카스퍼스키, CyberStrikeAI 악용 공격 분석…도메인 관리자 탈취 자동화

카스퍼스키가 11월 2일 공개한 연구에서 오픈소스 침투 테스트 프레임워크인 CyberStrikeAI가 침해된 네트워크 내부에서 도메인 관리자 권한 탈취 경로를 자동화하는 데 악용된 사례를 분석했다고 밝혔다.

dailysecu.com에 따르면 이번 공격은 아프리카와 중남미의 교육 기관을 대상으로 했으며, 2026년 9월부터 10월 사이에 관측됐다.

카스퍼스키가 재구성한 사례에서 공격자는 피해 시스템에 CyberStrikeAI 임플란트를 설치했고, 설치 후 3~4일 만에 도메인 관리자 계정이 탈취됐다. 이어 측면 이동의 마지막 단계와 자격 증명 수집, 데이터베이스 유출은 약 1시간 안에 이뤄졌다.

이번 공격에서 AI는 공격자 서버에서 구동됐고, 피해 시스템에 설치된 임플란트는 명령을 실행해 결과를 반환하는 역할을 했다.

카스퍼스키는 공격 스크립트에서 중국어 주석을 발견했지만, 특정 국가나 알려진 위협 그룹으로 공격을 귀속시키지는 않았다.

한편 카스퍼스키에 따르면 AI 임플란트가 설치되기 전 공격자는 이미 침해된 SQL 서버를 통해 수작업으로 시스템 정보를 수집하고 도구를 준비했으며, 이후 약 2주간 활동을 멈췄다가 임플란트를 설치한 것으로 나타났다.