🔍 Contexte

Publié le 2 novembre 2026 sur Securelist par l’équipe Kaspersky Cyber Threat Intelligence, cet article constitue l’une des premières descriptions publiques d’une compromission impliquant un LLM (Large Language Model) utilisé activement dans une chaîne d’attaque réelle.

🎯 Campagne et victimes

La campagne cible des organisations du secteur éducatif dans plusieurs pays d’Afrique et d’Amérique latine. L’accès initial a été obtenu via un serveur SQL Server compromis (version 16.0.1000), à partir duquel l’opérateur humain a effectué une reconnaissance manuelle avant de déployer le framework CyberStrikeAI.

🤖 CyberStrikeAI : architecture et fonctionnement

CyberStrikeAI est un framework open-source modulaire écrit en Go, combinant :

  • Un orchestrateur LLM côté serveur C2 qui planifie les actions, sélectionne les outils et génère les commandes via des outils MCP
  • Un implant (beacon) sans logique IA qui interroge le serveur via HTTP/S, TCP ou WebSocket et exécute les commandes shell

L’opérateur humain définit les objectifs généraux, le modèle détermine les étapes techniques, et l’implant exécute les décisions. Un mécanisme human-in-the-loop (HITL) permet à l’opérateur de valider ou corriger les commandes avant exécution.

⏱️ Timeline de l’attaque

  • Phase 1 (manuelle) : accès via SQL Server compromis, collecte d’informations, reconnaissance réseau (~1 jour), puis pause de 2 semaines
  • Phase 2 (automatisée via CyberStrikeAI) :
    • Persistance + reconnaissance locale : 2 minutes
    • Reconnaissance de domaine : 5 heures
    • Mouvement latéral, dump de credentials, export de bases de données : moins d'1 heure

🛠️ Techniques observées

  • Exécution : PowerShell avec encodage Base64, tâches planifiées (schtasks, COM Schedule.Service), contexte sqlservr.exe
  • Persistance : tâche planifiée SystemUpdate, clé de registre HKCU\Software\Microsoft\Windows\CurrentVersion\Run, crontab/bashrc sur Linux
  • Stealth : payload fragmenté en plusieurs fichiers, décodage via certutil, obfuscation SQL/LDAP, usage du PID au lieu du nom de processus pour lsass
  • Découverte : commandes net.exe, PowerShell, requêtes LDAP AD, vérification LAPS/Azure, détection via dnslog[.]cn
  • Accès aux credentials : dump des ruches de registre via reg.exe, dump lsass via comsvcs.dll MiniDump, DCSync et Golden Ticket via Mimikatz renommé
  • Mouvement latéral : Impacket WMIExec, partages réseau administratifs (SMB), WMI
  • C2 : reverse shell vers 185.186.245[.]144:5501

🔎 Attribution et artefacts

  • Certificat TLS auto-signé avec le nom du framework dans les champs issuer/subject
  • Métadonnées de build Go (go version -m) avec chemin vers le générateur CyberStrikeAI
  • Header HTTP X-Implant-Token unique par serveur C2
  • Scripts contenant des commentaires en chinois
  • Usage du service chinois dnslog[.]cn pour vérifier l’accès internet

📄 Nature de l’article

Il s’agit d’une analyse technique approfondie publiée par Kaspersky, documentant une campagne active avec IoCs, TTPs MITRE et artefacts d’attribution, destinée aux équipes CTI et SOC.

🧠 TTPs et IOCs détectés

TTP

  • T1190 — Exploit Public-Facing Application (Initial Access)
  • T1059.001 — Command and Scripting Interpreter: PowerShell (Execution)
  • T1053.005 — Scheduled Task/Job: Scheduled Task (Execution)
  • T1047 — Windows Management Instrumentation (Execution)
  • T1140 — Deobfuscate/Decode Files or Information (Defense Evasion)
  • T1027 — Obfuscated Files or Information (Defense Evasion)
  • T1036.005 — Masquerading: Match Legitimate Name or Location (Defense Evasion)
  • T1548.002 — Abuse Elevation Control Mechanism: Bypass User Account Control (Privilege Escalation)
  • T1547.001 — Boot or Logon Autostart Execution: Registry Run Keys / Startup Folder (Persistence)
  • T1053.003 — Scheduled Task/Job: Cron (Persistence)
  • T1082 — System Information Discovery (Discovery)
  • T1018 — Remote System Discovery (Discovery)
  • T1069 — Permission Groups Discovery (Discovery)
  • T1087 — Account Discovery (Discovery)
  • T1135 — Network Share Discovery (Discovery)
  • T1558.003 — Steal or Forge Kerberos Tickets: Kerberoasting (Credential Access)
  • T1558.004 — Steal or Forge Kerberos Tickets: AS-REP Roasting (Credential Access)
  • T1003.001 — OS Credential Dumping: LSASS Memory (Credential Access)
  • T1003.002 — OS Credential Dumping: Security Account Manager (Credential Access)
  • T1003.006 — OS Credential Dumping: DCSync (Credential Access)
  • T1558.001 — Steal or Forge Kerberos Tickets: Golden Ticket (Credential Access)
  • T1021.002 — Remote Services: SMB/Windows Admin Shares (Lateral Movement)
  • T1021.006 — Remote Services: Windows Remote Management (Lateral Movement)
  • T1071.001 — Application Layer Protocol: Web Protocols (Command and Control)
  • T1573 — Encrypted Channel (Command and Control)

IOC

  • IPv4 : 185.186.245.144 — AbuseIPDB · VT · ThreatFox
  • Domaines : dnslog.cn — VT · URLhaus · ThreatFox
  • Fichiers : p1.ps1
  • Fichiers : d3.b64
  • Fichiers : dsn_line.txt
  • Fichiers : svchosts.exe
  • Chemins : C:\Windows\Temp\
  • Chemins : C:\Windows\
  • Chemins : C:\ProgramData\
  • Chemins : C:\Temp\
  • Chemins : C:\ProgramData\dsn_line.txt

⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 3 novembre 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

Malware / Outils

  • CyberStrikeAI (framework)
  • Mimikatz (tool)
  • Impacket WMIExec (tool)
  • comsvcs.dll MiniDump (tool)

🟢 Indice de vérification factuelle : 82/100 (haute)

  • ✅ securelist.com — source reconnue (liste interne) (20pts)
  • ✅ 15000 chars — texte complet (fulltext extrait) (15pts)
  • ✅ 11 IOCs (IPs/domaines/CVEs) (10pts)
  • ✅ 2/2 IOCs confirmés (AbuseIPDB, ThreatFox, URLhaus, VirusTotal) (12pts)
  • ✅ 25 TTPs MITRE identifiées (15pts)
  • ✅ date extraite du HTML source (10pts)
  • ⬜ aucun acteur de menace nommé (0pts)
  • ⬜ pas de CVE à vérifier (0pts)

IOCs confirmés externellement :

  • 185.186.245.144 (ip) → VT (6/92 détections)
  • dnslog.cn (domain) → VT (6/92 détections)

🔗 Source originale : https://securelist.com/tr/cyberstrikeai-attacks/121715/