I ricercatori di Sophos X-Ops hanno identificato un’attività malevola legata a un attaccante che sfruttava strumenti di intelligenza artificiale per sviluppare e verificare tecniche di evasione contro i sistemi Endpoint Detection and Response, noti come EDR. L’indagine ha portato alla luce un framework di post-exploitation articolato, costruito per ridurre la capacità di rilevamento delle soluzioni di sicurezza e accelerare la sperimentazione di tecniche offensive.
Il caso è rilevante perché mostra in modo concreto come l’AI possa ridurre tempi e complessità nello sviluppo di malware e strumenti di attacco. L’elemento più importante, però, resta un altro: l’automazione cresce, ma il controllo strategico resta nelle mani degli operatori umani, che definiscono obiettivi, verificano i risultati e perfezionano i metodi di bypass.
Da un endpoint anomalo a un’infrastruttura più ampia
L’analisi è partita da un endpoint anomalo rilevato presso un cliente Sophos. Il sistema aveva prodotto diversi avvisi relativi a file sospetti presenti nella directory C:\Users\User\Documents\test. Da quel punto, gli analisti hanno approfondito il comportamento dei file e ricostruito un insieme di componenti malevoli collegati a una struttura più ampia.
Tra gli elementi emersi figuravano profili Cobalt Strike configurati per simulare traffico web legittimo, un sistema di comando e controllo basato sulle API dei bot Telegram, strumenti destinati all’iniezione di shellcode all’interno di eseguibili Windows e un Cloudflare Worker usato per nascondere l’infrastruttura di backend.
Il riferimento a Cobalt Strike merita un chiarimento. Si tratta di una piattaforma nota nel mondo della sicurezza offensiva e dei red team, spesso abusata anche da attori malevoli per la fase successiva alla compromissione iniziale. In questo caso, i profili individuati sembravano progettati per rendere il traffico più credibile e meno visibile ai controlli automatici.
L’AI accelera lo sviluppo, ma non sostituisce l’attaccante
Nel corso dell’indagine, Sophos X-Ops ha trovato numerosi script Python, almeno in parte creati con strumenti di intelligenza artificiale, oltre a un repository Git che conteneva un framework strutturato per la ricognizione automatizzata di Active Directory e per il test sistematico di tecniche di evasione contro gli agenti EDR di Sophos, CrowdStrike e Microsoft Defender.
Il quadro che emerge è chiaro. L’AI ha avuto un ruolo soprattutto operativo: ha aiutato nella stesura del codice, nella creazione di script, nella produzione di test e nel coordinamento di attività ripetitive. Il processo di sviluppo vero e proprio, invece, ha continuato a dipendere da un ciclo guidato da persone, fatto di test, verifica dei risultati, correzioni e nuove ottimizzazioni.
Questo aspetto è importante anche sul piano difensivo. La presenza dell’AI non significa che gli attacchi diventino completamente autonomi. Significa, piuttosto, che un attore con competenze già presenti può lavorare con maggiore velocità, provare più varianti e adattare prima le tecniche di elusione ai controlli difensivi presenti negli ambienti aziendali.
Un laboratorio dedicato al testing contro gli EDR
Sophos ha scoperto anche un ambiente di test costruito per verificare l’efficacia delle tecniche di evasione contro diverse piattaforme di sicurezza. L’infrastruttura era basata su macchine virtuali Windows Server 2022 e Ubuntu, quindi su un laboratorio che consentiva di provare il comportamento dei tool in scenari controllati.
Per supportare lo sviluppo, l’autore delle minacce usava Cursor, un ambiente di sviluppo assistito dall’intelligenza artificiale, insieme a diversi agenti AI specializzati. Questi strumenti avevano il compito di eseguire test, produrre documentazione, controllare aspetti di sicurezza operativa e gestire l’infrastruttura del laboratorio.
Il punto più interessante, secondo Sophos X-Ops, non riguarda la presenza di agenti autonomi in senso pieno. Il vero segnale è la capacità crescente degli attori malevoli di usare strumenti AI per velocizzare cicli di sviluppo che in passato richiedevano più tempo e competenze molto più specialistiche.
Perché il caso è importante per la difesa aziendale
L’indagine mostra una tendenza che il settore osserva da tempo, ma che ora assume una forma più concreta. L’intelligenza artificiale può abbassare la barriera tecnica per alcune attività offensive, soprattutto nella fase di scripting, automazione, ricognizione e test. Questo non elimina la necessità di esperienza, ma rende più efficiente chi possiede già una base operativa.
Per i team di sicurezza, il rischio principale consiste nell’aumento della rapidità con cui gli aggressori possono provare nuove strade per aggirare gli EDR, cioè gli strumenti che raccolgono eventi sugli endpoint, analizzano comportamenti sospetti e supportano il rilevamento e la risposta alle minacce. Se i cicli di test diventano più rapidi, anche il tempo necessario per affinare tecniche di bypass tende a ridursi.
Il caso evidenzia inoltre il valore dei segnali deboli. Un semplice insieme di file sospetti in una directory locale ha permesso agli analisti di risalire a un ecosistema molto più complesso. Questo conferma quanto sia importante correlare alert, contesto operativo e analisi approfondita del comportamento.
Le raccomandazioni di Sophos
Sul fronte difensivo, la posizione di Sophos è netta: l’AI non cambia le regole fondamentali della sicurezza, ma può aumentare la velocità con cui gli attaccanti sfruttano punti deboli già presenti. Per questo le organizzazioni devono mantenere un approccio multilivello, con aggiornamenti di sicurezza tempestivi, autenticazione multifattore, uso di tecnologie moderne come le passkey e soluzioni EDR efficaci e aggiornate.
L’obiettivo non consiste soltanto nel bloccare il malware finale, ma anche nel ridurre la superficie d’attacco, rendere più difficile il movimento laterale e migliorare la capacità di individuare attività anomale nelle fasi iniziali. In un contesto in cui l’AI accelera il lavoro offensivo, la velocità della difesa torna al centro.
Un’evoluzione da seguire con attenzione
Il caso analizzato da Sophos X-Ops suggerisce che l’AI stia già entrando nei flussi operativi di alcuni attaccanti in modo pratico e quotidiano. Non come sostituto dell’operatore, ma come acceleratore di sviluppo, test e adattamento.
Per le aziende questo significa una cosa precisa: la qualità degli strumenti difensivi resta importante, ma conta sempre di più anche la disciplina operativa. Patch, MFA, controllo degli accessi, monitoraggio continuo, protezione degli endpoint e capacità di risposta restano i pilastri di base, anche in una fase in cui gli strumenti offensivi diventano più rapidi da costruire e più semplici da adattare.
