Elastic нашла ChatGPT и Claude Code в реальных взломах

Атакующие удерживали интерактивный доступ к взломанным машинам через подписанный легитимный софт. Среди него были агенты удалённого управления (RMM), ИИ-ассистенты для кода, в том числе ChatGPT desktop и Claude Code, и собственные клиенты Microsoft. Об этом говорится в квартальном отчёте Elastic Security, опубликованном 5 ноября. Сигнатуры злоупотребление подписанными программами не ловят, поэтому защита, по выводу Elastic, должна следить за поведением на уровне системы: вмешательством в память или проксирующими туннелями, какое бы приложение их ни запустило.

Отчёт собран по подтверждённым взломам у клиентов и собственным исследованиям Elastic Security Threat Command. Как сообщает iTWire, он охватывает период с 4 апреля по 8 сентября 2026 года. Это первый выпуск квартального threats, etc, который заменил годовой Global Threat Report. Механизм авторы описывают так: агенты для кода созданы, чтобы выполнять системные команды, а подпись вендора делает их «явно доверенными родительскими процессами». Отсюда дилемма защитника в формулировке Elastic: либо поднимать тревогу на каждое действие ИИ-инструмента и утонуть в шуме, либо доверять ИИ- и ИТ-инструментам по умолчанию и рисковать пропустить настоящую атаку.

Elastic советует опираться на поведенческую аналитику пользователей и сущностей (UEBA), которая задаёт базовую линию нормальной активности, и сопоставлять события из разных частей инфраструктуры. Одна цепочка атаки проходит через контейнеры, управляющий слой облака, легитимных пользователей и софт, поэтому отличить безобидное поведение от вредоносного труднее, чем раньше. Такой мониторинг даёт намного больше алертов, и разбор, по словам Elastic, придётся автоматизировать: сжимающееся окно реакции одним наймом аналитиков не закрыть. Средство от шума компания, разумеется, предлагает своё. В Elastic Workflows запросы ES|QL, детерминированные правила и вероятностные рассуждения ИИ отсеивают безобидную активность прямо в конвейере.

Шестнадцать секунд и восемь минут

В одном подтверждённом случае в здравоохранении от приманки paste-and-run, когда жертву уговаривают вставить и запустить команду, до доставки MSI-установщика с подгрузкой подменённой DLL прошло около 16 секунд. Атака под управлением ИИ-агента уложила около 17 600 восстановленных действий в четыре дня. В отдельных случаях от заражения инфостилером, программой для кражи паролей, до входа злоумышленника с теми же учётными данными в среднем проходило восемь минут. MFA атакующие обходят фишинговыми наборами класса AiTM и серыми зонами устаревшей аутентификации, а в облачные и SaaS-тенанты заходят через доверенные приложения.

Остальные цифры отчёта приводит iTWire. По его данным, 17 600 действий восстановлены по взлому Hugging Face. С 15 июня по 12 августа Elastic подтвердила 23 случая, когда атакующие ставили легитимный RMM-софт, и чаще всего это был ScreenConnect. Из 27 подтверждённых случаев с инфостилерами 12 (44%) начинались с приманки в стиле ClickFix. Около двух третей вредоносных доменов на момент использования были моложе 90 дней. В отчёт попал и червь CHAINDROP, который встроил бэкдор в более чем 400 npm-пакетов с 1,3 миллиарда скачиваний в месяц. Читать эти счётчики как долю рынка или глобальную распространённость Elastic сама не советует. Это подтверждённые находки в её собственной телеметрии, и несколько из них могут приходиться на один хост или тенант.

Не только в телеметрии Elastic

Агенты для кода в руках атакующих видит не одна Elastic. CrowdStrike описывала взлом финансовых организаций Южной Кореи с конца сентября до начала октября, после которого истории сессий Claude Code нашлись в открытых папках на серверах атакующего. Майк Николс из Elastic, слова которого приводит iTWire, формулирует проблему так: «Агент, у которого есть учётные данные и выход в интернет, - новая поверхность атаки, неважно, настроен он неправильно или им злоупотребляют. Когда за ним стоит атакующий, его действия выглядят ровно так же, как действия сотрудника, который его установил».