Uzbrukumos ap 80 Japānas uzņēmumiem izmantots Ķīnā izstrādāts MI rīks Artex

Japānas IT grupas GMO Internet meitasuzņēmums GMO Cybersecurity by Ierae pirmdien, 19. oktobrī, paziņoja, ka nesenajos uzbrukumos Japānas uzņēmumiem izmantots Artex – Ķīnā izstrādāts atvērtā koda rīks, kas ar lielo valodas modeļu palīdzību automatizē ielaušanās testēšanu. Pēc ziņu aģentūras Kyodo un Dienvidkorejas SBS datiem, uzbrukumu mērķis bija ap 80 uzņēmumu Japānā, un astoņi no tiem septembrī un oktobrī jau publiski ziņojuši par datu noplūdēm.

Atklājums ir nozīmīgs, jo tas ir viens no skaidrākajiem gadījumiem, kad rīks, kas radīts aizsardzībai, tiek izmantots plaša mēroga uzbrukumos. Artex ir paredzēts, lai MI aģents pats analizētu mērķa sistēmu, plānotu ielaušanās ceļus un palaistu drošības rīkus. Šādu darbu agrāk veica cilvēki, bet tagad to var automatizēt un paātrināt.

Uzņēmums, izmeklējot cietušo uzņēmumu žurnālfailus, atrada sešus ārvalstīs izvietotus serverus, no kuriem uzbrukumi tika veikti laikā no 18. septembra līdz 18. oktobrim. Visos sešos bija Artex lietošanas pēdas, bet citu MI aģentu pēdas netika atrastas. Katrs serveris galvenokārt bija vērsts pret citu nozari, piemēram, digitālajām dāvanu kartēm un mazumtirdzniecību, apdrošināšanu un finanses, e-komerciju, mediju un loģistikas uzņēmumiem. Pētnieki secina, ka tā, visticamāk, ir viena grupa, kas rīko atsevišķas kampaņas pret konkrētām valstīm un nozarēm. Iegūtā informācija nodota tiesībsargājošajām iestādēm.

Tas pats rīks jau minēts ASV kiberdrošības uzņēmuma CrowdStrike ziņojumā par uzbrukumiem Dienvidkorejas finanšu iestādēm, kas notika no septembra beigām līdz oktobra sākumam. Tur uzbrucēji Artex izmantoja kopā ar lielajiem valodas modeļiem.

Japānas datordrošības incidentu reaģēšanas centrs JPCERT/CC trešdien, 21. oktobrī, publicēja savu analīzi par uzbrukumu infrastruktūru. Tas apstiprina, ka uzbrucēji ar MI palīdzību meklēja zināmas ievainojamības un uzbruka caur lietotņu programmēšanas saskarnēm (API). Uz viena servera atrastas pēdas, ka uzbrucēji analizēja Android lietotņu pakotnes, lai atrastu to API, un pārbaudīja tās, piemēram, servera puses pieprasījumu viltošanas ievainojamībām. Daļa mērķu bija ārpus Japānas paredzēti tīmekļa pakalpojumi, un atrasti arī mēģinājumi apiet galiekārtu aizsardzības sistēmas.

Jaunas noplūdes turpina parādīties. Japānas zemes, infrastruktūras, transporta un tūrisma ministrija otrdien paziņoja, ka varētu būt nopludināti 23 918 cilvēku dati no uzņēmumiem, kuri piedalījušies agrākos energotaupības projektos. Tie ir vārdi, tālruņu numuri un e-pasta adreses. JPCERT/CC jau 8. oktobrī brīdināja organizācijas par šo uzbrukumu sēriju un aicina pārbaudīt publiski pieejamos API un lietotnes.