Cursor AI e ransomware: hacker usano Claude per evadere EDR e Windows Defender

🛡️ Executive Summary

• Un framework sviluppato con Cursor AI e Claude Opus 4.5 automatizza test di evasione contro diversi prodotti EDR.
• La piattaforma integra Cobalt Strike, Telegram, Cloudflare Workers e loader in Rust e Go.
• Secondo Sophos X-Ops, il sistema è stato utilizzato in operazioni collegate a ransomware e furto di dati.

L’impiego dell’intelligenza artificiale nello sviluppo di strumenti offensivi continua a evolversi rapidamente. I ricercatori di Sophos X-Ops hanno documentato un framework utilizzato da un attore cyber che sfrutta Cursor AI, ambiente di sviluppo assistito dall’AI, insieme al modello Claude Opus 4.5 per progettare, testare e perfezionare tecniche di evasione contro le principali soluzioni Endpoint Detection and Response (EDR). L’indagine mostra come gli strumenti di sviluppo basati su modelli linguistici possano accelerare la creazione di malware senza sostituire completamente l’intervento umano. Il framework individuato integra componenti per la scoperta di Active Directory, la generazione di payload, infrastrutture di comando e controllo e test automatici contro prodotti come Sophos, CrowdStrike e Microsoft Defender. Pur non rappresentando un malware autonomo sviluppato esclusivamente dall’AI, il progetto dimostra come un singolo operatore possa ridurre drasticamente i tempi necessari per sperimentare nuove tecniche di post-exploitation e di evasione dei controlli difensivi.

Sophos individua un laboratorio dedicato allo sviluppo di malware

L’indagine è partita dal rilevamento di attività anomale su un endpoint Windows che conteneva file di test nella cartella C:\Users\User\Documents\test. L’analisi forense ha portato alla scoperta di un repository Git contenente script Python, numerosi commenti in lingua russa e un insieme di strumenti dedicati allo sviluppo di malware e alla verifica dell’efficacia delle tecniche di evasione. Gli investigatori hanno ricostruito un ambiente di laboratorio completo, composto da macchine virtuali separate per testare il comportamento dei payload contro Sophos EDR, CrowdStrike Falcon e Microsoft Defender, oltre a un’infrastruttura basata sul framework open source Sliver per le operazioni di comando e controllo. L’organizzazione del repository suggerisce un processo di sviluppo strutturato, nel quale ogni modifica viene validata prima di essere impiegata in campagne operative collegate a ransomware e furto di dati.

Cursor AI coordina lo sviluppo con Claude Opus 4.5

Il cuore dell’infrastruttura era costituito da Cursor, uno degli ambienti di sviluppo più diffusi tra i programmatori che utilizzano assistenti AI. Attraverso Claude Opus 4.5, l’attore assegnava ruoli specifici al modello, separando le attività dedicate allo sviluppo del codice, al testing delle tecniche di evasione, alla documentazione, all’hardening operativo e alla gestione delle macchine virtuali.

Il sistema sfruttava anche il Model Context Protocol (MCP) per collegare l’assistente AI al repository Git e ad altri strumenti esterni, consentendo al modello di consultare documentazione tecnica, analizzare ricerche pubbliche e integrare automaticamente nuove tecniche all’interno del framework. Secondo Sophos, il modello non prendeva decisioni autonome, ma accelerava l’intero ciclo di sviluppo suggerendo modifiche, verificando i risultati dei test e proponendo iterazioni successive che venivano comunque supervisionate dall’operatore umano.

Un framework con decine di tecniche di evasione

L’infrastruttura comprende un generatore modulare di loader per Windows sviluppato in Python, capace di trasformare payload grezzi in eseguibili o librerie dinamiche dotati di più livelli di cifratura, offuscamento ed evasione. Gli analisti hanno identificato quasi 80 moduli differenti che implementano oltre 70 tecniche di bypass ispirate a ricerche pubblicate da società come Kaspersky, Palo Alto Networks, Bishop Fox e SpecterOps, successivamente ricondotte alle tecniche del framework MITRE ATT&CK. I payload principali risultavano sviluppati in Rust e Go, linguaggi sempre più utilizzati nello sviluppo di malware per la loro portabilità e per la difficoltà di analisi statica rispetto a strumenti tradizionali. Ogni iterazione veniva verificata automaticamente all’interno delle macchine virtuali predisposte per misurare il tasso di rilevamento dei diversi prodotti di sicurezza, consentendo di perfezionare progressivamente il comportamento dei loader fino a ottenere un livello di evasione sensibilmente superiore rispetto alle prime versioni.

Telegram e Cloudflare nascondono il comando e controllo

Per la gestione dell’infrastruttura remota il framework utilizzava profili personalizzati di Cobalt Strike, configurati per simulare traffico web legittimo e ridurre le probabilità di rilevamento. Il canale di Command and Control (C2) veniva ulteriormente mascherato attraverso l’API Telegram Bot, sfruttata come mezzo di comunicazione tra i sistemi compromessi e gli operatori. Davanti ai server reali era presente un Cloudflare Worker, utilizzato come redirector per occultare l’infrastruttura backend e complicare le attività di attribuzione. Gli script Python consentivano inoltre l’iniezione di shellcode all’interno di processi Windows legittimi, mantenendone il comportamento originale e sfruttandoli come veicolo per l’esecuzione del codice malevolo. L’obiettivo era costruire una catena di compromissione difficile da individuare sia attraverso le firme statiche sia mediante le analisi comportamentali tradizionali.

L’AI accelera il malware, ma non sostituisce gli operatori

Uno degli aspetti più interessanti emersi dall’analisi riguarda il ruolo effettivo dell’intelligenza artificiale. Sophos X-Ops sottolinea che Cursor e Claude non hanno sviluppato autonomamente il malware, ma hanno funzionato come acceleratori dell’attività dell’operatore. L’AI ha automatizzato operazioni ripetitive, consultato documentazione pubblica, sintetizzato ricerche accademiche, generato codice preliminare e valutato i risultati dei test, lasciando però all’essere umano le decisioni strategiche e la validazione finale. Questo approccio riduce significativamente il tempo necessario per sperimentare nuove tecniche offensive, abbassando la barriera d’ingresso per la creazione di framework complessi e consentendo a un numero limitato di operatori di sviluppare strumenti che in passato avrebbero richiesto team molto più numerosi. Il caso dimostra quindi come l’AI rappresenti soprattutto un moltiplicatore di produttività anche nel contesto delle attività cyber offensive.

Le difese comportamentali restano efficaci

Nonostante il livello di sofisticazione del framework, Sophos evidenzia che le proprie tecnologie di rilevamento hanno identificato le attività associate mediante firme comportamentali e regole dedicate, classificate con identificativi come ATK/ExtC2-A e Troj/CobalMem-A. L’azienda ribadisce l’importanza di una strategia di difesa in profondità, che combini aggiornamenti tempestivi dei sistemi, autenticazione multifattore, utilizzo di passkey, monitoraggio continuo degli endpoint e soluzioni EDR capaci di analizzare il comportamento dei processi anziché affidarsi esclusivamente alle firme. La scoperta dimostra che gli strumenti di sviluppo basati sull’AI possono certamente accelerare la produzione di malware e framework di post-exploitation, ma evidenzia anche come le organizzazioni che investono in telemetria, rilevamento comportamentale e aggiornamenti continui siano ancora in grado di individuare queste attività nelle fasi iniziali, limitando l’impatto di campagne ransomware sempre più automatizzate.