Досье cyberstrikeai-attacks-edu-institutionsВредоносное ПО с участием ИИВесь мир
Фреймворк CyberStrikeAI автоматизирует постэксплуатацию в атаках на образовательные учреждения
Kaspersky проанализировала вторжения, произошедшие в период с сентября по октябрь, в образовательные учреждения нескольких стран Африки и Латинской Америки. Злоумышленники проникли через скомпрометированный SQL Server, а затем использовали опенсорсный фреймворк CyberStrikeAI, в котором LLM на стороне сервера планирует и генерирует команды, выполняемые имплантом. В одном случае права администратора домена были получены в течение трёх–четырёх дней после развёртывания агента. Kaspersky не связала эту активность с известной группировкой, но указывает на китаязычного оператора.
СредняяАтака с помощью ИИСтатус: РасследуетсяПроверенное досье
Открыть на интерактивной картеЦитировать это досье
- Дата сообщения
- 2 нояб. 2026
- Локация
- Весь мир
- Цель
- Образовательные учреждения в Африке и Латинской Америке
- Критичность
- Средняя
- Проверка
- Сообщено авторитетной прессой или исследователями
- Инициатор
- Не атрибутирован; китаязычный оператор по индикаторам Kaspersky
- Тип субъекта
- Неизвестно
- Сектор
- Образование и наука
- Заявленные убытки
- Не заявлены
- CVE
- Нет
Что произошло
Kaspersky проанализировала вторжения, произошедшие в период с сентября по октябрь, в образовательные учреждения нескольких стран Африки и Латинской Америки. Злоумышленники проникли через скомпрометированный SQL Server, а затем использовали опенсорсный фреймворк CyberStrikeAI, в котором LLM на стороне сервера планирует и генерирует команды, выполняемые имплантом. В одном случае права администратора домена были получены в течение трёх–четырёх дней после развёртывания агента. Kaspersky не связала эту активность с известной группировкой, но указывает на китаязычного оператора.
Последствия: Атакам подверглись несколько образовательных учреждений; число жертв и затронутые данные неизвестны.
Кто стоит за инцидентом
Субъект: Не атрибутирован; китаязычный оператор по индикаторам Kaspersky
Атрибуция: Анализ Kaspersky Securelist; в кратком описании злоумышленник не назван.
Мотив: Неизвестно
Как это произошло
Вектор атаки: Фреймворк для тестирования на проникновение CyberStrikeAI, автоматизирующий этап постэксплуатации.
Первопричина: Легитимный фреймворк для пентеста на основе ИИ применили в реальных атаках; как был получен первоначальный доступ, неизвестно.
Хронология
- Сообщение опубликовано Kaspersky Securelist
Реагирование
Kaspersky опубликовала свой анализ; о мерах реагирования со стороны жертв не сообщается.
Текущий статус: Расследуется
Предупреждения исследователей, которым соответствует это досье
- Наблюдается в реальных инцидентах ИИ делает кибератаки проще, быстрее и масштабнее · CAIS
- Наблюдается в реальных инцидентах Преступники и государственные хакеры применяют ИИ в кибератаках · International AI Safety Report
- Наблюдается в реальных инцидентах Злоумышленники и злоупотребления · MIT AI Risk Repository
Сопоставление с опубликованными исследованиями рисков ИИ от нескольких институтов на странице «Исследования и реальность».
Источники (открываются в новой вкладке)
- Kaspersky Securelist securelist.com
- Help Net Security helpnetsecurity.com
- Kaspersky Securelist securelist.com
Цитировать это досье
Фреймворк CyberStrikeAI автоматизирует постэксплуатацию в атаках на образовательные учреждения. AI Threat Watch, досье cyberstrikeai-attacks-edu-institutions, 2 нояб. 2026. https://aithreat.io/ru/cases/cyberstrikeai-attacks-edu-institutions/
Постоянная ссылка: https://aithreat.io/ru/cases/cyberstrikeai-attacks-edu-institutions/
Похожие случаи
Тот же тип инцидента, сначала новые.