Hackers gelinkt aan de spionagegroep Midnight Blizzard hebben kunstmatige intelligentie, specifiek Anthropic's Claude AI, ingezet om malware te modificeren en opnieuw in te zetten nadat beveiligingstools de oorspronkelijke varianten hadden gedetecteerd. De groep, die zich richt op Oekraïense en Europese doelen, gebruikte de AI voor diverse aanvalsautomatiseringstaken, waaronder het schrijven van code, het opzetten van phishing-systemen, het updaten van malware en het verzamelen van gestolen gegevens. Anthropic classificeert deze activiteiten onder GTG-20006 en merkt op dat de doelwitten en methoden overeenkomen met publieke rapporten over Midnight Blizzard.

De operatie had het vizier gericht op meer dan twintig overheidsinstanties, diplomatieke instellingen, denktanks en defensieorganisaties. Hierbij maakten de aanvallers gebruik van twee specifieke malwaretypen: ChocoShell, een PowerShell stager, en CornFlake, een Windows backdoor geschreven in de programmeertaal Go. Microsoft heeft beide benoemd in een rapportage en koppelde deze operatie aan Storm-2945, wat door Microsoft wordt beschouwd als een subgroep van Midnight Blizzard.

Onderzoekers van ReversingLabs identificeerden en classificeerden de malware. Zij breidden twee eerder gepubliceerde bestand-hashes uit naar een bredere campagnemap. De eerste samples die ReversingLabs waarnam waren CornFlake op 6 juli en ChocoShell op 10 juli. Op 1 augustus classificeerden zij beide bestanden als kwaadaardig, één dag nadat Microsoft een rapport publiceerde op basis van hun reputatie. Dit impliceert dat ReversingLabs de samples eerder in bezit had dan hun onafhankelijke kwaadaardige oordeel, en dat dit gebeurde vóór de openbaarmaking door Microsoft.

Onderzoekers vonden vijf extra "stager" builds verspreid over een periode van 25 dagen, van 9 juli tot 3 augustus. Dit patroon suggereert een voortdurende cyclus van wederopbouw. Ondanks wijzigingen in de code en de hash van bestanden, bleven de gedragingen en serververbindingen die gebruikt werden om de campagne te traceren behouden.

ChocoShell verbergt zijn venster, wijzigt de PowerShell execution policy en voert Base64-gecodeerde code uit. Het maakt gebruik van publieke PowerSploit en Empire code om browsergeschiedenis te verzamelen, controleert Windows shadow copies via WMI en voert achtergrondtaken uit. HTTPS-berichten rapporteren voortgang via een tracking-pixel endpoint.

CornFlake zorgt voor permanente toegang via een registry startup entry en een ander pad dat gebruik maakt van Windows task scheduling. Het injecteert in een gepauzeerd proces en leest browserprofielen en Microsoft Teams cachegegevens. Sandbox-resultaten toonden tevens tekenen van keylogging.

Onderzoekers identificeerden twee Windows Internet Shortcut-bestanden van 60 bytes die naar de staging server wezen. Eén leidde naar een kort downloadpad; de andere verwees naar een PowerShell payload vermomd als een JavaScript-bundel. Geen van de shortcuts bevatte uitvoerbare code en geen van de 37 antivirus-engines markeerde ze. Hun gevaar school in de bestemmingen die ze openden.

Een onderzoeksrapport van 15 oktober koppelde de samples aan een staging server, vijf additionele PowerShell-builds, twee shortcut-lures en verbindingen tussen phishing-domeinen en servers. De staging server leverde nog steeds kwaadaardige bestanden tijdens controles op 5 oktober.

De sterkste verbinding tussen de opnieuw opgebouwde stagers was hun gedrag. Alle vijf deelden hetzelfde "capability profile" van 35 items, ondanks verschillende hashes. Sommige codewijzigingen verstoorden "fuzzy-hash matching", wat de gelijkenis van bestanden vergelijkt. Desalniettemin bleven dezelfde "beacon labels" aanwezig. Een YARA-zoekopdracht, gebaseerd op die labels en PowerShell-acties, vond zeven kwaadaardige scripts, inclusief het oorspronkelijke sample.

De bestandsanalyse biedt geen onafhankelijk bewijs voor de identiteit van de dader. ReversingLabs observeerde niet hoe CornFlake slachtoffers bereikte of een directe leveringslink van ChocoShell tot stand bracht. Twee extra stagers en beide shortcuts hadden sterke infrastructuurverbindingen. Andere scripts deelden weliswaar de toolset, maar hadden geen waargenomen netwerkverbinding, wat ruimte liet voor een andere operator die vergelijkbare code gebruikte. ReversingLabs zag de upstream-activiteit die Microsoft beschreef niet, dus hun bevindingen over de shortcuts mogen niet worden beschouwd als bewijs van elke stap die Microsoft beschreef.

ReversingLabs beveelt aan om historische gegevens te doorzoeken, bevestigde infrastructuur te blokkeren en de aanmeldingen voor Microsoft Entra-apparaatcodes te beoordelen. De gegevens van ReversingLabs tonen daardoor een eerder bezit van de samples, niet een onafhankelijk kwaadaardig oordeel vóór de openbaarmaking door Microsoft.

Eerdere diefstal van Teams-chatcredentials duidt op de bredere focus van de groep op accounttoegang. Teams zou de authenticatie via ongebruikte apparaatcodes moeten beperken en detectieregels moeten testen tegen schone bestanden vóór implementatie.

De bron verstrekt tevens MD5- en import-hash-waarden. De import-hash komt overeen met veel niet-gerelateerde schone en kwaadaardige Go-bestanden, waardoor het geen betrouwbare standalone detectie-indicator is. Verdedigingen moeten worden bijgewerkt tegen nieuwe malware zodra deze verschijnt. TI Feeds moeten worden geïntegreerd met gegevens van 16.000 SOC's.

De praktische les is om het gedrag van malware en de verbindingen die het legt te volgen, in plaats van alleen te vertrouwen op een bestand-hash of lage detectieaantallen van externe reputatiediensten tijdens een actief onderzoek.