Kaspersky documente l'abus de CyberStrikeAI dans des intrusions
Kaspersky a publié le 2 novembre une recherche sur des attaques visant des établissements scolaires en Afrique et en Amérique latine entre septembre et octobre 2026.
Kaspersky a publié le 2 novembre une recherche décrivant des attaques dans lesquelles le framework open source de tests d'intrusion CyberStrikeAI a été utilisé au sein de réseaux compromis, selon dailysecu.com. Les intrusions ont visé des établissements d'enseignement en Afrique et en Amérique latine et ont été observées entre septembre et octobre 2026.
Dans l'incident reconstitué par la société de sécurité, un implant de CyberStrikeAI a été installé sur le système de la victime. Les comptes administrateur de domaine ont été compromis dans les 3 à 4 jours suivant cette installation.
La dernière étape — déplacement latéral, collecte d'identifiants et export de bases de données — s'est déroulée en environ une heure. L'IA fonctionnait sur le serveur de l'attaquant, tandis que l'implant sur le système de la victime exécutait les commandes et renvoyait les résultats.
Kaspersky indique avoir trouvé des commentaires en chinois dans les scripts de l'attaque, mais n'attribue pas l'opération à un pays précis ni à un groupe de menaces connu.
Selon la recherche, l'attaquant avait d'abord collecté manuellement des informations système et préparé ses outils via un serveur SQL déjà compromis. L'activité a marqué une pause d'environ deux semaines avant l'installation de l'implant CyberStrikeAI sur le système de la victime.
En bref
Qu'est-ce que CyberStrikeAI ?
Un framework open source de tests d'intrusion que les attaquants ont détourné dans ces intrusions, selon la recherche de Kaspersky.
Qui a été visé ?
Des établissements d'enseignement en Afrique et en Amérique latine, entre septembre et octobre 2026.
Kaspersky attribue-t-il l'attaque à un groupe précis ?
Non. La société a trouvé des commentaires en chinois dans les scripts, mais n'attribue pas l'opération à un pays ni à un groupe de menaces connu.