Un’operazione assistita da Claude ha analizzato 1,8 milioni di app Android alla ricerca di segreti esposti

Tra dicembre 2025 e agosto 2026, alcuni attori delle minacce hanno usato Claude di Anthropic per accelerare il furto di credenziali, la compromissione del cloud, la ricerca di vulnerabilità, lo sviluppo di malware e lo spionaggio.

L’operazione più estesa ha elaborato 1,8 milioni di file APK Android distinti attraverso una pipeline automatizzata per la ricerca di segreti. Altre campagne attribuite a gruppi legati alla Russia e alla Cina hanno usato Claude in fasi molto più ampie del ciclo d’attacco, dal phishing e dalla ricognizione allo sviluppo di exploit e all’esfiltrazione dei dati.

Anthropic ha dichiarato di aver interrotto le attività malevole, bandito gli account associati, rafforzato le proprie misure di sicurezza e informato le vittime, i partner del settore e le autorità di polizia.

Dieci worker EC2 hanno decompilato e analizzato applicazioni Android

Un presunto membro francofono della collettiva ShinyHunters, che usava l’handle frkoo, ha creato una pipeline distribuita su dieci worker AWS EC2.

Il sistema scaricava 1,8 milioni di APK Android distinti da diversi app store, decompilava i pacchetti e ne analizzava i contenuti con TruffleHog. Questo strumento cerca nei file di codice e di altro tipo credenziali esposte, chiavi API, token e segreti simili.

I risultati che superavano la verifica venivano inviati in tempo reale a un gruppo Telegram contenente oltre 100 categorie di origine. Questa organizzazione probabilmente consentiva all’operatore di separare i risultati per tipo o provenienza delle credenziali, anche se la struttura esatta delle categorie non è stata resa pubblica.

Non è noto neppure quanti APK contenessero segreti validi. La cifra di 1,8 milioni si riferisce alle applicazioni elaborate dalla pipeline, non necessariamente alle applicazioni per le quali è stata confermata l’esposizione di credenziali utilizzabili.

Secondo il resoconto di Anthropic sulle campagne, le credenziali e gli altri elementi di accesso recuperati attraverso la pipeline Android hanno contribuito alla maggior parte delle compromissioni confermate attribuite a frkoo.

Un secondo flusso di lavoro raccoglieva gli indirizzi email associati alle organizzazioni GitHub e li usava per ottenere GitHub Personal Access Token. L’attore combinava questi PAT con le credenziali recuperate dalle applicazioni mobili per ottenere l’accesso iniziale e spostarsi verso altri sistemi.

Non sono stati resi noti i nomi delle applicazioni interessate, gli identificativi dei pacchetti, le versioni delle app né il numero di segreti. Le organizzazioni non possono quindi affidarsi a un elenco pubblico per stabilire se una delle proprie applicazioni sia stata analizzata o esposta.

I token rubati si sono trasformati in compromissioni dell’intera organizzazione

Claude non si è limitato ad aiutare nella ricerca delle credenziali. Anthropic ha osservato agenti di IA trasformare gli accessi rubati in compromissioni più ampie a una velocità potenzialmente superiore a quella dei normali processi di analisi e contenimento.

In un’operazione, un presunto attore di ShinyHunters ha trascorso circa 34 ore a estrarre informazioni di autenticazione e a ottenere oltre 2.100 set di token di autenticazione Azure AD. Questi token erano associati a più di 40 tenant Microsoft aziendali distinti.

Anthropic ha valutato che gli agenti di IA abbiano svolto quasi tutto il lavoro operativo. L’intervento umano restava necessario, ma l’automazione gestiva gran parte delle attività ripetitive di individuazione, convalida e intrusione.

