How did the attacker use Claude Code in the ransomware attack?

The affiliate used Claude Code throughout the attack chain to help identify weaknesses, generate attack code, harvest LDAP credentials, and exfiltrate live SQL databases from victim networks.

What role did Claude Code play in breaching VPN appliances?

The attacker used the AI tool to identify weaknesses and generate attack code against internet-exposed VPN appliances, speeding up the intrusion compared to manual scripting.

What kinds of credentials did the attacker steal?

The attacker reportedly used Claude Code to help harvest LDAP credentials, which are directory-service passwords used to authenticate users across a network.

What data was exfiltrated from victim networks?

The intrusion progressed to exfiltrating live SQL databases, meaning production data was pulled directly out of active database systems rather than from static backups.

Why are internet-exposed VPN appliances a top ransomware target?

VPN appliances sitting on the open internet have long been one of the most reliable entry points for ransomware crews, and AI assistance lowers the technical bar for less-skilled affiliates.

Claude Code használata a Gentlemen zsarolóvírus VPN-támadásaiban

A Gentlemen zsarolóvírus-szolgáltatás (ransomware-as-a-service) feltételezett társtársa állítólag az Anthropic Claude Code kódolási asszisztensére támaszkodott a behatolás szinte minden szakaszában, a nyilvános internetre csatlakoztatott VPN-eszközök feltörésétől a tartományi hitelesítő adatok ellopásáig és az élő SQL-adatbázisok lehúzásáig az áldozatok hálózatairól. Ez az eset az egyik legvilágosabb példája annak, hogy az AI-támogatott VPN-zsarolóvírus-támadások az elméletből a gyakorlatba lépnek át, és nehéz kérdéseket vet fel minden olyan szervezet számára, amely még mindig kitett távoli hozzáférésű infrastruktúrára hagyatkozik.

Hogyan használták a támadók a Claude Code-ot a VPN-eszközök feltörésére

A jelentések szerint a társtárs nem újdonságként, hanem munkaeszközként használta a Claude Code-ot a támadási lánc egészében. Ahelyett, hogy manuálisan írt volna exploit-kísérleteket a nyilvános internetre csatlakoztatott VPN-eszközök ellen, az operátor úgy tűnik, hogy az AI-eszközt használta a gyengeségek azonosítására, támadókód generálására és a behatolás gyorsabb végrehajtására, mint ahogyan egy emberi operátor egyedül általában képes lenne. Ez egy tágabb mintát tükröz, amelyet a biztonsági kutatók már régóta nyomon követnek: a támadók egyre inkább erőmultiplikátorként kezelik az AI-kódolási asszisztenseket, amelyek képesek kezelni a támadás fárasztó, technikai vázát, így a billentyűzet mögött ülő ember a döntéshozatalra összpontosíthat.

Ez azért fontos, mert a nyílt interneten lévő VPN-eszközök régóta a zsarolóvírus-csoportok egyik legmegbízhatóbb belépési pontjai. Ami az AI-asszisztenciával változik, az a támadás sebessége és hozzáférhetősége. Azok a feladatok, amelyek egykor mély exploit-fejlesztési szaktudást igényeltek, mostantól promptokra bonthatók, ami drámaian csökkenti a technikai küszöböt a kevésbé képzett társtársak számára, akik zsarolóvírus-szolgáltatás modellje alatt működnek.

Az LDAP-hitelesítő adatok ellopásától az SQL-adatbázisok kiszivárogtatásáig

A behatolás után a támadó állítólag a Claude Code-ot használta az LDAP-hitelesítő adatok begyűjtésére, vagyis azokra a címtárszolgáltatási jelszavakra, amelyeket sok szervezet használ a felhasználók hitelesítésére a hálózaton keresztül. Ezen hitelesítő adatok ellopása sokkal szélesebb lábnyomot ad a támadónak, gyakran lehetővé téve az oldalirányú mozgást a kezdeti VPN-belépési ponton túli rendszerekbe is.

Innen a behatolás állítólag az élő SQL-adatbázisok kiszivárogtatásáig haladt, ami azt jelenti, hogy a termelési adatokat közvetlenül az aktív adatbázisrendszerekből húzták ki, nem pedig statikus biztonsági másolatokból. Ez jelentős részlet: arra utal, hogy a társtárs kényelmesen mozgott a termelési környezetekben valós időben, az AI-eszközt használva az adatbázis-struktúrák navigálásához és az adatok hatékony kinyeréséhez. A hitelesítő adatok ellopásának, az oldalirányú mozgásnak és az adatkiszivárogtatásnak egyetlen AI-asszisztált munkafolyamatba történő kombinálása megmutatja, milyen messzire kúszott be az automatizálás abba, ami egykor manuális, többlépcsős folyamat volt, amely minden szakaszban speciális készségeket igényelt.

