Een bedreigingsactor maakt gebruik van een ransomware toolkit die met kunstmatige intelligentie is ontwikkeld en die Active Directory (AD) ontdekking automatiseert en helpt bij het ontwijken van endpoint detection and response (EDR) oplossingen. De ontwikkeling van de tools en payloads werd ondersteund door Cursor en Claude Opus AI-agents in verschillende fasen, waaronder het initiële coderen, analyseren en herzien. Sommige agents controleerden ook beveiligingsonderzoeken op technieken om detectie te omzeilen. Een deel van de malware werd getest in virtuele omgevingen tegen EDR-tools van onder meer Sophos, CrowdStrike en Microsoft.

Ondanks het gebruik van AI-technologie in het ontwikkelproces, benadrukken de onderzoekers dat de workflow volledig door mensen wordt aangestuurd. Onderzoekers van cybersecuritybedrijf Sophos ontdekten activiteit van de toolkit op een systeem binnen een klantomgeving, waarbij waarschuwingen werden gegenereerd voor payloads opgeslagen in C:\Users\User\Documents\test. De kwaadaardige bestanden maakten deel uit van een aanvalskader gericht op het ontwijken van detectie, met onder meer Cobalt Strike-profielen die beacon-verkeer laten lijken op legitieme webverzoeken, een command-and-control mechanisme via de Telegram bot API dat communicatie via Telegram-infrastructuur leidt, en Python-scripts die shellcode injecteren in legitieme Windows-executables zonder de oorspronkelijke functionaliteit te verstoren. Daarnaast fungeerde een Cloudflare Worker als front-end redirector om de daadwerkelijke backend C2-server te verbergen.

Hoewel het gereedschap op het eerste gezicht lijkt op een post-exploitatie framework voor red teams, wordt het daadwerkelijk ingezet voor cybercriminaliteit gerelateerd aan ransomware. Sophos meldde dat aanvankelijk werd gedacht aan een legitiem red team, maar dat nader onderzoek aanwijzingen vond voor criminele activiteiten. Dit werd bevestigd door Cobalt Strike-operatorlogs met verwijzingen naar een losgeldbrief en meerdere organisaties die op een ransomware data leksite stonden vermeld.

In een recent rapport geeft Sophos aan dat meerdere Python-scripts op het gecompromitteerde systeem in het Russisch waren geschreven en met behulp van AI-tools werden gegenereerd. Tijdens het onderzoek werd een Git-repository gevonden met componenten voor een geautomatiseerd Active Directory ontdekkingstool en een testlab dat een iteratieve aanpak hanteert voor het ontwikkelen en testen van malware tegen EDR-agenten van Sophos, CrowdStrike en Windows Defender. De AD-ontdekking wordt gestuurd door observaties van voltooide taken en het selecteren van volgende acties uit vooraf gedefinieerde keuzes, waarbij de uitvoering wordt gedelegeerd aan externe agents en de resultaten opnieuw worden beoordeeld.

Het framework bevat meerdere AI-agents met elk een specifieke rol, zoals een Claude Opus 4.5 agent die het R&D-proces coördineert, en andere agents die verantwoordelijk zijn voor testen, OPSEC-versterking, documentatie, proxy stress tests, VM-implementatie en meer. Tijdens de ontwikkelfase documenteerden sommige agents technieken om detectie te omzeilen, gebaseerd op onderzoek van onder andere Kaspersky, Palo Alto Networks, Bishop Fox en SpecterOps, evenals informatie uit social media. Deze technieken werden gekoppeld aan de MITRE ATT&CK kennisbank, gereproduceerd in een testlab en geëvalueerd.

De kern van het kwaadaardige framework is een Python-tool die payloads genereert, voornamelijk in Rust en Go, gebaseerd op ontwijkingstechnieken. Er werden bijna 80 modules ontwikkeld en getest tegen meer dan 70 technieken. Deze modulaire Windows payload loader generator verpakt een ruwe payload in meerdere lagen van encryptie, ontwijking en alternatieve uitvoeringsmethoden om detectie te bemoeilijken.