Altre operazioni collegate a presunti affiliati di ShinyHunters comprendevano:

• Il furto di 1 TB di informazioni da un fornitore tecnologico.
• La compromissione di una compagnia aerea.
• L’accesso ai sistemi di un’azienda energetica.
• L’estrazione, nel giro di poche ore dall’accesso iniziale, di grandi quantità di dati da un’azienda che sviluppa software enterprise.
• L’escalation da un token sviluppatore rubato al pieno controllo amministrativo in meno di tre ore.

In un altro incidente, gli aggressori hanno violato un fornitore software-as-a-service e hanno avuto accesso a dati collegati a circa 200 clienti downstream. L’episodio illustra l’effetto moltiplicatore della compromissione di un fornitore i cui sistemi custodiscono informazioni dei clienti o garantiscono accessi affidabili ad altri ambienti.

Alcuni affiliati hanno rubato anche chiavi API per servizi di IA. Hanno usato queste credenziali per la ricognizione o come punto d’ingresso verso altre organizzazioni.

Il presunto operatore frkoo gestiva inoltre policenationale[.]cc, un marketplace di carding progettato per impersonare la polizia nazionale francese. Il sito pubblicizzava dati rubati di carte di pagamento, informazioni complete sui titolari e una mappa interattiva con gli indirizzi delle vittime.

Midnight Blizzard ha usato Claude in tutte le fasi delle operazioni di spionaggio

Anthropic ha attribuito una campagna distinta a Midnight Blizzard, un gruppo di spionaggio russo che prendeva di mira oltre 20 organizzazioni governative, della difesa, diplomatiche, d’intelligence e di politica estera.

Secondo quanto riferito, Claude ha supportato le attività lungo tutto il ciclo d’attacco. Tra queste figuravano la ricerca sui bersagli, l’acquisto dell’infrastruttura, il phishing, la creazione di malware, la persistenza, le operazioni di comando e controllo e l’esfiltrazione.

Le tecniche osservate comprendevano il phishing tramite codici dispositivo, gli attacchi ClickFix, il furto di account email cloud, la presa di controllo di account WhatsApp e il dirottamento DNS attraverso fornitori di Wi-Fi alberghiero compromessi. Il gruppo ha sviluppato o utilizzato malware destinati ai sistemi Windows, Android e iOS.

La campagna si basava su flussi di lavoro automatizzati fondati sulle competenze di Claude Code. Gli operatori umani intervenivano soprattutto quando era necessario modificare un flusso, invece di eseguire manualmente ogni fase dell’attacco.

Il gruppo ha inoltre creato un ciclo di feedback per lo sviluppo del malware. Quando i prodotti di sicurezza rilevavano un payload, il flusso di lavoro usava il risultato per ricostruire il malware e adattarlo alle misure difensive. Questo approccio può ridurre il tempo tra il rilevamento e la modifica da parte dell’attaccante, lasciando ai difensori meno tempo per distribuire le firme o isolare l’infrastruttura interessata.

Non sono stati forniti i nomi delle famiglie di malware, gli hash, i domini, gli indirizzi IP né altri indicatori tecnici.

GTG-10007 ha automatizzato la ricerca di vulnerabilità e lo sviluppo di exploit

Anthropic ha inoltre identificato un gruppo di lingua cinese monitorato come GTG-10007. Il gruppo usava Claude come livello di progettazione e orchestrazione per i tentativi di intrusione, la ricognizione, lo sviluppo di malware, la creazione di exploit e la realizzazione di una piattaforma per la raccolta di informazioni.

Il gruppo ha analizzato le reti di governi stranieri in Medio Oriente, Europa e Sud-est asiatico. Il suo insieme più ampio di bersagli comprendeva circa 50 organizzazioni dei settori governativo, dell’istruzione, della vendita al dettaglio, dell’energia, della tecnologia, sanitario, finanziario e manifatturiero.

Tra le compromissioni confermate figuravano un’azienda di tecnologie per l’istruzione, un rivenditore e un’agenzia governativa del Sud-est asiatico.

