.

Non sono state divulgate le versioni esatte del malware, gli hash, i domini, gli indirizzi IP e altri indicatori di compromissione. Inoltre, non risultano patch o rilasci di remediation da parte dei vendor collegati specificamente alla campagna.

CaptiveCrunch ha trasformato il Wi-Fi degli hotel in un sistema di selezione degli obiettivi

L’attività si sovrapponeva a CaptiveCrunch, una campagna documentata da ReliaQuest, Microsoft, Google e Lumen Black Lotus Labs nel luglio e agosto 2026.

Anthropic afferma che GTG-20006 ha compromesso almeno tre fornitori di servizi alberghieri responsabili delle reti Wi-Fi per gli ospiti. Dopo aver ottenuto le credenziali di amministratore, gli attaccanti hanno modificato i record DNS in modo da indirizzare il traffico verso servizi sotto il loro controllo.

Gli ospiti che si connettevano attraverso le reti interessate esponevano ai server degli attaccanti informazioni sul traffico, identificativi dei dispositivi e indirizzi IP. Il reindirizzamento dannoso supportava quindi la distribuzione di payload specifici per il sistema operativo attraverso esche in stile ClickFix.

Le intrusioni negli hotel hanno inoltre prodotto informazioni utili per le attività di targeting successive. I dati sottratti ai sistemi di gestione alberghiera e ai dispositivi degli ospiti hanno aiutato il gruppo a identificare persone legate all’Ucraina, tra cui funzionari governativi e produttori di droni.

L’infrastruttura alberghiera è diventata così più di un semplice punto d’infezione. Si è trasformata in un meccanismo di raccolta e selezione attraverso il quale gli attaccanti potevano individuare i viaggiatori di interesse, profilare i loro dispositivi e scegliere le azioni successive.

GTG-20006 ha inoltre tentato di assumere il controllo degli account WhatsApp delle vittime. Browser headless collegavano gli account presi di mira come dispositivi associati, esportavano in massa le conversazioni in lingua russa e ucraina e disattivavano le conferme di lettura per ridurre la probabilità che le vittime si accorgessero dell’attività.

Sono stati compromessi flussi video delle telecamere, archivi nazionali d’identità ed e-mail cloud

La campagna si è estesa anche alla sorveglianza fisica. GTG-20006 ha sfruttato debolezze nei meccanismi di autorizzazione delle interfacce applicative utilizzate dalle piattaforme di streaming video delle telecamere, riuscendo a enumerare gli utenti e raccogliere token di accesso.

Questi token consentivano di accedere ai flussi video live delle telecamere delle vittime. Non sono state identificate le versioni delle piattaforme interessate né le vulnerabilità di autorizzazione sottostanti; di conseguenza, al momento non è disponibile alcuna remediation software specifica.

In un’altra intrusione, il gruppo ha utilizzato le credenziali di un dispositivo VPN appartenente a un’autorità governativa nordafricana per la tecnologia. Gli attaccanti hanno assunto il controllo del server centrale degli account dell’organizzazione ed estratto l’intero database delle credenziali.

Il materiale sottratto comprendeva più di 300.000 documenti d’identità nazionali. Sono state inoltre esfiltrate informazioni del registro delle imprese relative a oltre 500.000 aziende operanti nel Paese.

Un altro ramo dell’operazione si è concentrato sull’e-mail cloud. Gli attaccanti hanno creato un framework di phishing basato sui device code, denominato Embassy Kit, che supportava il furto di token Microsoft 365 ai danni di personale diplomatico e governativo.

Il phishing basato sui device code può consentire a un attaccante di ottenere l’accesso autenticato senza che la vittima debba comunicare direttamente una password a una pagina di login falsa. L’obiettivo viene invece convinto ad autorizzare una sessione controllata dall’attaccante attraverso un flusso di autenticazione legittimo.

La campagna risultante ha consentito di accedere ed esfiltrare record di posta elettronica appartenenti ad almeno otto organizzazioni. Tra le vittime figuravano la procura nazionale, un istituto di formazione militare e un’organizzazione intergovernativa regionale.

I difensori hanno bisogno di segnali che resistano alla ricompilazione del malware

Le organizzazioni non possono contrastare questa operazione con una sola patch. Non sono stati identificati aggiornamenti di sicurezza specifici, set pubblico di indicatori o pacchetto di mitigazione di un vendor nella documentazione sulla disarticolazione di GTG-20006 da parte di Anthropic.

I difensori dovrebbero invece dare priorità ai comportamenti e alle modifiche dell’infrastruttura che restano osservabili anche quando i file del malware vengono ricostruiti:

• Correlare il comportamento degli endpoint invece di affidarsi soltanto agli hash. Monitorare l’accesso insolito agli archivi delle credenziali, la creazione di meccanismi di persistenza, le interferenze con gli aggiornamenti di sicurezza e le connessioni C2 in uscita inattese.
• Verificare l’amministrazione DNS. I fornitori di servizi alberghieri e gli altri operatori di reti gestite dovrebbero analizzare le modifiche non autorizzate ai record, i name server sconosciuti e le destinazioni di breve durata utilizzate nei captive portal.
• Proteggere le credenziali privilegiate. Gli account amministrativi dei sistemi Wi-Fi degli hotel, dei dispositivi VPN, dei server di identità e dei tenant cloud richiedono autenticazione resistente al phishing e procedure di recupero strettamente controllate.
• Monitorare l’autenticazione tramite device code di Microsoft 365. Analizzare le concessioni inattese di device code, gli accessi da aree geografiche insolite, le nuove applicazioni e l’uso dei token non coerente con i dispositivi normalmente utilizzati dall’utente.
• Verificare i dispositivi associati a WhatsApp. Sessioni collegate sconosciute, attività inspiegabili sull’account e segnali di accesso automatizzato ai messaggi dovrebbero attivare la revoca dell’account e la verifica delle credenziali.
• Cercare infrastrutture usa e getta. Domini registrati di recente, endpoint di hosting che cambiano rapidamente e tentativi ripetuti di distribuzione con binari leggermente diversi possono rivelare il ciclo di ricostruzione e ridistribuzione.
• Esaminare i meccanismi di autorizzazione delle piattaforme di sorveglianza. I servizi per le telecamere dovrebbero verificare che i token di accesso abbiano un ambito adeguato e non possano essere ottenuti attraverso l’enumerazione degli utenti o controlli di autorizzazione non corretti.

La tempistica completa della campagna GTG-20006 non è stata resa nota. La sovrapposizione con CaptiveCrunch colloca una parte dell’attività collegata nel luglio e nell’agosto 2026, ma non è noto quando sia iniziata o terminata ogni singola intrusione.

Il cambiamento principale riguarda la velocità operativa. Un attaccante in grado di reagire automaticamente ai rilevamenti di sicurezza può rigenerare gli strumenti più rapidamente di quanto i team riescano a creare e distribuire firme statiche. I difensori devono quindi basare i rilevamenti sull’abuso delle identità, sul comportamento in fase di esecuzione, sui modelli dell’infrastruttura e sugli accessi anomali, non soltanto sul binario che è stato distribuito per primo.