Російські хакери використали ШІ Claude для атак на Україну та Європу

Російська хакерська група Midnight Blizzard використала штучний інтелект Claude від компанії Anthropic для автоматизації кібершпигунських операцій проти України та країн Європи.

Про це компанія Anthropic повідомила у своєму звіті «Виявлення та протидія зловживанню штучним інтелектом: вересень 2026 року».

За даними дослідників, із грудня 2025 року до серпня 2026-го хакери атакували понад 20 організацій. Серед цілей були державні, військові й розвідувальні структури, дипломатичні установи, аналітичні центри, оборонні компанії та виробники безпілотників.

Claude використовували майже на всіх етапах атак: для пошуку потенційних цілей, збирання інформації, реєстрації доменів, створення фішингової інфраструктури, викрадення облікових даних, переміщення всередині скомпрометованих мереж і виведення сотень гігабайтів інформації.

ШІ також контролював, чи виявляють захисні системи шкідливі програми угруповання. Якщо антивірус фіксував одну з них, система аналізувала причину виявлення, змінювала код і повторно збирала програму, доки вона не ставала невидимою для засобів захисту.

Окрему увагу зловмисники приділяли технологіям безпілотників і пов’язаним із ними ланцюгам постачання. Вони вивантажили вміст поштових скриньок щонайменше двох виробників компонентів для дронів, атакували виробника військових БпЛА та викрали комплект засобів розроблення закритого програмного забезпечення для системи машинного зору безпілотника.

Упродовж кількох днів зловмисники досліджували викрадене програмне забезпечення методом зворотного інжинірингу. Вони відновили архітектуру системи, перелік апаратних компонентів, інформацію про постачальників і подробиці про ще не представлений виріб.

Для опосередкованого доступу до пріоритетних цілей угруповання зламало щонайменше трьох постачальників готельного Wi-Fi. Змінюючи DNS-записи, хакери перенаправляли пристрої гостей на контрольовані сервери та поширювали шкідливе програмне забезпечення для Windows, Android та iOS.

Зловмисники також отримували доступ до облікових записів WhatsApp. Для цього вони використали платформу на основі браузерів без графічного інтерфейсу, яка під’єднувала контрольовані зловмисниками пристрої до облікових записів жертв як пов’язані пристрої.

Конфігурація, частково побудована на відкритій бібліотеці автоматизації WhatsApp WPPConnect, вимикала сповіщення про прочитання повідомлень. Завдяки цьому жертви не помічали масового вивантаження їхнього листування українською та російською мовами. У такий спосіб атакували щонайменше двох колишніх високопосадовців України.

Угруповання також атакувало платформи відеоспостереження. Зловмисники виявили недоліки авторизації у програмних інтерфейсах сервісів потокового передавання відео з камер. Скориставшись ними, вони отримали списки користувачів і викрали токени, які надавали доступ до прямих трансляцій із камер жертв.

Те саме угруповання проникло до систем державного технологічного відомства однієї з країн Північної Африки. Зловмисники викрали повну базу облікових даних, яка містила понад 300 тисяч записів із національної системи ідентифікації громадян, а також дані комерційного реєстру про більш ніж пів мільйона компаній, що працюють у країні.

Нагадаємо, що в липні стало відомо, що група російських хакерів упродовж останнього року здійснює кібершпигунську кампанію, спрямовану проти американських науковців у ядерній галузі, оборонних підрядників та урядовців.