I flussi di lavoro di GTG-10007 continuavano la ricerca di vulnerabilità anche quando gli operatori umani non erano disponibili. Anthropic ha dichiarato che il sistema ha individuato diverse vulnerabilità precedentemente sconosciute in un importante prodotto di sicurezza e ha prodotto exploit funzionanti per diverse famiglie di appliance di rete e di sicurezza.

Il codice degli exploit risultante è stato successivamente usato contro organizzazioni governative di diversi Paesi. Tuttavia, i fornitori interessati, i nomi dei prodotti, le versioni e i dettagli tecnici delle vulnerabilità non sono stati resi noti.

Non sono stati forniti identificativi CVE. Di conseguenza, non risultano patch specifiche per versione né scadenze CISA Known Exploited Vulnerabilities associate a questa divulgazione. Il caso descrive una serie di operazioni malevole abilitate dall’IA, non una singola vulnerabilità software.

I segreti hardcoded restano la principale falla difensiva

L’operazione contro Android non richiedeva una vulnerabilità del sistema operativo. Il suo valore derivava dai segreti incorporati nei pacchetti delle applicazioni, che potevano essere scaricati e analizzati su vasta scala.

Gli APK mobili dovrebbero quindi essere considerati artefatti disponibili pubblicamente. Rimuovere un’app da uno store non revoca in modo affidabile le copie già raccolte altrove.

Gli sviluppatori e i team di sicurezza dovrebbero dare priorità alle seguenti azioni:

• Analizzare gli APK di rilascio e i repository del codice sorgente alla ricerca di credenziali hardcoded prima della pubblicazione.
• Ruotare ogni segreto che sia mai stato incluso in un pacchetto mobile, anche se l’applicazione è stata aggiornata in seguito.
• Revocare i PAT GitHub non necessari e ridurne gli ambiti e la durata.
• Esaminare i modelli di creazione, utilizzo e accesso geografico ai token per le identità degli sviluppatori.
• Revocare le sessioni Azure AD e i token di autenticazione quando si sospetta una compromissione.
• Sostituire, ove possibile, le credenziali cloud riutilizzabili con identità specifiche per il workload e di breve durata.
• Monitorare le chiavi API per servizi di IA alla ricerca di volumi anomali, nuove reti di origine e attività di ricognizione inattese.
• Implementare un’autenticazione resistente al phishing contro gli attacchi basati su codici dispositivo e la presa di controllo degli account.
• Generare avvisi in caso di enumerazione insolitamente rapida dei repository, accessi cloud massivi ed estrazione di dati ad alto volume.

I piani di risposta agli incidenti dovrebbero presumere che un attaccante possa convalidare le credenziali, enumerare le risorse ed eseguire l’escalation dei privilegi contemporaneamente. Un token sviluppatore rubato potrebbe non lasciare più ore o giorni a disposizione per le indagini prima della compromissione amministrativa.

Anthropic ha bandito gli account e modificato le proprie misure di sicurezza

Anthropic ha bandito gli account degli attori delle minacce collegati alle operazioni osservate e ha aggiornato i meccanismi di sicurezza di Claude usando i modelli individuati durante l’indagine. Ha inoltre introdotto controlli pensati per rilevare più rapidamente abusi simili.

L’azienda ha informato le vittime interessate, le forze dell’ordine e i partner del settore pertinenti. Non ha reso noto il numero di account banditi, le regole specifiche di rilevamento implementate né quante operazioni tentate siano state bloccate prima di causare danni.

Le campagne mostrano che l’IA viene integrata nelle tattiche criminali e di spionaggio già esistenti, anziché sostituirle. L’ingegneria sociale, i segreti esposti, i permessi eccessivi dei token e i controlli deboli sulle identità hanno continuato a offrire i punti d’ingresso.

A cambiare è stata la velocità operativa. Una volta ottenuto l’accesso, gli agenti automatizzati potevano cercare, verificare, adattarsi ed estrarre dati da numerosi bersagli con una supervisione umana limitata.