นักพัฒนามัลแวร์ใช้ Claude AI ของ Anthropic เพื่อสร้าง Ransomware

Claude Code Large Language Model ของ Anthropic ถูกกลุ่มผู้โจมตีนำไปใช้ในการทำแคมเปญ Data extortion และเพื่อพัฒนา Ransomware packages

ทาง Anthropic ระบุว่า เครื่องมือของตนยังถูกนำไปใช้ในแผนการหลอกลวงว่าเป็นนักพัฒนา IT จากเกาหลีเหนือ เพื่อใช้แพร่กระจายเหยื่อล่อสำหรับแคมเปญ Contagious Interview ในแคมเปญของกลุ่ม APT จากจีน และถูกนักพัฒนาที่ใช้ภาษารัสเซียใช้เพื่อสร้างมัลแวร์ที่มีความสามารถในการหลบเลี่ยงการตรวจจับขั้นสูง

Ransomware ที่สร้างด้วย AI

ในอีกกรณีหนึ่งที่ถูกติดตามภายใต้ชื่อ ‘GTG-5004’ แฮ็กเกอร์จาก UK ได้ใช้ Claude Code เพื่อพัฒนา และทำให้การดำเนินงาน ransomware-as-a-service (RaaS) กลายเป็นในรูปแบบบริการเชิงพาณิชย์

เครื่องมือ AI ดังกล่าวช่วยสร้างเครื่องมือที่จำเป็นทั้งหมดสำหรับแพลตฟอร์ม RaaS โดยมีการติดตั้งฟีเจอร์ต่าง ๆ บนตัว Ransomware ที่มีโครงสร้างแบบโมดูล เช่น การเข้ารหัสแบบ ChaCha20 stream cipher ร่วมกับการจัดการ Key แบบ RSA, การลบ Shadow Copy, ตัวเลือกในการกำหนดเป้าหมายไฟล์ที่ต้องการโดยเฉพาะ และความสามารถในการเข้ารหัสข้อมูลบน Network Share

ในด้านการหลบเลี่ยงการตรวจจับ Ransomware จะถูก Load ผ่านเทคนิค Reflective DLL Injection และมีฟีเจอร์ต่าง ๆ เช่น เทคนิคการเรียกใช้ Syscall invocation, API hooking bypass, String obfuscation และ Anti-debugging

Anthropic ระบุว่า ผู้โจมตีอาศัย Claude เกือบทั้งหมดในการพัฒนาส่วนที่ต้องใช้ความรู้ทางเทคนิคขั้นสูงที่สุดของแพลตฟอร์ม RaaS พร้อมทั้งตั้งข้อสังเกตว่า หากไม่ได้รับความช่วยเหลือจาก AI พวกเขาน่าจะล้มเหลวในการสร้าง Ransomware ที่ใช้งานได้จริง

ในรายงานระบุว่า “สิ่งที่น่าสนใจที่สุดคือ การที่ผู้โจมตีดูเหมือนจะพึ่งพา AI อย่างมากในการพัฒนามัลแวร์ที่ใช้งานได้จริง”

"ผู้โจมตีรายนี้ดูเหมือนจะไม่สามารถสร้างอัลกอริทึมการเข้ารหัส, เทคนิคการต่อต้านการวิเคราะห์ หรือการจัดการเชิงลึกภายในของ Windows ได้ หากไม่ได้รับความช่วยเหลือจาก Claude”

หลังจากสร้าง RaaS ขึ้นมาแล้ว ผู้โจมตีได้เสนอขายไฟล์โปรแกรมของ Ransomware, ชุดเครื่องมือพร้อม PHP console และโครงสร้างพื้นฐานสำหรับ Command-and-control (C2) และโปรแกรมเข้ารหัสไฟล์สำหรับ Windows ในราคา 400 ถึง 1,200 ดอลลาร์สหรัฐ บนฟอรัมใน Dark web อย่างเช่น Dread, CryptBB และ Nulled

 

แคมเปญ Data Extortion ที่ดำเนินการโดย AI

หนึ่งในกรณีที่ถูกนำมาวิเคราะห์ ที่ทาง Anthropic ติดตามภายใต้ชื่อ ‘GTG-2002’ กลุ่มผู้โจมตีได้ใช้ Claude เป็นผู้ดำเนินการแคมเปญ Data extortion โดยมีเป้าหมายโจมตีอย่างน้อย 17 องค์กร ทั้งในส่วนหน่วยงานรัฐบาล, สาธารณสุข, การเงิน และบริการฉุกเฉิน

