CyberStrikeAI, 44 agenti AI automatizzano attacchi contro obiettivi in Giappone

• TrendAI analizza tre campagne contro il Giappone con AI autonoma o di supporto agli operatori
• CyberStrikeAI delega a 44 agenti l'intero ciclo d'attacco: almeno 19 organizzazioni validate
• Il terzo operatore ha incluso nelle liste WebLogic bersagli anche in Italia
• Nessun legame provato tra i tre operatori; gli attacchi sfruttano ancora debolezze note

TrendAI, la divisione di sicurezza enterprise di Trend Micro, ha reso noti i dettagli di tre attacchi contro organizzazioni in Giappone in cui l’intelligenza artificiale ha avuto un ruolo centrale: in un caso come motore dell’operazione, negli altri come supporto a un operatore umano. L’analisi si basa su tre ambienti server esposti, usati dagli attaccanti e contenenti strumenti, script, liste di bersagli, log e cronologie dei comandi.

I tre casi

Il primo caso sfrutta CyberStrikeAI, strumento open source di penetration testing già visto in una campagna contro i dispositivi Fortinet FortiGate. L’attività si è concentrata in un breve periodo di ottobre 2026. Lo strumento automatizza l’intero ciclo d’attacco: ricognizione, scoperta e verifica delle vulnerabilità, exploitation, command-and-control, persistenza, esfiltrazione e reportistica. Il lavoro è ripartito tra 44 agenti, che possono anche generare moduli e false pagine di login in giapponese. Almeno 19 organizzazioni, di cui almeno 16 in Giappone, sono state oggetto di attività di validazione. Ciascuna aveva un report nello stesso formato e un indice delle evidenze, segno di un processo strutturato.

Il secondo caso è condotto da un operatore umano che usa un LLM per accelerare pianificazione e sviluppo degli strumenti. La campagna mira anche a piattaforme di workflow AI e servizi di inferenza, per ottenere capacità di calcolo a basso costo. In un’intrusione è stato colpito un server GIS (sistema informativo geografico) esposto con credenziali predefinite. Sono stati rubati dati catastali e commerciali, credenziali Windows ed e-mail. La campagna è durata 24 giorni tra agosto e settembre 2026.

Nel terzo caso l’AI si limita allo sviluppo di strumenti e script. L’operatore ha preso di mira dispositivi edge di Cisco, Citrix, F5 e Yamaha, sfruttando vulnerabilità note, funzioni di gestione o credenziali nei file di configurazione. Ha condotto almeno sei campagne tra gennaio e ottobre 2026, colpendo in modo opportunistico VPN e server WebLogic.

Portata e limiti dell’analisi

Non ci sono prove che i tre incidenti abbiano un operatore comune. Non è noto quali modelli AI siano stati usati. Le attività non sono limitate al Giappone: il primo operatore ha colpito anche Taiwan e Hong Kong, mentre le liste di scoperta WebLogic del terzo includevano organizzazioni in Regno Unito, Francia, Italia, Qatar e Colombia.

Secondo TrendAI, l’AI ha aumentato la forza lavoro degli attaccanti, ma “le porte” da cercare aperte restano le stesse. Cambia la capacità di provarne migliaia insieme, adattarsi alla lingua del paese bersaglio e proseguire senza stanchezza.

Il quadro più ampio

Il Digital Defense Report 2026 di Microsoft indica che il tempo mediano tra scoperta di una vulnerabilità e uso come arma è sceso ben sotto le 24 ore. Microsoft ha inoltre attribuito a Storm-0940, attore allineato alla Cina, la compromissione di un’applicazione cloud di backup di ConnectWise. Il gruppo ha usato ARTEX per accedere a oltre 2.250 tenant Microsoft 365 e avrebbe impiegato il framework dal settembre 2026 per automatizzare attacchi di password spraying. In Corea del Sud, secondo la stampa locale, sette sospettati sono legati a intrusioni in oltre 90 organizzazioni, perlopiù con ARTEX. In 38 incidenti sono stati chiesti riscatti da 360 milioni di won (270.000 dollari) e sono stati sottratti oltre 8,2 milioni di record.

Altre campagne recenti documentate dai ricercatori:

• BUGSTER: attore finanziariamente motivato che ha usato Hermes Agent con DeepSeek V4 e Cursor, senza controlli di sicurezza, contro siti WordPress e università indiane (Unit 42).
• CyberCartel: usa il sistema multi-agente CARLIY0S, con quattro modelli Claude specializzati, contro banche e fornitori di pagamenti in America Latina (Straiker).
• Un agente offensivo che dirotta endpoint AI esposti e ne fa pagare l’inferenza al proprietario. La sua modalità “Skynet” usa 74 strumenti per infettare host e installare cryptominer.
• Un affiliato di The Gentlemen ha usato Claude Code di Anthropic in intrusioni in almeno sei organizzazioni a fine giugno 2026.
• Zerofot: scanner “auto_scan” che integra OpenAI Codex e Claude Code per raccogliere migliaia di chiavi API e token.
• RAGE: framework Python generato con AI per sfruttare servizi esposti come Redis, Elasticsearch, Docker, Jenkins e Confluence e installare miner.
• Un attore sospetto di lingua russa ha sfruttato server PaperCut NG/MF con un flusso assistito da AI, compromettendo centinaia di istanze (Hunt.io).
• Un attore di lingua cinese ha violato i siti di oltre 100 aziende, tra cui Deere, SharkNinja e Cummins, con il motore di pentest autonomo Cairn.

Si sta sviluppando anche un mercato di token di sessione rubati di provider AI e di strumenti offensivi come APEX AI, MessiahGPT e DarkGPT, che abbassa la barriera d’ingresso. Per Rapid7, l’AI non crea nuove categorie di attacco, ma industrializza phishing, ricognizione e script malevoli già esistenti.

Fonte: The Hacker News · Foto: The Hacker News