Nep-AI-campagnes verspreiden malware en stelen gegevens bij Amerikaanse bedrijven, wat operationele druk op MSSP’s verhoogt en detectie bemoeilijkt.
Cybercriminelen imiteren populaire AI-producten om malware te verspreiden, browser-sessies te kapen en zakelijke accounts te compromitteren. Tussen april en oktober 2026 koppelde ANY.RUN 1.258 openbare sandbox-analyses aan deze nep-AI-campagnes, die vooral Amerikaanse bedrijven als doelwit hebben. Deze aanvallen zorgen voor extra operationele druk bij Managed Security Service Providers (MSSP’s) die Amerikaanse klanten bedienen, aangezien 16 procent van de aanvallen aan dat land wordt toegeschreven.
De nep-AI-aanvallen maken gebruik van bekende AI-merken zoals Claude, ChatGPT, GitHub Copilot en Gemini om medewerkers te verleiden kwaadaardige opdrachten uit te voeren, geïnfecteerde applicaties te installeren of inloggegevens in valse authenticatiepagina’s in te voeren. De aanvallen verschijnen onder meer via gesponsorde zoekresultaten, legitieme hostingdiensten, gedeelde AI-gesprekken en namaak-downloadsites. Een voorbeeld is een campagne die zich voordoet als de officiële Claude-downloadpagina, waarbij een klik op de Windows-downloadknop een opdracht naar het klembord kopieert en instructies toont om deze via PowerShell uit te voeren. In plaats van de verwachte software wordt zo een kwaadaardige HTA-bestand opgehaald en een geëncodeerde PowerShell-keten gestart, wat een moeilijk te detecteren infectie veroorzaakt.
De volledige infectieketen is zichtbaar in de analyses van ANY.RUN, die infostealer-activiteiten blootleggen. Voor MSSP’s die meerdere klantomgevingen beheren, betekent dit een terugkerende uitdaging: de initiële indicatoren verschillen, terwijl het onderliggende gedrag van de aanvallers vergelijkbaar blijft. Dit leidt tot herhaalde onderzoeken, een hogere werkdruk voor analisten en langere reactietijden, wat het moeilijk maakt om consistente service te leveren naarmate de dreigingsactiviteit toeneemt.
De nep-AI-campagnes leggen druk op drie onderling verbonden processen binnen SOC’s: monitoring en detectie, triage en escalatiebeheer, en threat hunting. Aanvallers wisselen voortdurend van domeinen, hostingdiensten en AI-merken, waardoor nieuwe varianten moeilijker te detecteren zijn met bestaande indicatoren. Complexe aanvalsketens vragen om diepgaand onderzoek, wat de werkdruk en reactietijden verhoogt. Daarnaast moeten bevindingen uit individuele onderzoeken worden gecorreleerd en hergebruikt om detectie over verschillende klantomgevingen te verbeteren. Deze uitdagingen beïnvloeden belangrijke MSSP-metrics zoals MTTD, MTTR, escalatiepercentages, onderzoekskosten en naleving van SLA’s.
Een effectieve aanpak is het verbeteren van de efficiëntie van Tier 1-analisten door gedragsgebaseerd onderzoek, zodat sneller kan worden vastgesteld of verdachte activiteiten daadwerkelijk een bedreiging vormen. Dit is cruciaal bij nep-AI-campagnes, waar aanvallen vaak gebruikmaken van legitieme Windows-tools en pas na meerdere stappen kwaadaardige payloads activeren. Door deze werkwijze kunnen MSSP’s hun detectie- en responsprocessen optimaliseren en de impact van dergelijke aanvallen beperken.
