Один хакер развернул C2-ботнет за шесть минут с помощью ИИ
Исследователи описали реальный кейс, в котором русскоязычный злоумышленник использовал ИИ-агента для переноса и запуска инфраструктуры управления ботнетом. По данным исследователей, актер под ником bandcampro ввел намерение на русском языке, а ИИ самостоятельно подготовил архитектуру, написал код, развернул сервер, настроил Cloudflare tunnels и устранил ошибки подключения.
Исследователи изучили более 200 логов Gemini CLI за период с 19 марта по 21 апреля 2026 года. В них видно, что ИИ использовался не как обычный генератор кода, а как основной технический оператор: он помогал управлять C2-инфраструктурой, проверять активные машины, отправлять команды ботам и готовить новые ссылки для заражения.
В одном из эпизодов злоумышленник перенес C2-сервер за шесть минут. После миграции ИИ также диагностировал проблему split-brain, связанную с одновременной работой старого и нового серверов через Cloudflare, и подсказал отключить старую инфраструктуру. После этого все боты снова вышли на связь.
СМИ отмечают, что вся операция умещалась в три текстовых файла общим объемом около 5 КБ. В них были описаны jailbreak-инструкции для ИИ, схема C2, команды закрепления, инструкции по заражению, troubleshooting и рецепт повторного развертывания. Это делает такую инфраструктуру почти одноразовой: при блокировке сервера оператор может быстро пересобрать ее на новом VPS.
Ботнет управлялся через простой Python HTTP-сервер. Зараженные Windows-машины опрашивали C2 каждые пять секунд, получали PowerShell-команды и отправляли результаты обратно. Для закрепления использовались WMI-подписки, задачи в планировщике и запуск PowerShell из нестандартных путей. Trend Micro подчеркивает, что сам код был простым и почти не использовал обфускацию, но его можно было быстро менять по запросу к ИИ.
По оценке исследователей, в полной цепочке атакующий написал только 11% текста, а 89% сгенерировал ИИ. Во время миграции C2 агент сделал 59 собственных предложений по улучшению без отдельной команды. Такой сценарий снижает порог входа для киберпреступников: теперь оператору не обязательно быть сильным разработчиком, если он умеет формулировать задачи агентной модели и обходить ее ограничения.
похожие материалы
Началась регистрация на BIS Summit 2026: XIX ежегодная конференция по ИБ
29 сентября 2026 года в Москве вновь состоится BIS Summit — ключевое событие в сфере информационной безопасности, организованное Ассоциацией по защите деловой информации (BISA).
В Германии предложили разрешить спецслужбам проводить превентивные кибератаки за рубежом
Глава парламентского комитета по контролю за спецслужбами Германии Марк Хенрихманн предложил расширить полномочия разведки и разрешить ей проводить превентивные кибероперации против инфраструктуры, представляющей угрозу стране.
Почти половина российских работодателей уже использует ИИ при найме сотрудников
Искусственный интеллект становится обычным инструментом российских HR-служб.
Telegram и Google оштрафовали в России за неудаление запрещенного контента
Таганский районный суд Москвы 12 августа назначил новые штрафы Telegram и Google за неудаление информации, распространение которой запрещено российским законодательством.
«Группа Астра» выходит на рынок Юго-Восточной Азии: российский вендор построит в Мьянме национальную систему «Единого окна»
ООО «Астра Консалтинг» (входит в «Группу Астра») и уполномоченный государственный орган Республики Союз Мьянма подписали государственный контракт на создание Национальной системы «Единого окна» Мьянмы.
Эксперт «Группы Астра» Эдуард Тихомиров отметил 5 главных трендов в разработке ПО и программировании
Технический директор GitFlic (входит в «Группу Астра») Эдуард Тихомиров обозначил ключевые тренды в разработке программного обеспечения и программировании.
Новый релиз Security Vision 5: углубление аналитики, развитие интеграции и гибкость настроек
Компания Security Vision представила обновление платформы SV5.
Эксперт «Группы Астра» Андрей Кузнецов назвал 3 главных тренда развития резервного копирования в России
Резервное копирование в этом году окончательно трансформируется из киберподстраховки в стратегический элемент киберустойчивости бизнеса.
Спрос на аппаратные криптокошельки в России вырос более чем вдвое
Продажи аппаратных криптокошельков в России резко выросли в первой половине 2026 года.
AI-мониторинг и управление PostgreSQL: «Тантор Лабс» представила платформу Tantor 7
Компания «Тантор Лабс» (входит в «Группу Астра») первой в России последовательно внедряет в свои продукты AI-first подход, при котором возможности ИИ закладываются в их основу и определяют ключевые сценарии как функционирования систем, так и работы пользователей.