CrowdStrike: ar Ķīnu saistīti hakeri ar MI aģentiem 11 dienās uzbrukuši 200 organizācijām

ASV kiberdrošības uzņēmums CrowdStrike 29. oktobrī publiskoja ziņojumu, ka ar Ķīnu saistītā spiegošanas grupa, ko tas dēvē par VAPOR PANDA, 11 dienu laikā izmantojusi mākslīgā intelekta aģentus, lai uzbruktu vairāk nekā 200 organizācijām vismaz 14 valstīs. Kampaņa sākusies 17. oktobrī, un to vadījis viens ARTEX vadības serveris.

ARTEX ir atvērtā koda rīks, kurā galvenais MI aģents sadala darbu plānotāju un izpildītāju aģentiem. Tie kopīgā uzdevumu grafā uzkrāj atradumus un mērķus un pa posmiem virzās no sākotnējās piekļuves līdz tīkla izpētei un pārvietošanās starp datoriem. Pēc CrowdStrike datiem, uzbrucēji galvenokārt darbinājuši ķīniešu DeepSeek valodas modeli, kā arī vēl vienu maksas komerciālu modeli, kuru uzņēmumam nav izdevies noteikt.

Mērķu vidū bijušas Latīņamerikas, Eiropas, Āzijas un Tuvo Austrumu ārlietu ministrijas, kādas Tuvo Austrumu valsts iekšlietu ministrija, kā arī telekomunikāciju uzņēmumi ASV, Beļģijā un Filipīnās. Vienā operācijā uzbrucēji pievērsušies vienai Eiropas valstij, tostarp tās ārlietu ministrijai, prezidenta kancelejai, premjerministra birojam un aizsardzības, tieslietu, finanšu un izlūkošanas iestādēm. Kuru valsti tas skāra, ziņojumā nav atklāts. Atsevišķi mērķēts uz 19 ASV farmācijas, pusvadītāju, aizsardzības, kodolenerģijas un finanšu organizācijām.

CrowdStrike apstiprinājis, ka deviņās organizācijās uzbrucēji ieguvuši piekļuvi, uzstādījuši sētas durvju programmu BLOODALCHEMY un turpinājuši ar paroļu minēšanu un tīkla skenēšanu. Vēl vismaz 12 organizācijas, arī ASV domnīcas un Eiropas valdības iestādes, piedzīvojušas paroļu minēšanas uzbrukumus.

Ziņojums rāda, ka MI nav darbojies pilnīgi patstāvīgi. Atgūtajos aģentu sarakstes ierakstos redzams, ka cilvēks operators ķīniešu valodā devis norādes svarīgākajos brīžos, piemēram, likt izveidot tīmekļa čaulas, iegūt domēna administratora paroles un atrast datorus bez CrowdStrike drošības programmas. Vienā ielaušanās reizē plānotāju aģenti apstrādājuši ap 1,4 miljardiem ievades tokenu, kas liecina par automatizācijas apjomu.

NBC News šo kampaņu raksturo kā piemēru tam, ka MI ļauj hakeriem darboties apjomā, kam agrāk vajadzēja daudz vairāk cilvēku. Pēc CrowdStrike teiktā, tā ir pirmā reize, kad VAPOR PANDA novērota, izmantojot MI vadītus ielaušanās rīkus, un kopš 2021. gada grupa galvenokārt bija vērsusies pret valdībām, domnīcām un enerģētikas uzņēmumiem.

CrowdStrike vērtē, ka ar Ķīnu saistītas grupas nākamo 12 mēnešu laikā ļoti iespējams turpinās apvienot komerciālus valodas modeļus ar aģentu rīkiem, lai automatizētu uzbrukumus vienlaikus daudziem mērķiem.