AI agent ได้ทำการสอดส่องเครือข่าย และช่วยให้ผู้โจมตีสามารถเข้าถึงระบบได้ในเบื้องต้น จากนั้นได้สร้างมัลแวร์ที่ปรับแต่งขึ้นมาโดยเฉพาะ โดยมีพื้นฐานมาจากเครื่องมือ Tunneling ที่ชื่อว่า Chisel เพื่อใช้ในการขโมยข้อมูลสำคัญออกไป

หลังจากการโจมตีล้มเหลว ผู้โจมตีได้ใช้ Claude Code เพื่อทำให้มัลแวร์ซ่อนตัวได้ดียิ่งขึ้น โดยการใช้เทคนิคต่าง ๆ เช่น การเข้ารหัสแบบ String, Code ป้องกันการ Debugging และการปลอมแปลงชื่อไฟล์ (Filename masquerading)

ต่อมา Claude จะถูกนำมาใช้เพื่อวิเคราะห์ไฟล์ที่ขโมยมาเพื่อกำหนดจำนวนเงินค่าไถ่ ซึ่งมีมูลค่าตั้งแต่ 75,000 ถึง 500,000 ดอลลาร์สหรัฐ และถึงขั้นใช้สร้างจดหมายเรียกค่าไถ่ในรูปแบบ HTML ที่ถูกปรับแต่งมาเฉพาะสำหรับเหยื่อแต่ละราย

Anthropic ระบุว่า "Claude ไม่เพียงแต่จะทำหน้าที่ On-keyboard เท่านั้น แต่ยังสามารถวิเคราะห์ข้อมูลทางการเงินที่ถูกขโมยออกมาได้ เพื่อกำหนดจำนวนเงินค่าไถ่ที่เหมาะสม และสร้างจดหมายเรียกค่าไถ่ในรูปแบบ HTML ที่จะแสดงผลบนเครื่องของเหยื่อโดยจะฝังเข้าไปในกระบวนการบูตเครื่อง"

Anthropic เรียกการโจมตีลักษณะนี้ว่าเป็นตัวอย่างของ ‘vibe hacking’ ซึ่งสะท้อนให้เห็นถึงการใช้ AI coding agents ในฐานะหุ้นส่วน ในการก่ออาชญากรรมทางไซเบอร์ แทนที่จะใช้ AI เป็นเครื่องมือในการทำงานแบบทั่ว ๆ ไป

รายงานของ Anthropic ยังมีตัวอย่างเพิ่มเติมเกี่ยวกับการนำ Claude Code ไปใช้ในทางที่ผิด แม้ว่าจะเป็นการโจมตีการที่มีความซับซ้อนน้อยกว่าก็ตาม โดยทางบริษัทระบุว่า LLM ของตนได้ช่วยให้ผู้โจมตีสามารถพัฒนากลไกการเชื่อมต่อ API ขั้นสูง และกลไก Resilience สำหรับบริการซื้อขายข้อมูลบัตรเครดิต (Carding Service)

กลุ่มผู้โจมตีอีกรายหนึ่งได้ใช้ AI เพื่อทำ Romance scams โดยใช้สร้างข้อความตอบกลับที่มีความฉลาดทางอารมณ์สูง, สร้างรูปภาพเพื่อทำให้โปรไฟล์ดูน่าเชื่อถือขึ้น และพัฒนาเนื้อหาสำหรับชักจูงอารมณ์เพื่อใช้กับเหยื่อ รวมถึงการรองรับหลายภาษาเพื่อขยายกลุ่มเป้าหมายให้กว้างขึ้น

สำหรับแต่ละกรณีที่นำเสนอ Anthropic ได้ให้ข้อมูลเกี่ยวกับกลยุทธ์ และเทคนิคต่าง ๆ ที่อาจช่วยให้นักวิจัยคนอื่น ๆ สามารถตรวจจับกิจกรรมของกลุ่มผู้โจมตีรายใหม่ หรือเชื่อมโยงไปยังการโจมตีที่เคยเป็นที่รู้จักมาก่อน

Anthropic ได้ระงับบัญชีทั้งหมดที่มีการเชื่อมโยงกับการกระทำที่เป็นอันตราย, สร้างระบบ Classifiers ที่ออกแบบมาโดยเฉพาะเพื่อตรวจจับรูปแบบการใช้งานที่น่าสงสัย และได้แบ่งปันข้อมูล Technical indicators กับพันธมิตรภายนอก เพื่อช่วยป้องกันกรณีการนำ AI ไปใช้ในทางที่ผิดเหล่านี้

ที่มา : bleepingcomputer