هکرهای چینی با استفاده از هوش مصنوعی ARTEX به بیش از ۲۰۰ سازمان حمله کردند

هکرهای چینی با بهره‌گیری از ARTEX، یک چارچوب متن‌باز تست نفوذ مبتنی بر هوش مصنوعی چندعاملی، حملاتی را علیه بیش از ۲۰۰ سازمان در ۱۴ کشور انجام دادند.

این عملیات از ۱۷ اکتبر آغاز شد و وزارتخانه‌های دولتی، شرکت‌های مخابراتی و سازمان‌های فعال در حوزه‌های داروسازی، نیمه‌رساناها، صنایع دفاعی، هسته‌ای و مالی را هدف قرار داد.

عامل تهدید در جریان این عملیات، دست‌کم ۹ سازمان را به خطر انداخت و حملات مبتنی بر حدس‌زدن گسترده رمز عبور (Password Spraying) و فعالیت‌های اسکن اعتبارنامه را علیه دست‌کم ۱۲ هدف مهم دیگر انجام داد.

به گفته پژوهشگران شرکت CrowdStrike، این کارزار نشان‌دهنده تشدید استفاده از عامل‌های هوش مصنوعی توسط بازیگران سایبری مرتبط با چین است. این روند از نفوذهای منفرد به سمت چندین عملیات هم‌زمان حرکت کرده که یک اپراتور انسانی آن‌ها را هدایت می‌کند.

از جمله قربانیان تأییدشده این حملات می‌توان به شرکت‌های مخابراتی در ایالات متحده و بلژیک، سازمان‌های دولتی در یونان، خاورمیانه و آمریکای لاتین و شرکت‌های داروسازی در آمریکا اشاره کرد.

پژوهشگران، این عامل تهدید را با نام Vapor Panda ردیابی می‌کنند. به گفته آن‌ها، در حمله به یک نهاد دولتی یونان، عامل‌های هوش مصنوعی با جعل یک توکن مدیریتی و استفاده از کلیدهای احراز هویت به‌دست‌آمده از خروجی فهرست راهنمای سرور ایمیل در سال ۲۰۲۲، به صندوق‌های پستی دسترسی پیدا کردند و محتوای آن‌ها را خواندند.

ARTEX AI مجموعه‌ای از ابزارهای تست نفوذ است که توسط توسعه‌دهندگان چینی ساخته شد و در ابتدا به‌صورت یک پروژه متن‌باز منتشر شد. با این حال، پس از استفاده از آن در حملات واقعی، از جمله کارزاری علیه مؤسسات مالی کره جنوبی، سازندگان آن دسترسی به این ابزار را به مدل اختصاصی تغییر دادند.

Vapor Panda در تازه‌ترین عملیات جاسوسی سایبری خود، از مدل هوش مصنوعی DeepSeek و یک مدل زبانی تجاری دیگر با هویت نامشخص نیز استفاده کرد تا برنامه‌ریزی و هماهنگی میان عامل‌های اجرایی را در چندین نفوذ هم‌زمان مدیریت کند.

بر اساس گزارش CrowdStrike، مهاجمان دستورالعمل‌ها را به زبان چینی ارائه می‌کردند و در مراحل حساسی که نیازمند تصمیم‌گیری بود، شخصاً در روند عملیات مداخله داشتند.

عامل‌های هوش مصنوعی وظایفی از جمله شناسایی اهداف، بهره‌برداری از آسیب‌پذیری‌ها، استقرار وب‌شل‌ها، به‌دست‌آوردن اعتبارنامه‌ها و بررسی مسیرهای جایگزین برای حمله را انجام می‌دادند.

اپراتورهای انسانی به‌صراحت به این عامل‌ها دستور داده بودند از سیستم‌های ویندوزی محافظت‌شده با Falcon، راهکار امنیت و حفاظت از نقاط پایانی شرکت CrowdStrike، صرف‌نظر کنند و تمرکز خود را بر میزبان‌های فاقد این محافظت قرار دهند.

پژوهشگران معتقدند که عامل‌های هوش مصنوعی در یکی از این نفوذها، بیش از ۱.۴ میلیارد توکن ورودی پردازش کرده‌اند.

CrowdStrike همچنین دریافت که این عامل تهدید، در حملات علیه نهادهای دولتی در آمریکای لاتین و خاورمیانه، بدافزار درِ پشتی BLOODALCHEMY را مستقر کرده است. این بدافزار از سال ۲۰۲۳ فعال بوده است.

موارد جدیدی از سوءاستفاده از ARTEX AI فاش شد

مؤسسه هلندی افشای آسیب‌پذیری (DIVD) جزئیات بیشتری از حمله سایبری ماه سپتامبر ۲۰۲۶ به این سازمان منتشر کرده است. این مؤسسه پیش‌تر اعلام کرده بود که یک عامل هوش مصنوعی مسئول این نفوذ بوده است.

بر اساس آخرین به‌روزرسانی DIVD، ابزار مورد استفاده برای حمله به شبکه این مؤسسه، ARTEX AI بوده که به‌صورت خودکار عمل می‌کرده است.

DIVD در پستی در لینکدین توضیح داد که مهاجم تنها در ۱۲ دقیقه، از مرحله دسترسی اولیه به سطح دسترسی ریشه (Root) رسید. این نفوذ با زنجیره‌کردن یک آسیب‌پذیری روز صفر در نرم‌افزار Zammad و یک آسیب‌پذیری روز صفر دیگر برای ارتقای سطح دسترسی محلی انجام شد.

این عامل هوش مصنوعی چندین فعالیت را به‌طور هم‌زمان پیش برد. از جمله این اقدامات می‌توان به خواندن یک صندوق پستی به‌خطر‌افتاده، اسکن شبکه داخلی، استخراج توکن‌های ورود و تلاش برای بازنشانی رمزهای عبور اشاره کرد.

DIVD در جریان بررسی این حادثه، بیش از ۴۵۰ هزار درخواست و ۲۵۰۰ اسکریپت مرتبط با حمله را ثبت کرد و این فعالیت‌ها را بسیار پرسر‌وصدا و آشفته توصیف کرد.