CrowdStrike: uzbrukumos Dienvidkorejas bankām izmantoti MI rīki, uzbrucējs, iespējams, atrodas Ķīnā

ASV kiberdrošības uzņēmums CrowdStrike trešdien publiskotā ziņojumā norāda, ka aiz pēdējo nedēļu kiberuzbrukumiem Dienvidkorejas finanšu iestādēm, visticamāk, ir uzbrucējs, kurš plaši izmantojis mākslīgā intelekta rīkus. Uzbrukumu kampaņa notika no septembra beigām līdz oktobra sākumam, un tās laikā no iestādēm tika nozagti dati.

Pēc CrowdStrike datiem, uzbrucējs strādāja ar ARTEX – nesen Ķīnā izstrādātu atvērtā koda MI aģentu, kas automatizē ielaušanās testēšanu. Tas pats nav valodas modelis, bet pieslēdzas ārējiem modeļiem, piemēram, ChatGPT, Claude vai DeepSeek. Līdztekus tam izmantots Anthropic programmēšanas rīks Claude Code. Pētnieki uzbrucēja darba paņēmienus varēja izsekot, jo viņa kontrolētajos serveros bija brīvi pieejamas mapes ar Claude Code sesiju vēsturi un ARTEX konfigurācijas failiem.

Uzņēmums ar vidēju pārliecību vērtē, ka uzbrucējs runā ķīniešu valodā un viņu interesē finansiāls labums. Uz to norāda gan Ķīnā radītais rīks, gan ķīniski rakstītās komandas MI modeļiem. Sesiju ierakstos redzams arī, ka uzbrucējs jautājis Claude, kur parasti tiek tirgoti no Korejas nopludināti dati, un lūdzis palīdzību atrast Telegram grupas, kurās šādus datus pārdod.

Kādā sesijā uzbrucējs lūdzis MI sagatavot drošības pētnieka CV, kurā būtu aprakstīti uzbrukumu rezultāti, un norādījis savus it kā personas datus: vecumu 26 gadi, izglītību un dzīvesvietu Maomingas pilsētā Ķīnas dienvidos, Guandunas provincē. Tas pats Telegram lietotājvārds parādījies arī citās darbībās, piemēram, ievainojamību meklēšanā Telegram vidē strādājošā NFT tirdzniecības platformā un, iespējams, uzbrukumā kādai Ķīnas maksājumu platformai.

CrowdStrike gan uzsver, ka šie dati, visticamāk, pieder uzbrucējam, taču ar pašlaik pieejamo informāciju to nevar droši apgalvot. Turklāt sākotnēji norādītais dzimšanas datums neatbilst minētajam vecumam. Konkrētai valstij vai zināmai hakeru grupai uzbrukumi pagaidām nav piedēvēti.

Dienvidkorejā kopš septembra beigām par datu noplūdēm ziņojušas vairākas finanšu iestādes, tostarp Shinhan Bank un KB Kookmin Bank. Shinhan Bank 1. oktobrī paziņoja, ka nopludināta aptuveni 25 000 klientu informācija, tostarp vārdi, tālruņa numuri, ienākumi un ziņas par aizdevumiem. Policija šonedēļ sākusi plašu izmeklēšanu, bet prezidents Lī Džemjons, norādot uz pazīmēm, ka uzbrukumos izmantots MI, aicinājis stiprināt kiberdrošības pasākumus.

CrowdStrike secina, ka gadījums parāda, kā MI rīki ļauj finansiāli motivētam uzbrucējam īsā laikā veikt vairākas ielaušanās, un sagaida, ka uzbrucēji arī turpmāk izmēģinās šādus rīkus. Dienvidkorejas policijas izmeklēšana turpinās.