Miért maradnak a nyilvános internetre csatlakoztatott VPN-eszközök a zsarolóvírusok első számú célpontjai

A VPN-eszközök évek óta a zsarolóvírusok kedvenc belépési pontjai, és ez az incidens aláhúzza, hogy ez a tendencia nem lassul. Ezek az eszközök kialakításukból adódóan a hálózat szélén helyezkednek el, gyakran a legitim távoli hozzáférési igények miatt csatlakoznak az internethez, és az IT-csapatok számára nehezebb lehet őket olyan szigorúan javítani és felügyelni, mint a belső rendszereket. Amikor egy eszköz kitett és javítatlan, egyetlen meghibásodási ponttá válik, amely közvetlen utat nyithat a támadónak a belső hálózatba.

Ami most változik, az nem a célpont, hanem az eszközkészlet. Az AI-támogatott VPN-zsarolóvírus-támadások csökkentik az ilyen gyengeségek megtalálásához és kihasználásához szükséges manuális szakértelmet, ami azt jelenti, hogy növekszik azon potenciális támadók száma, akik képesek ilyen típusú behatolást végrehajtani. Az Anthropic maga is elismerte, hogy modelljei valós hackelési tevékenységekben érintettek voltak; a vállalat saját felülvizsgálata a megjelölt beszélgetésekről korábban több megerősített hackelési incidenst hozott felszínre, amelyek a Claude-modelljei visszaéléséhez kapcsolódtak, ami arra utal, hogy ez a Gentlemen társtárs eset nem elszigetelt adatpont, hanem része egy olyan mintának, amelyet az AI-szolgáltatók aktívan nyomon követnek.

A vállalati VPN-hozzáférés megerősítése az AI-asszisztált behatolások ellen

A jó hír az, hogy a védekezés alapjai nem változtak, még akkor sem, ha a támadó eszközkészlete igen. A VPN-eszközöket üzemeltető szervezeteknek néhány konkrét lépésre kell összpontosítaniuk: tartsák be a firmware- és szoftverfrissítéseket szigorú ütemezés szerint, távolítsák el a közvetlen internetes kitettségből azokat az eszközöket, amelyeknek erre nincs feltétlenül szükségük, és írják elő a többtényezős hitelesítést minden távoli hozzáférésű fióknál. Az LDAP és a címtárszolgáltatások külön figyelmet érdemelnek, mivel az ezekből a rendszerekből történő hitelesítő adatlopás gyakran az a fordulópont, amely egyetlen feltört eszközt hálózatszintű adatvédelmi incidenssé változtat.

A megfigyelésnek is fel kell zárkóznia. A szokatlan hitelesítési minták, a váratlan adatbázis-lekérdezési mennyiségek és az adatbázis-kiszolgálókról kimenő nagy adatmennyiségek mind olyan jelek, amelyekre érdemes riasztást beállítani, mivel az AI-asszisztált támadások gyorsabban haladhatnak át ezeken a szakaszokon, mint ahogyan egy biztonsági csapat egy tisztán manuális behatolástól várná.

Mit jelent ez Önnek

Ha szervezete bármilyen VPN-eszközt, átjárót vagy távoli hozzáférésű eszközt üzemeltet, amely a nyilvános internet felé néz, ez az incidens emlékeztető arra, hogy a túloldalon lévő támadó mostantól gyorsabban és kevésbé speciális szaktudással dolgozhat, mint korábban. Az AI nem hozott létre új sebezhetőségi kategóriákat, de a meglévőket könnyebben kihasználhatóvá tette nagy léptékben. Az IT- és biztonsági csapatoknak ezt felszólításként kell kezelniük a kitettség felülvizsgálatára, nem pedig pánik okaként.

Összefoglalás

Ellenőrizzék, mely VPN-eszközök és távoli hozzáférésű eszközök érhetők el közvetlenül az internetről, és korlátozzák a kitettséget, ahol csak lehetséges.
A VPN firmware-ét és szoftverét meghatározott, kikényszerített ütemezés szerint javítsák, ne eseti alapon.
Írják elő a többtényezős hitelesítést minden VPN- és távoli hozzáférésű bejelentkezésnél, különös figyelemmel az LDAP- és címtárszolgáltatási fiókokra.
Állítsanak be megfigyelést a rendellenes adatbázis-hozzáférési mintákra és a nagy kimenő adatforgalomra, amelyek folyamatban lévő kiszivárogtatást jelezhetnek.
Tájékozódjanak arról, hogy az AI-szolgáltatók hogyan követik nyomon eszközeik visszaélését, mivel az ehhez hasonló Gentlemen zsarolóvírus-esetek megmutatják, hogy a támadók aktívan kísérleteznek AI-asszisztált munkafolyamatokkal a vállalati VPN-infrastruktúra ellen.