كراودسترايك: مجموعة مرتبطة بالصين تهاجم أكثر من 200 منظمة بوكلاء ذكاء اصطناعي

الملخص

• إطار وكلاء يحمل اسم ARTEX استُخدم ضد أكثر من 200 منظمة في 14 دولة خلال 11 يوماً.
• ديب سيك كان النموذج الأساسي، ومشغّل بشري واحد وجّه عمليات متزامنة عبر وزارات وشركات ومزودي اتصالات.
• وزارة داخلية في الشرق الأوسط بين الجهات المخترقة، وكراودسترايك نشرت مؤشرات يمكن لفرق الأمن البحث عنها فوراً.

خبر

تشغّل مجموعة تجسس مرتبطة بالصين إطاراً من وكلاء الذكاء الاصطناعي ينفذ اختراقات متوازية، واستهدف منذ 17 أكتوبر أكثر من 200 منظمة في 14 دولة على الأقل، بحسب تقرير لكراودسترايك نُشر في 29 أكتوبر. تأكد نشاط ما بعد الاختراق في 9 منظمات. وتصف الشركة الحملة بأنها انتقال من اختراقات فردية مدعومة بالذكاء الاصطناعي إلى عمليات متزامنة يديرها مشغّل واحد.

تفصيل

• الحصيلة: شهدت 9 منظمات نشاطاً مؤكداً بعد الاختراق، شمل نشر باب خلفي ورش كلمات المرور والمسح الشبكي والاستطلاع. وتعرضت 12 منظمة إضافية على الأقل لرش كلمات المرور أو مسح بيانات الاعتماد. وتقول كراودسترايك إن هذه أول مرة ترصد فيها لدى هذه المجموعة أدوات اختراق يقودها الذكاء الاصطناعي.
• الأهداف: اختُرقت وزارتا خارجية في أميركا اللاتينية ووزارة داخلية في الشرق الأوسط وجهة حكومية يونانية، ومزودو اتصالات في أميركا وبلجيكا والفلبين. واستهدفت عملية واحدة 19 منظمة أميركية في الأدوية وأشباه الموصلات والدفاع والنووي والمال، وأخرى وزارات الخارجية والدفاع والمالية في دولة أوروبية.
• النماذج: اعتمد الإطار على ديب سيك نموذجاً أساسياً، وأكمله نموذج لغوي تجاري باشتراك لم تتمكن كراودسترايك من تحديده. وترجّح الشركة أن الجمع بين أكثر من مزود عبر أداة مخصصة خيار متعمد، وأن الإطار وسّع نطاق المجموعة من دون أن يغيّر مهمتها الأساسية في بناء وصول طويل الأمد.
• آلية العمل: ينسق وكيل رئيسي وكلاء فرعيين للتخطيط والتنفيذ يتشاركون رسماً للحقائق والأهداف. وتنتقل كل مهمة من الوصول الأولي إلى استطلاع الجهاز ثم التحرك داخل الشبكة. وسلك الوكلاء مسارات متوازية عبر تطبيقات الويب والسحابة والحاويات وأنظمة البريد، وبدّلوا الأسلوب كلما فشل مسار.
• المشغّل البشري: تُظهر نصوص مستردة تعليمات بالصينية موسومة بأنها بشرية وبتوقيت الصين. ووجّه المشغّل الوكلاء عند نقاط القرار، ومنها كتابة أصداف ويب واستخراج كلمات مرور مدير النطاق. كما وُجّه الوكلاء إلى البحث عن أجهزة ويندوز بلا حساس فالكون، لتركيز الهجوم على الأنظمة غير المحمية.
• حجم الاستهلاك: استهلك وكلاء التخطيط في اختراق واحد نحو 1.4 مليار رمز إدخال، وتقول كراودسترايك إن الاستهلاك الكلي في العملية أعلى بكثير. وجاء هذا الاستهلاك من وكلاء التخطيط وحدهم، داخل مهمة واحدة من مهام متزامنة يديرها مشغّل بشري واحد.
• الباب الخلفي: نُشر الباب الخلفي BLOODALCHEMY، الموثّق علناً أول مرة في أكتوبر 2023، في وزارة الداخلية الشرق أوسطية وفي وزارة خارجية لاتينية. ويتنكر ملف مشروع باسم svchost.exe ليحمّل مكتبة خبيثة تفك تشفير الحمولة. ويضم التقرير 3 نطاقات تحكم و3 عناوين IP و3 بصمات ملفات.
• ما يُفعل الآن: توصي كراودسترايك بتدوير مفاتيح التوقيع وبيانات اعتماد الخدمات بعد أي تعرض مشتبه، بما فيها المفاتيح في النسخ الاحتياطية القديمة، وفرض التحقق من توقيع SAML، والبحث عن سلاسل أوامر تحوي artx أو artex، وعن المجلد artx5v داخل ProgramData، وتحديث الأجهزة المكشوفة على الإنترنت.

ماذا بعد؟

تقدّر كراودسترايك أن من المرجح جداً أن تواصل الجهات المرتبطة بالصين تبني أطر وكلاء مثل ARTEX خلال الأشهر الـ12 المقبلة.

المصدر: كراودسترايك