Aanvallers gebruiken AI-tools zoals Claude Code en de ChatGPT-desktopapp om opdrachten uit te voeren op gecompromitteerde systemen. Dat blijkt uit een nieuw kwartaalrapport van Elastic Security Threat Command. Gestolen inloggegevens worden gemiddeld acht minuten na een infectie gebruikt. Legitieme software voor beheer op afstand, zoals ScreenConnect, dient om toegang te behouden.
Het rapport threats, etc is gebaseerd op bevestigde aanvallen en eigen onderzoek van Elastic uit de periode april tot en met september 2026. De kern van de bevindingen is dat aanvallers gebruikmaken van het vertrouwen en de ruime systeemtoegang die organisaties aan AI-tools, AI-agents en IT-beheersoftware geven. Volgens Elastic bevat het rapport ook de onderzoeksdata en detectieregels waarmee beveiligingsteams dezelfde activiteiten kunnen opsporen.
AI-tools als uitvoeringslaag
Elastic-onderzoekers zagen bij daadwerkelijke aanvallen dat opdrachten werden uitgevoerd via Claude Code op Windows en de ChatGPT-desktopapp op macOS. Bij een aanval op macOS las een opdracht eerst een intern document over de IT-infrastructuur en haalde daarna opgeslagen wachtwoorden uit de sleutelhanger van de gebruiker. In een geval op Windows maakte een aanvaller op afstand verbinding met een computer, zette met Claude Code tools klaar en legde via een verborgen verbinding contact met een externe server.
Mike Nichols, general manager Security bij Elastic, wijst erop dat het misbruik van bestaande software op zich geen nieuwe techniek is. MITRE ATT&CK heeft er zelfs een eigen tactiek voor. Nieuw is volgens hem dat organisaties AI-agents inzetten die beveiligingsteams lastig kunnen monitoren, beheren of doorgronden. Een agent met inloggegevens en internettoegang vormt een extra aanvalsoppervlak, of die nu verkeerd is geconfigureerd of wordt misbruikt. Stuurt een aanvaller de agent aan, dan lijkt die activiteit op het gedrag van de medewerker die de agent installeerde. Nichols stelt daarom dat de vraag niet is of een tool is goedgekeurd, maar wat die tool feitelijk doet.
Acht minuten tot de eerste login
In 27 bevestigde gevallen met infostealers mat Elastic de tijd tussen besmetting en het eerste gebruik van gestolen inloggegevens. Gemiddeld ging het om acht minuten. De meestgebruikte ingang was een ClickFix-lokmiddel: een nepbericht dat gebruikers ertoe brengt zelf een schadelijke opdracht te plakken en uit te voeren. Dat was het startpunt in 12 van de 27 gevallen (44 procent). Daarna verliep de diefstal van gegevens via software die het apparaat al vertrouwde, zoals browserupdaters en de ingebouwde scripttools van Apple. In één geval in de zorgsector stond de malware ongeveer 16 seconden nadat de gebruiker op het lokmiddel was ingegaan op het systeem.
Sporen van een AI-agent bij Hugging Face
Elastic reconstrueerde ook het datalek bij Hugging Face van juli 2026 op basis van forensisch onderzoek. Het bedrijf meldt aanwijzingen te hebben gevonden dat daarbij een AI-agent actief was. Opdrachten werden soms binnen enkele seconden dubbel uitgevoerd en op een werkende aanval volgde direct een eenvoudige programmeerfout. Volgens de onderzoekers maakt dit soort aanhoudende activiteit het voor beveiligingsteams lastig om op grote schaal onderscheid te maken tussen normaal gedrag van agents en kwaadwillende acties.
Daarnaast bevestigde Elastic 23 gevallen waarin aanvallers legitieme software voor beheer op afstand installeerden om toegang tot een apparaat te behouden. Meestal ging het om ScreenConnect.
Gedrag beoordelen in plaats van goedkeuring
Elastic Security Threat Command adviseert om een overzicht te maken van vertrouwde AI-tools, IT-tools en digitaal ondertekende software, en alles daarbuiten als verdacht te behandelen. Ook vertrouwde software moet volgens de onderzoekers worden beoordeeld op wat die doet, bijvoorbeeld welke programma’s een AI-tool start of met welke systemen een RMM-tool verbinding maakt. Verder raden ze aan het normale gedrag op systemen in kaart te brengen en signalen uit cloud-, endpoint- en identiteitsgegevens te combineren. Elastic geeft aan dat zijn eigen product Elastic Security activiteiten op systeemniveau monitort en is ontworpen om gedrag als proxy-tunneling en geheugenmanipulatie te detecteren, ongeacht welke applicatie dat gedrag veroorzaakt.
threats, etc is een reeks kwartaalrapporten die het jaarlijkse Global Threat Report van Elastic vervangt. Het bedrijf kiest voor een kwartaalritme omdat de werkwijzen van aanvallers volgens Elastic sneller veranderen dan een jaarrapport kan bijhouden. De cijfers zijn gebaseerd op bevestigde bevindingen en geven nadrukkelijk geen beeld van de wereldwijde verspreiding.
Het volledige rapport is te lezen via threats, etc.
